- 귀하의 메일이 인증되지 않았습니다. 수신 서버는 해당 메시지가 실제로 귀하의 도메인에서 발송된 것인지 확인할 수 없습니다. 대개 레코드가 누락되었거나, 새로운 도구(CRM, 청구서 발행, 뉴스레터, 웹사이트 양식, 헬프 데스크, 심지어 스캐너까지)가 해당 도메인에 추가되지 않았거나, SPF 레코드가 제한을 초과하여 모든 전송에 대해 아무런 경고 없이 작동이 중단된 경우입니다.
- 이 메시지는 스팸으로 보입니다. 링크 단축 서비스, 이미지는 많고 글자는 적은 경우, 대문자 사용, 로고 6개가 포함된 서명, 요청하지 않은 첨부 파일, 또는 광고처럼 작성된 제목. 필터는 이러한 요소 각각에 점수를 매깁니다.
- 귀하의 도메인 평판이 타격을 입었습니다. 한 메일함이 해킹당해 주말 내내 스팸 메일을 발송했거나, 누군가가 Outlook에서 400명의 수신자에게 업데이트 메일을 보내면서 모든 사람을 숨은 참조(Bcc)로 지정했거나, 또는 보안 상태가 취약한 이웃이 있는 공유 서버를 통해 메일이 전송되는 경우 등이 있습니다.
- 수신자 측. 어떤 규칙, 가득 찬 사서함, 개인 이메일 주소로 전송된 메일, 또는 한때 사용자의 주소를 스팸으로 인식했던 필터 때문일 수 있습니다. 사람들이 생각하는 것보다 드문 일이며, 수신자만이 이 문제를 해결할 수 있습니다.
회사 이메일이 스팸함으로 분류되는 이유와 이를 영구적으로 해결하는 방법
비즈니스 이메일이 스팸 폴더로 분류되는 4가지 이유, SPF, DKIM, DMARC의 실제 기능, Gmail과 Outlook이 현재 모든 발신자에게 요구하는 사항, 그리고 20분 만에 수행할 수 있는 점검 방법.
읽는 데 8분최종 업데이트
핵심 답변
10건 중 9건은 인증 문제가 원인입니다. 도메인이 어떤 서비스가 귀하를 대신해 메일을 보낼 수 있는지 외부에 알리지 않았거나, 해당 레코드를 업데이트하지 않은 채 새로운 도구가 추가되었기 때문입니다. Gmail과 Outlook은 이제 모든 발신자로부터 SPF, DKIM 및 DMARC 레코드를 요구하며, 이 중 하나라도 실패하면 조용히 해당 메일을 스팸으로 분류합니다. 레코드를 수정하고, 귀하의 도메인 이름으로 메일을 보내는 모든 도구에서 DKIM을 활성화하며, DMARC 모니터링을 시작하면 대부분의 전달 문제는 하루나 이틀 이내에 해결됩니다.
가능성 순으로 정리한 네 가지 이유
SPF, DKIM, DMARC의 실제 기능
이 세 가지 모두 도메인의 DNS에 있는 작은 텍스트 레코드입니다. 회사 내 누구도 이를 볼 수는 없지만, 이메일을 보내는 모든 메일 서버는 이를 확인합니다.
| 기록 | 알기 쉽게 설명하면 | 이것이 없으면 어떤 문제가 발생할까요? |
|---|---|---|
| SPF | 귀사의 도메인 이름으로 이메일을 보낼 수 있도록 허용된 서비스 목록(예: Microsoft 365 및 귀사의 청구서 발행 도구). | 목록에 없는 서비스에서 보낸 메일은 실패합니다. 조회 항목이 10개를 초과하는 목록의 경우 모든 항목에 대해 실패합니다. |
| DKIM | 각 메시지에 추가된 디지털 서명은 해당 메시지가 귀하의 도메인에서 발송되었으며 전송 과정에서 변조되지 않았음을 증명합니다. | 메시지는 서명되지 않은 상태로 도착하며, 위조된 메시지와 구별할 수 없습니다. |
| DMARC | 수신자에게 전달할 지침: 귀하를 사칭하는 메시지가 위의 검증 기준을 통과하지 못할 경우 어떻게 대응해야 하며, 어디로 보고를 보내야 하는지. | 수신자는 추측할 수밖에 없으며, 누구든지 귀하가 모르는 사이에 귀하의 이름으로 이메일을 보낼 수 있습니다. |
한 가지 중요한 세부 사항이 있습니다. 바로 일치 여부입니다. 수신자가 보는 ‘보낸 사람’ 주소의 도메인은 SPF 또는 DKIM 검증을 통과한 도메인과 일치해야 합니다. 귀하의 도메인으로 이메일을 발송하지만 자체 도메인으로 서명하는 뉴스레터 도구의 경우, 해당 도구는 자체적으로 DKIM 검증을 통과하더라도 귀하에게는 여전히 DMARC 검증을 통과하지 못하게 됩니다.
Gmail, Outlook 및 Yahoo에서 현재 요구하는 사항
2024년부터 주요 메일박스 제공업체들은 추측에 의존하지 않고 명확한 규칙을 공개하기 시작했으며, 2025년 말에는 Google이 거부 건수를 늘려 규제를 강화했습니다. 2026년 10월 기준, 이들 업체가 공개한 요구 사항은 다음과 같습니다:
| 요구 사항 | Gmail(모든 발신자) | Outlook.com 및 Yahoo |
|---|---|---|
| SPF 및 DKIM | 두 가지 모두 설정 | 이 두 가지 모두 하루에 약 5,000건 이상의 메시지를 보내는 사용자를 위해 설정되어 있으며, 그 외 모든 사용자에게도 이를 강력히 권장합니다. |
| DMARC 레코드 | 게시됨, 최소 p=없음 | 게시됨, 최소 p=none, SPF 또는 DKIM과 정렬됨 |
| 도메인별 분류 | 예, SPF 또는 DKIM을 통해 가능합니다. | 예 |
| 리버스 DNS 및 TLS | 필수 | 예상 |
| 스팸 신고율 | 0.3% 미만, 0.1%를 목표로 함 | 낮은 수준을 유지; 마이크로소프트는 평판을 면밀히 주시하고 있다 |
| 원클릭 구독 취소 | 대량 발신자가 보내는 마케팅 메일 | 대량 발신자가 보내는 마케팅 메일 |
이 규칙들은 공식적으로 개인용 Gmail, Outlook.com 및 Yahoo 주소로 전송되는 메일을 다룹니다. 실제로는 Microsoft 365과 Google Workspace도 업무용 메일함에 동일한 검사를 적용하므로, 고객이 어떤 서비스를 사용하든 해결 방법은 동일합니다.
20분 점검
- 귀사의 도메인을 통해 전송되는 모든 항목을 나열하십시오. Microsoft 365나 Google Workspace, CRM, 청구서 발행 및 급여 관리 도구, 뉴스레터 플랫폼, 웹사이트의 문의 양식, 헬프데스크, 캘린더 및 예약 도구, 그리고 이메일로 스캔해 보내는 그 프린터 하나. 대부분의 도메인에는 5개에서 8개 정도가 있습니다.
- SPF 레코드를 확인하세요. 정확히 하나여야 합니다. 목록에 있는 모든 서비스를 포함해야 하며, DNS 조회 횟수는 10회 미만이어야 하고, 끝은 -all 또는 ~all로 끝나야 합니다. 두 번째 SPF 레코드나 11번째 조회가 있으면 모든 항목에서 불합격 처리됩니다.
- 모든 곳에서 DKIM을 활성화하십시오. Microsoft 365에서는 Defender 포털의 ‘이메일 인증 설정’에서, Google Workspace에서는 ‘앱’ > ‘Google Workspace’ > ‘Gmail’ > ‘이메일 인증’에서 확인할 수 있습니다. 모든 타사 도구에는 각각 고유한 DKIM 설정이 있으며, 이를 통해 추가해야 할 DNS 레코드 두 개 또는 세 개가 제공됩니다.
- 모니터링 수준에서 DMARC를 게시합니다. p=none으로 설정된 레코드와 보고용 주소를 변경해도 당장은 아무런 변화가 없지만, 며칠 이내에 보고서를 통해 귀하가 잊고 있던 서비스와 귀하를 사칭하는 모든 주체를 포함하여, 귀하를 사칭하여 메시지를 보내는 모든 서비스가 표시됩니다.
- 테스트를 보내고 결과를 확인해 보세요. 개인 Gmail 계정으로 이메일을 보내고, 메시지를 열어 ‘원본 보기’를 선택한 다음 SPF: PASS, DKIM: PASS, DMARC: PASS가 표시되는지 확인하세요. Outlook.com에서도 메시지 헤더에 동일한 정보가 표시됩니다. ‘FAIL’이 하나라도 나타나면 정확히 어떤 레코드를 수정해야 하는지 알 수 있습니다.
- DMARC 보안을 단계적으로 강화하십시오. 2~4주 동안 오류 없는 보고서가 유지되면 p=quarantine으로 전환한 다음, p=reject로 설정하십시오. reject 상태에서는 누구도 귀하의 이름으로 이메일을 보낼 수 없으며, 수신자들은 귀하의 이메일을 더 신뢰하게 됩니다.
인증처럼 보이지만 실제로는 아닌 문제들
- 해킹당한 메일함. 하룻밤 사이에 메일 전송률이 급감했다면, 무엇보다 먼저 영향을 받은 계정의 로그인 기록과 수신함 규칙을 확인하십시오. 공격자는 답장을 숨기는 규칙을 추가하고 실제 계정에서 스팸 메일을 발송합니다.
- 일반 메일함에서 발송된 대량 메일. Outlook과 Gmail은 캠페인이 아닌 대화를 위해 설계되었습니다. 수백 명의 연락처에 대한 업데이트는 적절한 도구를 통해 처리되어야 하며, news.yourcompany.com과 같은 하위 도메인에서 발송되어야만 해당 도메인에서 문제가 발생하더라도 메인 도메인에는 영향을 미치지 않습니다.
- 과도한 서명 및 링크 단축기 사용. 이미지 수를 줄이고, 단축 링크를 사용하지 않으며, 사람이 직접 쓴 듯한 자연스러운 문체를 사용하십시오.
- 완전히 새로운 도메인입니다. 이력이 없는 도메인은 처음 몇 주 동안 의심스러운 것으로 간주됩니다. 적은 양의 메시지와 실제 대화를 통해 시작하십시오.
- 구매하거나 수집한 목록. 불만 접수율이 0.3%를 초과하면 해당 공급업체의 우대 대상에서 일주일 동안 제외되며, 기록을 수정해도 이 상태는 복구되지 않습니다.
순서대로 유지하세요
- 이메일을 발송하는 모든 새로운 도구를 설정 당일에 SPF 및 DKIM에 추가하십시오.
- 매월 DMARC 보고서를 직접 확인하거나, 다른 사람에게 확인을 의뢰하십시오.
- 마케팅 및 거래 관련 메일은 별도의 하위 도메인에 분리하여 관리하십시오.
- Google Postmaster Tools 및 Microsoft의 발신자 도구에서 불만 발생률을 확인하세요.
- 누가 수신함 규칙과 전달 기능을 생성할 수 있는지 확인하십시오. 공격자가 가장 먼저 변경하는 것이 바로 이러한 기능들이기 때문입니다.
일반적으로 다음 네 가지 중 하나입니다: SPF에 추가되지 않은 새로운 도구가 귀하의 도메인을 사용하여 이메일을 보내기 시작했거나, SPF 레코드가 10회 조회 한도를 초과했거나, 사서함이 해킹당했거나, 2025년 말 구글이 그랬던 것처럼 제공업체가 규제를 강화한 경우입니다. 위의 20분 점검을 통해 어떤 경우인지 확인할 수 있습니다.
네. 현재 Google은 Gmail 주소로 이메일을 보내는 모든 발신자에게 DMARC 레코드를 요구하고 있으며, Outlook.com 역시 대규모 발신자에게 이를 요구하고 있습니다. p=none으로 설정된 레코드는 아무런 변화를 주지 않으며 비용도 들지 않는데, 이는 누군가 귀하를 사칭하여 이메일을 보내는지 확인할 수 있는 유일한 방법입니다.
p=none에서는 발생하지 않습니다. 모든 정상적인 서비스가 통과하기 전에 격리 또는 거부로 넘어가면 문제가 발생하므로, 저희는 먼저 몇 주 동안 보고서를 검토합니다.
네. 해당 레코드는 귀사의 도메인 DNS에 저장되며, 이메일을 전송하는 플랫폼이나 도구에 관계없이 적용됩니다. 유일한 차이점은 DKIM을 활성화하는 위치뿐입니다.
Microsoft 365는 SPF 및 DKIM에 포함되어 있지만 CRM은 포함되어 있지 않거나, CRM이 귀사의 도메인이 아닌 자체 도메인으로 서명하기 때문입니다. 각 도구에는 이 문제를 해결하는 DKIM 설정이 있습니다.
대부분의 도메인에서 레코드는 하루 만에 수정할 수 있습니다. DMARC 설정을 단계적으로 강화하여 안전하게 거절할 수 있게 하려면 몇 주 동안 보고서를 검토해야 하며, 손상된 평판은 몇 주 동안 정상적인 메일 발송을 통해 회복됩니다.
SF3 Technologies가 제공하는 지원
당사는 귀하의 도메인을 통해 이메일을 발송하는 모든 서비스를 파악하고, SPF을 수정하며, Microsoft 365, Google Workspace 및 각 도구에서 DKIM을 활성화하고, DMARC을 게시한 후 보고서를 검토하며 거부 설정까지 진행하여, 귀하의 이메일이 정상적으로 수신되도록 하고 누구도 귀하의 이름으로 이메일을 보낼 수 없도록 합니다. 해당 레코드는 귀하의 DNS 및 테넌트에 남아 귀하의 통제 하에 유지됩니다.
발신자 요건은 2026년 10월 기준 Google 및 Microsoft에서 발표한 내용이며, 시간이 지남에 따라 변경될 수 있습니다. 특정 기준치를 신뢰하기 전에 각 제공업체의 최신 발신자 지침을 확인하시기 바랍니다.