무료 도구

DKIM 레코드 생성기

도메인과 셀렉터에 맞는 올바른 DKIM DNS 호스트 이름과 TXT 레코드 형식을 만듭니다. 공개 키를 붙여넣은 뒤 게시하십시오.

DKIM DNS 레코드 형식 생성

셀렉터 이름

일반적인 값: mail, google, s1, default. 메일 제공업체가 지정한 셀렉터를 사용하십시오.

도메인

DKIM이란 무엇이며 어떻게 작동합니까?

DKIM(DomainKeys Identified Mail)은 발신자가 나가는 각 메일에 암호학적으로 서명할 수 있게 하는 이메일 인증 방식입니다. 수신 메일 서버는 발신자의 DNS에 게시된 공개 키로 이 서명을 검증합니다. 유효한 DKIM 서명은 두 가지를 증명합니다. 메시지가 실제로 명시된 도메인에서 왔다는 점, 그리고 전송 중 메시지가 변경되지 않았다는 점입니다.

허용 목록과 발신 IP를 대조하는 SPF와 달리, DKIM은 메시지 자체에 디지털 서명을 첨부하는 방식으로 작동합니다. 따라서 전달 서버의 IP가 원래 SPF 레코드에 없어 SPF가 실패하는 경우가 많은 메일 전달(포워딩) 이후에도 DKIM 검증은 유지됩니다.

DKIM DNS 레코드 형식 이해하기

DKIM 레코드는 selector._domainkey.yourdomain.com 하위 도메인에 게시하는 DNS TXT 레코드입니다. 셀렉터는 직접 정하는 레이블이며, 일반적인 값은 mail, google, s1, default입니다. 레코드 값은 v=DKIM1; k=rsa; p=로 시작한 뒤 base64로 인코딩된 공개 키가 이어집니다.

개인 키는 메일 서버에 비밀로 보관하거나 이메일 서비스 제공업체가 관리합니다. 공개 키는 DNS에 게시하는 값입니다. 수신 서버는 공개 키로 개인 키가 만든 서명을 검증합니다. 전형적인 공개 키 암호 방식입니다.

DKIM 공개 키를 찾는 위치

DKIM 공개 키는 DKIM 서명을 켤 때 메일 제공업체가 생성합니다. 주요 제공업체에서 확인하는 위치는 다음과 같습니다.

Google Workspace: 관리 콘솔 → 앱 → Google Workspace → Gmail → 이메일 인증. 새 키를 생성한 뒤 TXT 레코드 값을 복사하십시오.
Microsoft 365: Exchange 관리 센터 → 보호 → DKIM. 도메인에 DKIM을 사용하도록 설정한 뒤 CNAME 레코드를 복사하십시오(Microsoft는 직접 TXT 레코드가 아니라 CNAME을 사용합니다).
Mailchimp: 계정 → 도메인 → 도메인 인증. Mailchimp가 DNS에 추가할 DKIM TXT 레코드 값을 제공합니다.
SendGrid: 설정 → 발신자 인증 → 도메인 인증. SendGrid가 전체 DKIM TXT 레코드를 생성해 줍니다.
자체 호스팅(Postfix, Exim): opendkim-genkey로 키 쌍을 생성하십시오. 공개 키 파일에 TXT 레코드 값이 들어 있습니다.

DKIM 모범 사례

가능하면 2048비트 키 길이를 사용하십시오. 1024비트 키는 약한 것으로 간주되며 일부 메일 시스템에서 표시될 수 있습니다. DKIM 키는 주기적으로(최소 연 1회) 교체하여 키가 유출되었을 때의 노출을 줄이십시오. 교체 후에도 전송 중인 메시지가 검증될 수 있도록 며칠간 이전 키를 DNS에 유지하십시오.

DKIM만으로는 표시되는 From 헤더를 보호하지 않습니다. 이메일 인증 설정을 완성하려면 DKIM 결과를 From 도메인과 맞추는 DMARC 정책을 추가하십시오. 깨끗한 이메일 목록도 중요합니다. 인증된 메일도 반복 반송되면 스팸함으로 들어갑니다. 유효하지 않은 주소를 제거하려면 이메일 검증 을 사용하거나, 대규모 목록은 대량 이메일 검증으로 검증하십시오.

키와 셀렉터 입력

DKIM 레코드 생성기가 만드는 것과 발신 측에서 가져와야 하는 부분

DKIM DNS 레코드는 셀렉터 아래에 공개 키를 게시합니다. 대응하는 개인 키는 발신 메일에 서명하는 시스템 안에 남아 있어야 합니다.

셀렉터는 이름이 지정된 키 위치를 만듭니다

google, s1, mail과 같은 셀렉터는 selector._domainkey.example.com이 됩니다. 서로 다른 제공업체와 교체 주기는 도메인의 모든 DKIM 키를 바꾸지 않고도 다른 셀렉터를 사용할 수 있습니다.

발신 플랫폼이 DKIM-Signature 헤더의 s= 태그에 넣도록 설정된 셀렉터를 선택하십시오. 다른 셀렉터 아래의 DNS 레코드는 해당 메시지에 대해 조회되지 않습니다.

DNS에는 공개 키만 넣습니다

p= 값은 수신 측이 사용하는 base64 인코딩 공개 키입니다. 개인 키는 메시지에 서명하며 제공업체, 메일 전송 에이전트, 또는 보안 키 시스템 안에 비밀로 유지해야 합니다.

이 생성기는 공개 키를 중심으로 DNS 소유자 이름과 TXT 값을 구성합니다. 메일 흐름이 사용하는 개인 서명 설정을 만들거나 설치하지는 않습니다.

레코드 구조

게시하기 전에 생성된 DKIM 레코드를 확인하십시오

DNS 레코드는 짧지만, 모든 필드는 메시지 수준 서명 결정과 연결됩니다.

v=DKIM1은 레코드 형식을 식별합니다

버전 태그는 DKIM 키 데이터를 다른 TXT 내용과 구분합니다. RSA를 사용할 때 k=rsa가 키 유형을 식별하고, p=는 PEM 헤더나 개인 키 텍스트 없이 공개 키 자료를 담습니다.

d=와 s= 서명 태그가 이 키를 선택합니다

수신 측은 d=의 서명 도메인과 s=의 셀렉터를 결합해 DNS 질의를 구성합니다. 생성된 소유자 이름은 발신 하위 도메인을 포함해 그 쌍과 정확히 일치해야 합니다.

긴 TXT 값은 따옴표로 나뉜 조각으로 표시될 수 있습니다

DNS 제공업체는 긴 DKIM 값을 여러 개의 따옴표로 묶인 문자열로 나누기도 합니다. DNS는 TXT 응답에서 그 문자열을 이어 붙입니다. 제어판에 보이는 따옴표와 공백은 공개 키의 일부가 아닙니다.

게시된 키가 메시지 서명의 증거는 아닙니다

발신 측이 DKIM-Signature를 생략하거나, 다른 셀렉터로 서명하거나, 도메인이 맞지 않거나, 정규화에 실패해도 DNS에는 유효한 레코드가 있을 수 있습니다. 게시 후 메시지 경로를 확인하십시오.

배포 절차

키 준비부터 검증된 서명까지 DKIM 생성기 사용 방법

네 가지 명시적 단계로 DNS 게시와 메일 시스템 서명을 동기화하십시오.

1
서명할 시스템에서 키 쌍 확보
제공업체의 도메인 인증 설정 또는 메일 서버가 지원하는 키 도구를 사용하십시오. 발신 측과 DNS 호스트가 모두 지원하는 최신 키 크기를 선택하고, 이 페이지에 개인 키를 붙여넣지 마십시오.
2
TXT 소유자 이름과 공개 값 생성
정확한 발신 도메인, 셀렉터, 공개 키를 입력하십시오. DNS 인터페이스마다 영역 이름을 자동으로 붙이는지 여부가 다르므로 소유자와 값을 따로 복사하십시오.
3
셀렉터 게시 및 조회
해당 DNS TTL을 기다린 뒤 DKIM 레코드 검사기로 selector._domainkey가 예상한 공개 키를 반환하는지 확인하십시오.
4
서명된 메시지를 보내고 결과 확인
수신된 DKIM-Signature와 Authentication-Results 헤더에서 예상한 d= 도메인, s= 셀렉터, dkim=pass를 확인하십시오. 메시지 수준 통과 없이 DNS만 성공한 것은 불완전한 배포입니다.

보안 경계

DKIM 레코드 생성기가 대신 설정할 수 없는 항목

공개 레코드는 DKIM에서 수신 측에 보이는 절반에 불과합니다.

개인 키를 설치하거나 보호할 수 없습니다

개인 키 저장, 접근 제어, 서명 서비스 구성, 사고 시 교체는 메일 제공업체 또는 서버의 영역입니다. 개인 키가 노출되면 다른 시스템이 수신 측이 신뢰할 수 있는 서명을 만들 수 있습니다.

서명자의 헤더나 정규화를 선택할 수 없습니다

어떤 헤더와 본문 표현에 서명할지는 메일 시스템이 결정합니다. 서명된 내용을 중간에서 바꾸면 DNS 키가 올바르더라도 서명이 무효가 될 수 있습니다.

DKIM 통과는 연결 IP를 인가하지 않습니다

허용된 봉투 발신자를 지정하려면 SPF 레코드를 게시하십시오. DKIM과 SPF는 서로 다른 증거를 제공하므로 함께 배포해야 합니다.

DKIM만으로는 표시 도메인 정렬을 강제하지 않습니다

정렬된 SPF와 DKIM이 표시되는 From 도메인을 뒷받침하지 않을 때 수신 측이 메일을 어떻게 처리해야 하는지 지정하려면 DMARC 생성기를 사용하십시오.

권위 있는 참고 자료

DKIM 키와 서명은 RFC 6376에 정의되어 있습니다

이 표준은 공개 DNS 키를 각 메시지에 추가되는 서명 필드와 연결합니다.

RFC 6376은 셀렉터, 키 레코드, 검증을 정의합니다

IETF의 RFC 6376은 _domainkey 네임스페이스, 셀렉터 조회, DKIM-Signature 태그, 정규화, 서명, 검증 동작을 정의합니다.

생성 후 모든 계층을 검증하십시오

공개 키는 DKIM 검사기로 확인하고, 실제 메시지 헤더를 검사한 뒤 DMARC 검사기로 정렬을 확인하십시오.

자주 묻는 질문

1. DKIM 셀렉터란 무엇입니까?

DKIM 셀렉터는 DNS의 특정 공개 키를 가리키는 짧은 이름(예: mail 또는 google)입니다. 같은 도메인에 여러 키를 게시할 수 있습니다. 예를 들어 Google Workspace용 하나와 마케팅 ESP용 하나를 둘 수 있습니다.

2. DKIM TXT 레코드는 어디에 게시합니까?

selector._domainkey.yourdomain.com에 TXT 레코드로 게시하십시오. selector는 제공업체가 알려 준 값으로, yourdomain.com은 발신 도메인으로 바꾸십시오.

3. DKIM이 SPF보다 전달(포워딩)에 강한 이유는 무엇입니까?

SPF는 연결 IP를 확인합니다. 전달 후에는 연결 IP가 바뀌어 SPF가 실패하는 경우가 많습니다. DKIM은 메시지 본문과 선택한 헤더에 서명하므로, 여러 번 전달된 후에도 검증이 유지됩니다.

4. 1024비트와 2048비트 DKIM 키 중 어느 것을 사용해야 합니까?

DNS 제공업체가 긴 TXT 값을 지원하면 2048비트 키를 권장합니다. 일부 구형 DNS 호스트는 긴 레코드를 분할해야 하지만, 대부분의 최신 제공업체는 2048비트 키를 문제없이 처리합니다.

5. DKIM이 SPF를 대체합니까?

아닙니다. 둘 다 사용하십시오. SPF는 발신 IP를 인가하고, DKIM은 메시지에 서명합니다. 이후 DMARC가 그 결과를 From 도메인과 맞추고, 실패 시 수신 측이 어떻게 처리할지 지시합니다.

6. DKIM이 작동하는지 어떻게 확인합니까?

직접 관리하는 메일함으로 테스트 메시지를 보낸 뒤, 원본 헤더를 열고 Authentication-Results에서 dkim=pass를 찾으십시오. 이메일 헤더 분석기 도구를 사용할 수도 있습니다.

다음 단계

이메일 목록 검증 및 정리

인증은 도메인을 보호합니다. 깨끗한 목록은 평판을 보호합니다. BillionVerify는 SMTP 수준의 정확도로 주소를 검증합니다.

이메일 무료 검증 대량 검증

월 600 + 로그인 시 매일 20 무료 크레딧 · 99.9% SMTP 정확도 · 즉시 API 이용 · 신용카드 불필요

99.9%

정확도

Real-time

API 속도

$0.00014

이메일당

600/mo

영구 무료