이메일 도달률 및 DNS

DKIM 키 생성부터 DNS와 DMARC 정렬까지 설정하기

작성자: Alexey Bulygin 2026년 4월 25일

2026년에 DKIM 없이 보내면 거부나 스팸 위험이 커집니다. Google과 Yahoo는 여러 발신자에게 암호화 인증을 요구합니다. DKIM 설정은 550 5.7.26 같은 오류를 줄이는 데 필요하지만 받은편지함을 보장하지 않습니다.

DKIM은 발신 메일에 디지털 서명을 붙입니다. 수신 서버는 DNS의 공개 키로 확인합니다. 일치하면 출처와 서명된 내용의 무결성을 확인하고, 실패하면 표시하거나 거부할 수 있습니다.

키 생성, DNS 게시, 검증과 정렬을 설명합니다. SPF는 먼저 이메일 SPF 레코드 안내서를 참고하세요.

30초로 이해하는 DKIM

DKIM은 RFC 6376의 비대칭 암호화를 씁니다. 서버는 개인 키로 서명하고, 수신자는 DNS의 공개 키로 검증합니다.

두 가지를 확인합니다.

신원: 서명이 해당 도메인 키와 연결됩니다.
무결성: 서명된 부분이 전송 중 바뀌지 않았습니다.

DKIM이 없으면 도메인 평판과 전달에 불리할 수 있습니다. 다른 신호도 함께 작용합니다.

DKIM 설정 전체 과정

키 생성, DNS 게시, 전파 검증, DMARC 정렬 확인의 네 단계가 필요합니다. 하나를 생략하면 인증이 실패할 수 있습니다.

단계 1: DKIM 키 쌍 생성

메일 업체에서 키를 만드세요. 무작위 외부 사이트가 개인 키를 만들면 그 사이트도 도메인 서명을 위조할 수 있습니다.

선택자는 s1, google, tm1 같은 이름이며, 함께 공개 키 값을 받습니다. 서비스마다 별도 선택자를 쓸 수 있습니다.

TrekMail 사용자

Starter, Pro, Agency($3.50-$23.25/월): 설명된 기능에서는 키 생성과 교체를 관리하고 CNAME 하나를 게시합니다. 최신 조건을 확인하세요.
Nano($0, 카드 불필요): Amazon SES, SendGrid, Mailgun 등 직접 연결 SMTP를 쓴다면 그 업체에서 키를 만듭니다.

다른 업체

Google Workspace: Admin Console → Apps → Gmail → Authenticate Email → Generate New Record. 공식 DKIM 문서를 참고하세요.
Microsoft 365: Defender → Policies & rules → Threat policies → Email authentication settings → DKIM.
Amazon SES: Verified Identities → Click Domain → DKIM → Generate.
SendGrid: Settings → Sender Authentication → Authenticate Your Domain.

출력 예시는 다음과 같습니다.

Selector: tm1
Value: v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A...

둘 다 복사하세요.

단계 2: DKIM DNS 레코드 게시

Cloudflare, Namecheap, GoDaddy, Route 53 등 실제 네임서버를 관리하는 DNS에 로그인해 레코드를 만듭니다.

다음 값을 사용합니다.

Type:  TXT  (or CNAME if your provider gave you a CNAME target)
Host:  selector._domainkey
Value: v=DKIM1; k=rsa; p=YOUR_PUBLIC_KEY_HERE
TTL:   3600

중요: 선택자가 tm1이면 도메인을 자동으로 붙이는 화면에서 Host는 tm1._domainkey이며 tm1._domainkey.example.com이 아닙니다. 자동 추가하지 않으면 전체 이름을 씁니다.

2048비트 키 길이 문제

지원되는 경우 2048비트를 사용하세요. 일부 업체는 1024비트를 받지 않습니다. 2048비트 키는 DNS TXT 조각의 255자 제한보다 길 수 있습니다.

"Invalid Length" 오류가 나면 업체 안내에 따라 두 따옴표 문자열로 나눕니다.

"v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCg
KCAQEAx7...first-half-of-key..."
"second-half-of-key...QAB"

DNS는 문자열을 논리적으로 합칩니다. Cloudflare 등은 자동 처리하지만 오래된 cPanel은 수동 분할이 필요할 수 있습니다.

단계 3: DKIM 레코드 검증

DNS는 즉시 반영되지 않습니다. 5-15분 뒤 공개 조회를 하되 TTL에 따라 더 기다릴 수 있습니다.

Mac 또는 Linux:

dig txt tm1._domainkey.yourdomain.com +short

Windows:

nslookup -q=txt tm1._domainkey.yourdomain.com

확인할 결과:

"v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQE..."

흔한 오류:

NXDOMAIN: 전파 전이거나 tm1._domainkey.example.com.example.com처럼 도메인을 중복 입력했습니다.
빈 응답: 레코드 형식이 잘못됐을 수 있습니다. 키 전체와 공백, 줄바꿈을 확인하세요.

단계 4: DMARC와 DKIM 정렬 확인

DKIM 서명이 수학적으로 유효해도 DMARC가 실패할 수 있습니다. 정렬을 확인하세요.

DMARC 정렬에서는 DKIM의 d= 도메인이 정책에 따라 From: 도메인과 맞아야 합니다. 실패 예시입니다.

From: you@yourcompany.com
DKIM signature: d=sendgrid.net

Result: DKIM passes, DMARC fails (domains don't match)

사용자 지정 DKIM 없이 외부 ESP가 자사 도메인으로 서명할 때 발생합니다.

지원되는 모든 발신 서비스에서 사용자 지정 DKIM을 켜세요. TrekMail 관리형 SMTP는 설명상 처음부터 고객 도메인으로 서명하지만 결과를 검증해야 합니다.

전체 관계는 이메일 발신자 평판을 참고하세요.

흔한 DKIM 설정 실수

다음 항목을 확인하세요.

발신 서비스 누락. Workspace, CRM, 마케팅 플랫폼은 각각 고유 선택자가 필요합니다.
1024비트 키 사용. 오래된 안내서는 아직 1024비트를 권하기도 합니다. 가능하면 더 안전하고 널리 요구되는 2048비트를 사용하세요.
키를 교체하지 않음. 정책에 따라 적어도 매년, 침해 의심 시 즉시 교체하세요. 관리형 요금제는 자동 교체로 설명됩니다.
selector._domainkey 형식 무시. 밑줄과 _domainkey는 필수입니다.

TrekMail의 DKIM 자동화 방식

도메인 하나는 약 20분이지만 10개나 50개면 부담이 됩니다. 만료 키나 잘못된 선택자가 며칠 동안 전달을 해칠 수 있습니다.

설명된 TrekMail 방식입니다.

Nano($0): 카드 없이 SPF, DKIM, DMARC 안내 도구를 제공합니다.
Starter($3.50/월), Pro($10/월): CNAME 하나로 키 생성, 교체와 서명을 관리합니다. 설명된 유료 요금제는 카드가 필요한 14일 체험을 포함합니다.
Agency($23.25/월): 고객 도메인에 관리형 인증을 적용하고 게이트웨이에서 TLS와 DKIM을 시행합니다.

수동 작업과 새벽 2시의 선택자 조사를 줄이지만 검증은 필요합니다. TrekMail을 무료로 시험하고 DKIM 결과를 확인하세요.