DMARC 집계 보고서(Aggregate Report) 뷰어
메일 서버에서 받은 DMARC 집계 보고서(XML·gzip·ZIP 형식 지원)를 업로드하면 발신 IP별 SPF/DKIM 인증 결과와 정책 적용 결과를 표로 확인할 수 있습니다. 분석은 100% 브라우저 내에서 이루어지며 파일은 서버로 전송되지 않습니다.
DMARC 집계 보고서 뷰어란
도메인에 DMARC를 설정하면 Gmail, Yahoo, Microsoft 등 수신 측 메일 서비스가 매일 해당 도메인을 사칭한 발신자가 몇 통의 메일을 보냈는지, SPF/DKIM 인증 결과는 어땠는지, DMARC 정책이 실제로 어떻게 적용되었는지를 정리한 XML 파일을 보내옵니다. 이것이 DMARC 집계 보고서(Aggregate Report)입니다. 원본 XML은 사람이 읽기 위한 형식이 아니며 대개 gzip이나 ZIP으로 압축되어 도착하기 때문에, 첨부 파일을 그대로 열어 봐도 유용한 내용을 파악하기 어렵습니다.
이 도구는 집계 보고서의 XML, gzip, ZIP 파일을 브라우저에 업로드하기만 하면 발신 IP별 메시지 수, SPF/DKIM 인증 결과, 정책 적용 결과를 읽기 쉬운 표로 변환해 줍니다. 모든 분석은 브라우저 내 JavaScript에서 처리되며 파일 내용이 외부 서버로 전송되는 일은 없습니다. 이 보고서에는 조직의 메일 발신 IP처럼 민감한 정보가 담겨 있기 때문에, 이 점을 설계의 핵심 전제로 삼고 있습니다.
DMARC 집계 보고서 뷰어 사용 방법
- 집계 보고서 파일을 준비합니다 DMARC 레코드의 rua 태그에 지정한 메일 주소로 도착한 첨부 파일(.xml / .xml.gz / .zip)을 찾습니다.
- 파일을 업로드합니다 업로드 영역에 드래그 앤 드롭하거나 클릭하여 파일을 선택합니다.
- 보고서 기본 정보를 확인합니다 발신 조직, 집계 기간, 대상 도메인, DMARC 정책(p)과 적용 비율(pct)을 확인합니다.
- 발신 IP별 인증 결과를 살펴봅니다 각 행에는 발신 IP의 메시지 수, SPF/DKIM 통과 또는 실패 여부, 실제 정책 적용 결과가 표시됩니다.
- 낯선 발신자가 없는지 확인합니다 알지 못하는 IP가 대량으로 메일을 보내고 있다면 사칭 시도일 가능성을 의심하고 From 헤더와 함께 확인합니다.
더 잘 활용하기 위한 팁
- DMARC 집계 보고서는 보통 DMARC 레코드의 "rua" 태그에 지정한 주소로 매일(gzip 또는 ZIP으로 압축된 XML 형태) 발송됩니다. 받은 첨부 파일을 그대로 이 도구에 업로드하면 됩니다.
- "SPF/DKIM 동시 통과율"이 낮다면 정상적인 발신자(마케팅 플랫폼·CRM·외부 메일 발송 대행사 등)가 SPF/DKIM을 제대로 설정하지 않았을 가능성이 있습니다. 발신 IP를 기록해 두고 조사해 보세요.
- 정책(p)이 아직 "none"인 동안에는 인증에 실패한 메일도 계속 전달됩니다. 통과율이 꾸준히 높아진 뒤에 quarantine이나 reject로 단계적으로 강화하는 것이 안전합니다.
- 낯선 발신 IP가 대량의 메시지를 자사 도메인 명의로 보내고 있다면 도메인을 사칭한 피싱이나 스팸일 수 있습니다. Header From 값과 발신 IP의 역방향 조회를 확인해 보세요.
- 여러 날짜의 보고서를 비교할 때는 각 파일에 포함된 집계 기간(begin/end)을 기록해 두면 통과율 변화를 시간순으로 추적하기 쉬워집니다.
DMARC 집계 보고서 뷰어 활용 사례
사칭·피싱 시도를 점검합니다
자사 도메인을 사칭한 발신 IP 중 알지 못하는 IP가 섞여 있지 않은지 정기적으로 확인하여 사칭 징후를 조기에 발견합니다.
마이그레이션 후 새 SPF/DKIM 설정을 검증합니다
메일 발송 서비스를 변경하거나 DNS 레코드를 수정한 직후, 실제 발신원이 인증을 통과하고 있는지 보고서로 확인합니다.
서브도메인 정책 준수 상황을 모니터링합니다
sp(서브도메인 정책)를 설정했다면 서브도메인을 통한 발신이 의도한 방침대로 처리되고 있는지 확인합니다.
외부 발신자를 감사합니다
마케팅 대행사나 외부 SaaS가 자사 도메인 명의로 발송하는 경우를 찾아내고 SPF/DKIM 설정에 누락이 없는지 점검합니다.
정책을 단계적으로 강화할 근거로 삼습니다
none에서 quarantine·reject로 정책을 강화하기 전에, 통과율이 충분히 높은지 보고서로 확인하여 정상 메일이 잘못 차단되지 않도록 합니다.
DMARC 관련 용어집
- DMARC
- Domain-based Message Authentication, Reporting & Conformance의 약자입니다. SPF와 DKIM의 결과를 통합하고, 인증에 실패한 메일을 어떻게 처리할지 도메인 소유자가 DNS에서 선언할 수 있게 합니다.
- SPF
- Sender Policy Framework의 약자입니다. 도메인 소유자가 해당 도메인에서 메일 발송을 허가한 IP 주소를 DNS에 등록해 두고, 실제 발신 IP와 대조하는 방식입니다.
- DKIM
- DomainKeys Identified Mail의 약자입니다. 메일에 전자 서명을 첨부하여 전송 중 변조되지 않았는지, 실제로 신고된 도메인에서 보낸 것인지 검증하는 방식입니다.
- 집계 보고서(Aggregate Report)
- DMARC의 rua 태그에 지정한 주소로 매일 도착하는 XML 형식 보고서입니다. 발신 IP별 메시지 수, 인증 결과, 정책 적용 결과가 정리되어 있습니다.
- 정책(p / sp)
- 인증에 실패한 메일의 처리 방식입니다. none(아무 조치 없이 모니터링만), quarantine(스팸함 등으로 격리), reject(수신 거부)의 3단계가 있으며, p는 본 도메인, sp는 서브도메인용 지정입니다.
- 얼라인먼트(alignment)
- From 헤더의 도메인과 SPF/DKIM으로 실제 인증된 도메인이 일치하는지에 대한 판정입니다. 일치하지 않으면 SPF나 DKIM이 개별적으로 통과했더라도 DMARC로는 실패로 처리됩니다.
- pct
- DMARC 정책을 적용할 메시지 비율(%)입니다. 100 미만으로 설정하면 지정한 비율의 메시지에만 정책이 적용되며, 단계적인 이행에 활용됩니다.
- 처리 결과(disposition)
- 수신 측이 실제로 해당 메일에 적용한 처리 결과입니다. 선언한 정책(p/sp)대로 처리되었는지를 레코드 단위로 확인할 수 있습니다.
자주 묻는 질문
여담 ― DMARC 보고서가 "보이지 않는 위협"을 드러낸 이야기
2012년에 표준화된 DMARC(Domain-based Message Authentication, Reporting & Conformance)는 기존의 두 인증 기술인 SPF와 DKIM을 묶어, 인증에 실패한 메일을 어떻게 처리할지를 도메인 소유자가 DNS를 통해 직접 선언할 수 있게 했습니다. 하지만 많은 관리자에게 진짜 가치는 정책 적용 자체가 아니라 "집계 보고서(rua)" 기능에 있습니다.
DMARC이 등장하기 전에는 자사 도메인을 사칭해 발송되는 메일이 얼마나 되는지, 그중 정상 발신과 위조 발신이 각각 얼마나 되는지 알 방법이 거의 없었습니다. 도메인 명성이 악용되어도 수신자의 항의가 없는 한 알아차릴 수 없는 "보이지 않는 위협"이었습니다.
DMARC 집계 보고서는 이런 트래픽을 눈에 보이게 만들어 줍니다. 어떤 IP가 자사 도메인 명의로 얼마나 많은 메일을 보냈는지, 그리고 각각이 SPF·DKIM 검증에서 어떤 결과를 받았는지 알 수 있습니다. 대형 메일 제공업체(Gmail·Yahoo·Microsoft 등)는 자신이 수신한 메일에 대해 충실히 보고서를 돌려주기 때문에, 미처 파악하지 못했던 발신원(클라우드 서비스, 영업 담당자가 개인적으로 계약한 메일 발송 도구, 혹은 사칭자)을 발견할 수 있습니다.
2024년 Google과 Yahoo가 대량 발신자에 대해 DMARC 도입을 사실상 의무화하면서, 집계 보고서 분석에 대한 수요가 개발자와 메일 관리자 사이에서 급격히 늘었습니다. 많은 기업이 유료 모니터링 SaaS를 도입하지만, 단발성으로 보고서 하나의 내용만 확인하고 싶다면 이 도구처럼 브라우저 내에서 완결되는 무료 분석 도구로도 충분한 경우가 많습니다.