이메일 헤더 분석 도구 (メールヘッダー解析ツール)
수신한 이메일의 원본 헤더(Received:, Authentication-Results: 등)를 붙여넣으면 전송 경로를 홉 단위로 분석하고 SPF/DKIM/DMARC 인증 결과도 함께 표시합니다. 분석은 100% 브라우저 내에서 처리됩니다.
Received: 헤더 각 절(clause)의 의미
| 절(clause) | 의미 |
|---|---|
| from | 이 메일을 전달한 직전 서버의 호스트명/IP 주소. 위조될 수 있으므로 실제 발신 IP를 판단할 때는 가장 오래된(맨 아래) 홉의 정보를 우선시해야 합니다. |
| by | 이 홉에서 메일을 수신한 서버(예: 자신의 메일 서버)의 호스트명. |
| with | 사용된 전송 프로토콜(예: ESMTP, ESMTPS, SMTP). ESMTPS는 해당 연결이 TLS로 암호화되었음을 의미합니다. |
| for | 메일이 전달된 수신자 주소. 메일링 리스트나 여러 수신자가 있는 경우 생략되는 경우가 많습니다. |
| timestamp | 이 홉이 메일을 수신한 일시(발신 서버의 현지 시간대 포함). 홉 간의 시간 차이는 전송 지연을 가늠하는 대략적인 지표가 됩니다. |
Authentication-Results: 각 필드의 의미
| 필드 | 의미 |
|---|---|
| SPF | SPF(Sender Policy Framework) 인증 결과. 발신 IP가 해당 도메인의 DNS 레코드에서 허용한 주소 목록에 포함되는지 검증합니다. |
| DKIM | DKIM(DomainKeys Identified Mail) 인증 결과. 메일 본문 및 주요 헤더에 대한 전자 서명이 발신 도메인의 공개키로 검증되었는지 나타냅니다. |
| DMARC | DMARC(Domain-based Message Authentication, Reporting & Conformance) 인증 결과. SPF·DKIM 결과와 From 헤더 도메인의 일치 여부(얼라인먼트)를 종합적으로 판정한 결과입니다. |
팁
- Gmail에서는 메일을 연 뒤 오른쪽 위의 점 세 개 메뉴에서 "원본 보기"를 선택하면 원본 헤더를 확인할 수 있습니다. Outlook에서는 파일 > 속성 > 인터넷 헤더에서 확인할 수 있습니다.
- Received: 헤더는 메일 본문에 최신 순(수신 측이 먼저)으로 추가되므로, 이 도구는 이를 발신자에서 수신자 순으로 시간순 정렬하여 표시합니다.
- 경로상의 메일 서버 시계가 약간 어긋나 있으면 "이전 홉으로부터의 지연"이 음수로 표시될 수 있습니다. 몇 초 수준의 음수 값은 대개 실제 지연이 아니라 단순한 시계 오차입니다.
- SPF, DKIM, DMARC가 모두 통과했다고 해서 사기 메일이 아니라는 보장은 되지 않습니다. 인증은 발신 도메인 소유자가 설정한 절차가 올바르게 이루어졌는지만 검증하며, 공격자가 합법적으로 소유한 유사 도메인은 탐지할 수 없습니다.
- 특정 두 홉 사이에서 지연이 급격히 늘어난다면 해당 구간의 메일 서버에서 전송 지연이나 스팸 필터에 의한 보류가 발생했을 가능성이 있습니다.
자주 묻는 질문
여담 ― 이메일 헤더는 "디지털 소인"의 모음
편지에 찍히는 소인이 어느 우체국이 언제 처리했는지를 기록하는 것처럼, 이메일의 Received: 헤더는 그 메일을 중계한 모든 서버가 자신의 타임스탬프를 남기는 "디지털 소인"의 모음입니다. SMTP 프로토콜(RFC 5321)은 메일을 중계하는 모든 서버가 자신의 정보를 헤더 맨 앞에 추가하도록 규정하고 있어, 메일 한 통마다 전송 경로의 완전한 기록이 자연스럽게 쌓이게 됩니다.
이 구조가 실무에서 가장 유용하게 쓰이는 곳은 스팸 메일의 발신지 조사입니다. 발신자란(From 헤더)은 누구나 자유롭게 고쳐 쓸 수 있지만, 발신자가 표준 SMTP를 사용하는 한 가장 오래된(즉 메일이 처음 시스템에 투입된) Received 홉에 기록된 접속 IP만큼은 위조하기 어렵습니다. 스팸 대응 전문가가 가장 먼저 확인하는 것도 바로 이 가장 오래된 Received 홉입니다.
SPF·DKIM·DMARC라는 세 가지 인증 기술은 이 "소인"만으로는 막을 수 없는 위장 발신에 대응하기 위해 나중에 추가되었습니다. SPF는 발신 IP가 도메인의 허용 목록에 있는지, DKIM은 전자 서명으로 메일 내용이 변조되지 않았는지, DMARC는 이 둘과 From 헤더 도메인의 일치 여부를 종합적으로 판정합니다. 2024년 Google과 Yahoo가 대량 발신자에게 DMARC 적용을 사실상 의무화하면서, Authentication-Results 헤더는 일반 수신 메일에서도 흔히 볼 수 있게 되었습니다.
평소에는 거의 의식하지 않는 이메일 헤더이지만, 한 번 열어보면 그 메일 한 통이 지구상의 어떤 서버를 몇 초 만에 거쳐 왔는지, 눈에 보이지 않는 인터넷 여정이 세밀하게 기록되어 있음을 알 수 있습니다.