RFC 9989(이전의 DMARCbis)는 2026년 5월 20일에 제정되며 pct 태그와 공용 접미사 목록(Public Suffix List)을 공식적으로 폐기했다. 4개월 가까이 지난 지금, 공식적으로 지원을 밝힌 메일 서버는 단 하나뿐이다. 오픈소스 프로젝트와 주요 메일 서비스 제공업체의 DMARC 지원 현황을 알아보기 위해 릴리스 노트를 살펴보고 코드베이스 업데이트를 확인했다.
일제히 전환되는 날짜는 없다
RFC 9989는 v=DMARC1 태그를 유지하므로, 수신자 입장에서 새 레코드와 기존 레코드가 동일하게 보인다.
가장 큰 변화는 공용 접미사 목록(Public Suffix List) 조회가 도메인 정책을 찾아내기 위한 DNS 트리 탐색(tree walk)으로 대체되었다는 점이다.
섹션 6.3에서 알 수 없는 태그는 무시해야 한다고 명시하고 있으므로 기존 RFC 7489 수신 시스템도 문제없이 동작한다.
실제로 도입은 점진적으로 이루어질 것으로 보인다.
dmarcian, Ash Morin: "지원은 제공업체 전반에 걸쳐 동시가 아닌 점진적으로 배포될 것이다."
2026년 9월 14일 기준 구현 현황은 다음과 같다.
| 소프트웨어 | RFC 9989 최초 지원 버전 | 상태 |
|---|---|---|
| Stalwart | v0.16.12 | 배포 완료 |
| Mail::DMARC (SpamAssassin에서 사용) | 1.20260612 | 배포 완료 |
| OpenDMARC | 없음 (최근 릴리스 1.4.2) | develop 브랜치에 병합됨 |
| Rspamd | 없음 (4.1.5 버전 기준) | 공개된 소식 없음 |
| maddy, mox | 없음 | 공개된 소식 없음 |
| mailauth (Node.js) | 없음 (5.0.3에서 태그 파싱 지원) | 트리 탐색 미구현 |
| Gmail, Microsoft 365 | — | 공식 입장 없음 |
2개의 수신 소프트웨어가 지원 배포를 완료했다
Stalwart는 2026년 7월 6일에 v0.16.12를 릴리스하며 DMARCbis와 DKIM2를 지원하는 최초의 메일 서버라고 밝혔다. 그럼에도 9월 13일에 릴리스된 v0.16.22에서는 DMARC 적합성 문제 3건을 추가로 해결해야 했다.
Perl 라이브러리인 Mail::DMARC는 1.20260612 버전에서 RFC 9989 지원을 추가해 트리 탐색 구현, t= 및 np= 태그 파싱, pct 무시 기능 등을 반영했다. SpamAssassin의 DMARC 플러그인이 이 라이브러리에 의존한다. Fedora 43 및 44에는 해당 버전이 포함되어 있지만, Debian과 Ubuntu는 여전히 구버전을 배포하고 있다.
필터링 기능이 없는 2개의 Python 유틸리티도 새 표준을 채택했다. checkdmarc 6.0.0은 트리 탐색을 통해 레코드를 검증하며, parsedmarc 10.0.0은 RFC 9990 집계 보고서를 파싱한다.
OpenDMARC는 코드를 구현했지만 아직 릴리스하지 않았다
OpenDMARC는 여러 배포판에 패키지로 제공되는 Postfix용 DMARC 필터이며 Exim과 연동되고, Mail-in-a-Box 및 docker-mailserver에 기본 설치되어 제공된다.
develop 브랜치에는 2026년 6월 21일에 트리 탐색 지원, 6월 22일에 t= 태그, 7월 22일에 RFC 9990 보고서 필드가 추가되었다. 그러나 이러한 변경 사항은 전혀 릴리스되지 않았다. 가장 최근 공식 릴리스인 1.4.2는 2021년 12월 20일 자 버전으로, Debian, Ubuntu, Fedora, EPEL, Alpine, FreeBSD에서 여전히 배포되고 있다.
아직 릴리스되지 않은 develop 브랜치조차 기본값은 레거시 동작으로 설정되어 있다. opendmarc.conf.sample에서는 DMARCbisWalkMode의 기본값이 Auto(공용 접미사 목록 또는 RFC 7489 라벨 탐색으로 대체)로 명시되어 있으며, DMARCbisIgnorePct 기본값은 false(즉, pct가 여전히 정책 적용 기준으로 작용함을 의미)로 되어 있다.
Rspamd 및 기타 도구는 공개된 진행 상황이 없다
mailcow 및 Mailu에서 사용하는 Rspamd는 4.1.5 버전까지의 저장소, 이슈 트래커, 변경 이력(changelog)에서 RFC 9989 관련 작업 흔적을 보이지 않는다. DMARC 플러그인은 여전히 조직 도메인을 확인하는 데 공용 접미사 목록을 사용하며 pct를 평가한다.
Go 기반 메일 서버인 maddy와 mox 역시 공용 접미사 목록과 무작위 pct 평가를 계속 사용 중이다. mox에 RFC 9989 지원을 요청하는 이슈(#442)는 5월 23일 열린 이후 여전히 미해결 상태다.
Node.js 생태계의 경우 mailauth 5.0.3이 np, t, psd 태그를 파싱하지만, 해당 RFC 9989 테스트 수트에서는 미구현 기능이라는 이유로 트리 탐색 및 태그 평가 테스트를 명시적으로 건너뛰고 있다.
지메일·네이버 메일 DMARC 지원 현황, 공식 발표 없음
Gmail, Microsoft 365, Yahoo, Apple, Fastmail, Proton, Naver, Kakao 등을 포함한 주요 메일 서비스 제공업체는 RFC 9989와 관련해 어떠한 공식 발표도 하지 않았다.
Google과 Microsoft의 공식 문서는 여전히 레거시 표준을 참조하고 있다. Microsoft Learn(2026년 7월 17일 업데이트됨)에는 RFC 7489가 DMARC TXT 레코드를 포괄적으로 설명한다고 명시되어 있으며, Google의 DMARC 설정 가이드는 여전히 RFC 7489로 연결된다. 아울러 두 업체의 배포 가이드 모두 여전히 pct 사용법을 안내한다.
문서는 변경되지 않았으나, 실제 서버의 검증 동작 방식은 공표된 바 없다.
RFC 9990 집계 보고를 사용하는 수신자는 discovery_method 필드(psl 대 treewalk)를 통해 자신의 평가 방식을 알릴 수 있다.
두 표준을 모두 지원하기 위한 레코드 구성 방법
np= 또는 t= 태그를 추가해도 레거시 수신자의 검증 동작이 중단되지는 않는다.
차이는 새로운 트리 탐색 방식과 기존 공용 접미사 목록 방식이 서로 다른 조직 도메인을 식별할 때만 발생한다. RFC 9989 부록 C.3에서 그 해결책을 자세히 설명한다.
RFC 9989, 부록 C.3: "이 문제는 엄격한 정렬(strict alignment)을 사용하고 조직의 이메일에 사용되는 모든 작성자 도메인(Author Domain)에 대해 명시적인 DMARC 정책 레코드를 게시함으로써 완전히 방지할 수 있다."
먼저 서브도메인을 '포함'하여 From: 헤더에 사용되는 모든 도메인에 명시적인 _dmarc 레코드를 게시해야 한다.
명시적 레코드를 게시하면 모든 수신자가 같은 정책을 적용한다. 다만 엄격한 정렬을 켜기 전까지는 수신자마다 정렬 결과가 다를 수 있다.
그다음 집계 보고서를 받고 모든 메일 스트림이 완전히 정렬된 것을 확인한 후 adkim=s; aspf=s 설정으로 전환할 수 있다.
현재 당신의 메일 서버가 어떤 DMARC 필터를 실행하고 있는지 알고 있는가?
참고 문헌
- RFC Editor — RFC 9989: Domain-Based Message Authentication, Reporting, and Conformance (DMARC) (2026년 5월, IETF 표준 트랙)
- RFC Editor — RFC 7489: Domain-based Message Authentication, Reporting, and Conformance (DMARC) (2015년 3월; RFC 9989로 대체됨)
- RFC Editor — RFC 9990: Domain-Based Message Authentication, Reporting, and Conformance (DMARC) Aggregate Reporting (2026년 5월, IETF 표준 트랙)
- dmarcian — DMARC RFC Guide: Updates You Need to Know (2026년 8월 14일 업데이트됨)
- Stalwart — DKIM2 and DMARCbis have landed, and Stalwart speaks them first
- Stalwart — v0.16.12 릴리스 노트 (2026년 7월 6일) 및 v0.16.22 릴리스 노트 (2026년 9월 13일)
- Mail::DMARC — CHANGELOG (1.20260612: "implement RFC 9989 DMARC")
- Fedora Packages — perl-Mail-DMARC (2026년 9월 14일 확인)
- checkdmarc — CHANGELOG (6.0.0)
- parsedmarc — CHANGELOG (10.0.0)
- OpenDMARC — rel-opendmarc-1-4-2 (2021년 12월 20일) 및 opendmarc.conf.sample (develop 브랜치) (2026년 9월 14일 확인)
- Rspamd — ChangeLog (4.1.5 버전 기준, 2026년 8월 14일)
- mox — Issue #442: RFC9989 (DMARCbis) changes (2026년 5월 23일 등록됨)
- mailauth — rfc9989-compliance-test.js (2026년 9월 14일 확인)
- Microsoft Learn — Set up DMARC to validate email in Microsoft 365 (2026년 7월 17일 업데이트됨)
- Google Workspace Admin Help — Set up DMARC (2026년 9월 14일 확인)
Instagram