여섯 번째 발걸음메일은 제출·중계·보관·열람을 나누어 처리한다

보내기 버튼을 눌렀다고 수신자가 이미 메일을 읽은 것은 아닙니다. 메일은 사용자 프로그램이 제출하고, 서버들이 중계하고, 수신함에 배달한 뒤 사용자가 열람하는 여러 단계로 처리됩니다. MUA는 사용자의 메일 프로그램, MSA는 발송 제출을 받는 역할, MTA는 메일을 중계하는 역할, MDA는 최종 수신함에 배달하는 역할을 가리킵니다. 제품이 역할을 겸할 수 있지만 각 단계의 인증과 실패 조건은 따로 보아야 합니다.

SMTP는 제출과 서버 간 전송에 사용하는 대화 규칙입니다. 보내는 서버는 받는 도메인의 MX 레코드 등을 조회해 어느 서버로 전달할지 찾습니다. SMTP에는 봉투에 해당하는 MAIL FROM과 RCPT TO가 있고, 실제 메시지 안에는 From·To·Subject 같은 헤더가 있습니다. 봉투의 발송자와 화면에 보이는 From은 같을 수도 다를 수도 있습니다. 숨은 참조나 반송 주소처럼 정당한 차이도 있으므로 눈에 보이는 From만으로 전달 경로나 발신 도메인 인증 결과를 단정하지 않습니다.

S: 220 mail.receiver.example ready
C: EHLO mail.shop.example
S: 250 mail.receiver.example
C: MAIL FROM:<bounce@shop.example>
S: 250 OK
C: RCPT TO:<reader@receiver.example>
S: 250 OK
C: DATA
S: 354 End data with <CRLF>.<CRLF>
C: From: notice@shop.example
C: To: reader@receiver.example
C: Subject: Order LAB-001
C:
C: Order LAB-001 received.
C: .
S: 250 Queued as LAB123

POP3와 IMAP은 수신함을 열람하는 데 사용합니다. POP3는 메시지 내려받기 중심으로 이해할 수 있고, 서버에 사본을 남길지 삭제할지는 클라이언트·서버 동작에 따라 달라집니다. IMAP은 서버의 폴더와 메시지 상태를 다루고 여러 기기의 상태를 맞추는 데 적합합니다. “POP3는 무조건 서버에서 즉시 삭제한다”거나 “IMAP은 내려받지 않는다”는 표현은 부정확합니다. 두 방식 모두 연결·인증·저장·동기화 정책을 구체적으로 설정합니다.

전송 보호도 구간별입니다. 서버 간 SMTP 중계는 일반적으로 TCP 25를, 사용자 제출은 정책에 따라 587의 STARTTLS 또는 465의 암시적 TLS 등을 사용합니다. 암시적 TLS에서는 연결 시작부터 TLS를 협상합니다. IMAP과 POP의 암시적 TLS 포트는 각각 993과 995입니다. 포트 번호만 맞아도 안전해지는 것은 아니며 서버 이름 검증, 인증 전에 보호가 적용되는지, 평문 접속의 허용 여부를 확인해야 합니다. 서버 간 중계의 TLS 정책과 사용자 제출의 강제 TLS 정책을 같은 설정으로 무작정 덮어쓰면 정상 메일 수신을 끊을 수 있습니다.

받을 메일과 대신 보내 줄 메일을 구분한다

메일 서버가 자기 조직 주소로 온 외부 메일을 수신하는 것과, 인증하지 않은 외부인이 제삼자에게 보낼 메일을 대신 중계하는 것은 다릅니다. 후자를 제한하지 않는 오픈 릴레이는 스팸 중계에 악용될 수 있습니다. 릴레이 정책은 신뢰한 제출 경로·인증된 사용자·허용된 수신 도메인을 구분해야 합니다. 넓은 내부 주소 대역을 무조건 신뢰하면 탈취된 장비가 발송 통로가 될 수 있습니다.

참고　[182] · [183] · [184] · [185] · [186]