# 내 도메인에 MTA-STS와 TLS-RPT를 어떻게 설정합니까?

> MTA-STS에는 _mta-sts의 TXT 레코드, mta-sts.yourdomain에서 HTTPS로 제공하는 정책 파일, 보고서를 위한 TLS-RPT TXT 레코드가 필요합니다.

- URL: https://postelva.com/ko/guides/mta-sts-setup/
- 최종 업데이트: 2026-11-12
- 발행자: Postelva (https://postelva.com)

MTA-STS는 다른 메일 서버에 검증된 TLS로만 메일을 전달하라고 알려 줍니다. DNS 레코드 두 개와 웹 호스트의 작은 파일 하나가 필요합니다.

**빠른 답변 — MTA-STS와 TLS-RPT는 어떻게 설정합니까?**

v=STSv1과 id를 넣은 TXT 레코드를 _mta-sts.yourdomain에 게시하고, 유효한 인증서와 함께 https://mta-sts.yourdomain/.well-known/mta-sts.txt에서 정책 파일을 제공하며, TLS-RPT 보고서를 위해 _smtp._tls에 TXT 레코드를 추가하십시오(RFC 8461 및 RFC 8460). **Postelva**가 DNS 레코드를 호스팅하며, 정책 파일에는 HTTPS 웹 호스트가 필요합니다.

## MTA-STS와 TLS-RPT 설정의 네 가지 구성 요소

*RFC 8461과 RFC 8460의 이름과 형식이며, 2026-11-12에 확인했습니다.*

| 구성 요소 | 어디에 | 내용 | 호스팅 위치 |
| --- | --- | --- | --- |
| MTA-STS 레코드 | _mta-sts.example.com의 TXT | v=STSv1; id=20261112T000000Z | 내 DNS(Postelva의 무료 DNS) |
| 웹 호스트 이름 | mta-sts.example.com의 A, AAAA 또는 CNAME | 웹 서버를 가리킴 | 내 DNS |
| 정책 파일 | https://mta-sts.example.com/.well-known/mta-sts.txt | version, mode, mx 줄, max_age | HTTPS와 유효한 인증서가 있는 웹 호스트 |
| TLS-RPT 레코드 | _smtp._tls.example.com의 TXT | v=TLSRPTv1; rua=mailto:tlsrpt@example.com | 내 DNS |

## 여섯 단계로 MTA-STS 설정하기

1. **MX 호스트 나열하기** — 정책에는 제공업체의 메일 호스트 이름이 들어가야 합니다. Proton Mail은 mail.protonmail.ch와 mailsec.protonmail.ch를, Mailbox.org는 mxext1부터 mxext4.mailbox.org까지를 사용합니다.
2. **웹 호스트 이름 설정하기** — DNS 편집기에서 직접 관리하는 웹 서버를 가리키는 mta-sts 레코드를 추가하고, mta-sts.yourdomain에 유효한 인증서를 발급받으십시오.
3. **테스트 모드로 정책 파일 게시하기** — .well-known 폴더에 mode: testing과 짧은 max_age를 넣은 mta-sts.txt 파일을 만드십시오.
4. **_mta-sts TXT 레코드 추가하기** — v=STSv1; id= 뒤에 날짜와 시간 같은 고유한 값을 붙여 게시하십시오.
5. **TLS-RPT 레코드 추가하기** — rua mailto 주소를 넣어 _smtp._tls에 TXT 레코드를 게시하고, 매일 오는 보고서를 읽어 보십시오.
6. **enforce로 전환하기** — 보고서에서 본인의 MX 호스트에 실패가 없다고 나오면 mode를 enforce로 바꾸고, max_age를 늘리고, id를 갱신하십시오.

*DNS 레코드와 정책 파일(testing 모드)*

```dns
; DNS records
_mta-sts.example.com.      IN  TXT    "v=STSv1; id=20261112T000000Z"
_smtp._tls.example.com.    IN  TXT    "v=TLSRPTv1; rua=mailto:tlsrpt@example.com"
mta-sts.example.com.       IN  CNAME  webhost.example.net.

; File served at https://mta-sts.example.com/.well-known/mta-sts.txt
version: STSv1
mode: testing
mx: mail.protonmail.ch
mx: mailsec.protonmail.ch
max_age: 86400
```

## MTA-STS는 무엇을 보호합니까?

**MTA-STS를 사용하면 메일 도메인이 TLS를 지원한다고 선언할 수 있으며, 발신자는 유효한 인증서를 제시하지 못하는 MX 호스트로는 배달을 거부해야 합니다.** 2018년 9월 제안 표준(Proposed Standard)인 RFC 8461이 이를 정의합니다. 이것이 없으면 서버 간 암호화는 기회적(opportunistic)입니다. 발신자는 STARTTLS를 시도하고, 공격자가 이를 제거하면 메시지를 평문으로 보냅니다.

enforce 모드의 정책이 있으면, MTA-STS를 지원하는 발신자는 정책을 가져와 MX 호스트가 mx 목록에 있는지 확인하고, 일치하는 인증서가 있는 유효한 TLS 연결을 요구합니다. 검사 중 하나라도 실패하면 메시지는 대기하며 더 약한 채널로 전달되지 않습니다. 이는 수신 메일만 보호하고, 이를 구현한 발신자에게만 작동합니다. 메시지를 인증하지는 않으며, 그것은 [SPF, DKIM, DMARC 비교](https://postelva.com/ko/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?")에 나오는 레코드의 역할입니다.

## 정책 파일에는 무엇이 들어갑니까?

**정책 파일은 버전, 모드, 허용되는 MX 패턴, 초 단위 유효 기간을 담은 key: value 형식의 일반 텍스트 파일입니다.** RFC 8461이 이 필드를 정의합니다. version은 STSv1이어야 합니다. mode는 enforce(발신자는 검사에 실패하는 호스트로 배달해서는 안 됩니다), testing(배달이 진행될 수 있으며 TLS-RPT를 지원하는 발신자는 실패 보고서를 보냅니다), none(정책이 없는 것과 같음) 중 하나입니다. 각 mx 줄은 mail.protonmail.ch처럼 호스트를 전체 이름으로 적거나 *.example.net처럼 가장 왼쪽 레이블에 와일드카드를 사용합니다. max_age는 최대 31,557,600인 초 단위 숫자이며, RFC는 보통 몇 주 이상이어야 한다고 말합니다. RFC의 예시는 1주일인 604800을 사용합니다.

파일은 해당 이름에 유효한 인증서를 갖춘 mta-sts.yourdomain에서 HTTPS로 제공해야 합니다. HTTP 200 응답만 인정되며 리디렉션을 따라가서는 안 되므로, 리디렉션으로 응답하는 서비스인 URL 포워딩은 사용할 수 없습니다. 파일은 text/plain으로 전송해야 합니다. 직접 관리하는 작은 웹 호스트나 정적 페이지 호스트를 사용하십시오. mx 줄은 [MX 레코드란 무엇인가](https://postelva.com/ko/what-is-an-mx-record/ "What is an MX record?")에 나온 제공업체의 레코드와 일치해야 합니다.

## id와 업데이트 순서는 무엇입니까?

**TXT 레코드의 id는 1~32자의 영문자와 숫자로 된 레이블이며, 정책이 바뀔 때마다 변경하여 발신자가 파일을 다시 가져오도록 해야 합니다.** RFC 8461은 id가 정책의 한 인스턴스를 식별하며 id 사이에 순서는 없다고 설명하므로, 날짜와 시간 스탬프가 적합합니다.

다음 순서로 업데이트하십시오. 먼저 새 정책 파일을 게시한 다음 id를 변경합니다. 새 파일보다 새 id를 먼저 본 발신자는 이전 정책을 다시 캐시하게 됩니다. 이메일 제공업체를 바꿀 때는 MX 호스트도 바뀌므로, MX 레코드를 바꾸기 전에 mx 줄을 수정하고, 이전하는 동안 기존 호스트를 목록에 유지하고, id를 올리십시오. enforce 모드에서 mx 줄을 빠뜨리면 메일이 도착하지 않으며, 나머지 안전한 순서는 이전 가이드인 [새 제공업체로 이메일을 옮기는 방법](https://postelva.com/ko/guides/move-email-provider-without-downtime/ "How to move email to a new provider without losing mail")에 나와 있습니다.

## TLS-RPT란 무엇이며 보고서에는 무엇이 들어 있습니까?

**TLS-RPT는 RFC 8460에 정의된 보고 형식으로, 발신 서버가 매일 도메인으로의 TLS 연결이 몇 건 성공하고 실패했는지 알려 줍니다.** v=TLSRPTv1과 mailto: 또는 https: 주소가 들어 있는 rua 필드를 _smtp._tls.yourdomain의 TXT 레코드로 게시합니다. mailto 보고서에는 보고 도메인의 유효한 DKIM 서명이 있어야 합니다.

각 보고서는 UTC 기준 하루를 다루는 JSON 문서입니다. 적용된 정책(MTA-STS, DANE 또는 없음)을 명시하고, 성공한 세션과 실패한 세션의 수를 집계하며, certificate-expired나 starttls-not-supported 같은 실패 유형을 발신 및 수신 IP 주소와 함께 제공합니다. enforce로 전환하기 전에 인증서가 만료되었거나 mx 줄에 오타가 있다는 것을 이렇게 알 수 있습니다. 처음 몇 주는 [DMARC](https://postelva.com/ko/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject")에 권장되는 시험 운영 기간으로 취급하십시오.

## 개인 이메일 도메인에도 MTA-STS가 필요합니까?

**아니요. MTA-STS는 선택적인 보안 강화이며, 대형 발신자 규정에서 요구하지 않습니다.** Google, Yahoo, Microsoft는 대량 발신자에게 SPF, DKIM, DMARC를 요구하며 MTA-STS는 명시하지 않습니다. Proton Mail, Fastmail, Mailbox.org의 개인 도메인이라면 웹 호스트와 인증서를 계속 관리할 의향이 있을 때만 설정할 가치가 있습니다.

제공업체마다 다릅니다. 4개 제공업체(Proton Mail, Tuta, Mailbox.org, Fastmail)의 DNS 설정 목록을 2026-11-12에 Postelva가 확인한 바에 따르면, 자체 설정에 MTA-STS 레코드를 포함하는 곳은 1곳(Tuta, CNAME)이며 나머지 세 곳에서 확인한 도움말 페이지에는 관련 문서가 없습니다. 전체 설정은 DNS 레코드 3개와 파일 1개입니다. 각각 [MX, SPF, DKIM, DMARC 레코드를 확인하는 방법](https://postelva.com/ko/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records")의 명령으로 점검하십시오. dig TXT _mta-sts.example.com +short 및 dig TXT _smtp._tls.example.com +short.

인용 가능한 정의: MTA-STS는 다른 서버가 내 도메인으로 메일을 전달할 때 TLS를 의무화하는 정책이고, TLS-RPT는 그것이 실패할 때 알려 주는 일일 보고서입니다.

## MTA-STS와 TLS-RPT 질문

### MTA-STS 정책 파일을 DNS 제공업체에서 호스팅할 수 있습니까?

DNS 호스트만으로는 불가능합니다. 파일은 mta-sts.yourdomain에서 HTTPS로 응답하는 웹 서버가 필요합니다. 리디렉션을 따라가서는 안 되므로 URL 포워딩은 작동하지 않습니다.

### max_age는 어떤 값을 사용해야 합니까?

RFC 8461은 보통 몇 주 이상의 값을 사용하며 예시로 604800초(1주일)를 든다고 설명합니다. testing 모드에서 짧은 값으로 시작하고 보고서가 깨끗해지면 늘리십시오.

### MTA-STS는 DANE과 같은 것입니까?

아니요. 둘 다 서버 간 TLS를 보호하지만, DANE은 DNSSEC와 TLSA 레코드에 의존하고 MTA-STS는 HTTPS 정책 파일에 의존합니다. TLS-RPT는 둘 모두에 대해 보고합니다.

### enforce 모드에서 인증서가 만료되면 어떻게 됩니까?

MTA-STS를 지원하는 발신자는 MX 호스트의 인증서가 검증에 실패하면 해당 호스트로의 배달을 중단하고, 메일은 그들의 대기열에서 기다립니다. mx 줄이 없는 경우에도 마찬가지이므로 TLS-RPT를 확인하십시오.

### 반드시 enforce 모드를 사용해야 합니까?

아니요. testing 모드에서도 이미 보고서를 받을 수 있으며, mode none은 정책을 끕니다.

**요약**

- MTA-STS(RFC 8461)는 내 도메인으로 전달되는 메일에 TLS를 의무화합니다.
- 설정: _mta-sts의 TXT 레코드, mta-sts.yourdomain/.well-known/mta-sts.txt의 HTTPS 정책 파일, TLS-RPT를 위한 _smtp._tls의 TXT 레코드(RFC 8460).
- 정책에는 mode(enforce, testing, none), mx 호스트, 최대 31,557,600초인 max_age가 들어갑니다.
- 리디렉션을 따라가서는 안 되므로 URL 포워딩으로는 파일을 제공할 수 없습니다.
- 정책이 바뀔 때마다 id를 변경하십시오. 파일을 먼저 업데이트한 다음 TXT 레코드를 업데이트합니다.
- enforce 전에 testing 모드로 시작하여 TLS-RPT 보고서를 읽어 보십시오.
- Postelva는 DNS 레코드를 무료로 호스팅하며, .com은 매년 US$12.49/년입니다.

## 출처

1. [RFC 8461, SMTP MTA Strict Transport Security (MTA-STS)](https://www.rfc-editor.org/rfc/rfc8461.html) — RFC Editor (2026-11-12 확인)
2. [RFC 8460, SMTP TLS Reporting](https://www.rfc-editor.org/rfc/rfc8460.html) — RFC Editor (2026-11-12 확인)
3. [이메일 발신자 가이드라인](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (2026-11-12 확인)
4. [맞춤 도메인과 스푸핑 방지](https://proton.me/support/anti-spoofing-custom-domain) — Proton (2026-11-12 확인)

---

Postelva: Postelva는 개인 이메일용 도메인을 등록해 드립니다. 제공업체를 바꿔도 유지되는 주소이며, KYC 없이 암호화폐로 결제합니다. 신분증은 필요 없고 도메인당 인증된 이메일 하나만 있으면 됩니다. 파나마에 등록된 회사 DomaineGoat LLC가 운영하며, 도메인은 ICANN 공인 등록기관 파트너를 통해 등록됩니다. .com은 US$12.49/년이며 매년 같은 가격입니다.