그레이리스팅

그레이리스팅이란?

그레이리스팅은 지연을 이용하는 스팸 방어 방법입니다. 메일 서버는 새 발신자의 첫 메일을 돌려보내고, 두 번째 시도에서 받아들입니다. RFC 6647에 설명되어 있습니다.

먼저 몇 가지 용어를 설명합니다. 서버란 항상 켜져 있으면서 메일을 처리하는 컴퓨터입니다. IP 주소란 인터넷에서 서버를 식별하는 번호입니다. 스팸이란 원하지 않는 대량 메일입니다.

그레이리스팅을 쓰는 받는 쪽 서버는 지금까지 본 모든 발신자를 기록합니다. 서버가 보는 것은 세 가지입니다.

1. 보내는 IP 주소
2. 발신자 주소
3. 수신자 주소

이 조합을 처음 보면, 서버는 임시 오류로 메일을 거부합니다. 제대로 설정된 메일 서버는 메일을 대기열에 넣고 다시 시도합니다. 대기열이란 서버가 보내려고 기다리는 메일의 목록입니다. 대부분의 스팸 프로그램은 한 번만 보내고 다시 시도하지 않습니다.

재시도가 도착하면 서버는 메일을 받아들이고 발신자를 기록에 저장합니다. 그 뒤로는 같은 발신자의 메일을 첫 시도에서 받아들입니다.

간단한 예

발신자 쪽에서 본 그레이리스팅은 다음과 같습니다.

1. 니나가 새 거래처에 메일을 보냅니다. 니나는 카페에서 일합니다. 9시에 처음으로 orders@supplier.example에 메일을 보냅니다.
2. 거래처의 서버는 니나를 모릅니다. 니나의 서버, 니나의 주소, 이 수신자의 조합을 한 번도 본 적이 없습니다.
3. 서버가 임시 오류를 보냅니다. “greylisted, try again later”(그레이리스팅됨, 나중에 다시 시도) 같은 메시지와 함께 451로 답합니다.
4. 니나의 서버가 기다립니다. 니나의 메일 서버는 메일을 대기열에 둡니다. 니나에게는 아무것도 보이지 않습니다.
5. 다시 시도합니다. 9시 15분쯤 니나의 서버가 같은 메일을 다시 보냅니다.
6. 메일이 받아들여집니다. 거래처의 서버는 두 번째 시도를 확인합니다. 메일을 받아들이고 니나의 정보를 저장합니다.
7. 다음부터는 기다리지 않습니다. 다음 주에 니나가 거래처에 메일을 보내면, 첫 시도에서 받아들여집니다.

메일 수천 통을 보내는 스팸 프로그램은 보통 두 번째 시도를 하지 않습니다. 그래서 그 메일은 끝내 도착하지 않습니다.

발신자에게 보이는 모습

첫 시도에는 4로 시작하는 코드가 옵니다. 보통 450 또는 451이며, “greylisted, try again later” 같은 메시지가 함께 옵니다. 메일 서버는 이것을 소프트 바운스로 처리하고, 자체 일정에 따라 다시 시도합니다. 소프트 바운스란 일시적인 전송 실패입니다.

재시도를 받아들이기 전에 얼마나 기다릴지는 받는 쪽 서버가 정합니다. 약 15분이 흔합니다. 더 짧거나 더 긴 지연을 쓰는 서버도 있습니다.

보통은 그레이리스팅을 알아차리지 못합니다. 메일이 몇 분 늦게 도착할 뿐입니다. 도구에 반송 알림이 표시되더라도 저절로 사라집니다.

그레이리스팅이 문제가 되는 경우

그레이리스팅은 일반 캠페인에는 영향을 주지 않습니다. 문제가 되는 경우는 두 가지입니다.

시간이 중요한 메일. 비밀번호 재설정 메일이나 일회용 코드가 15분 늦게 도착하면 사용자에게 쓸모가 없습니다. 그래서 트랜잭션 메일을 보내는 발신자는 받는 쪽 도메인에 자신의 IP 주소를 허용 목록에 추가해 달라고 요청하기도 합니다. 트랜잭션 메일이란 영수증이나 로그인 코드처럼 사용자의 행동 때문에 보내는 메일입니다.

예: 레오가 웹사이트에 로그인 코드를 요청합니다. 코드는 그레이리스팅을 쓰는 회사 주소로 갑니다. 코드는 15분 뒤에 도착합니다. 그때는 레오가 이미 로그인을 포기한 뒤입니다.

검증. 검증 도구는 SMTP 대화를 시작한 뒤, 아무것도 보내기 전에 멈추는 방식으로 주소를 확인합니다. SMTP란 메일 서버끼리 메일을 보내기 위해 대화하는 표준 방식입니다. 그레이리스팅을 쓰는 서버에서는 첫 시도에 4xx 응답, 즉 4로 시작하는 코드가 옵니다. 한 번만 시도하고 멈추는 검증 도구는 그 주소를 알 수 없음(unknown)으로 보고합니다. 실제로는 유효한 주소일 수 있습니다.

그레이리스팅과 보안 이메일 게이트웨이

많은 기업 도메인은 Proofpoint나 Mimecast 같은 보안 이메일 게이트웨이(SEG)를 사용합니다. 보안 이메일 게이트웨이란 기업의 메일이 직원의 받은편지함에 도착하기 전에 확인하는 보안 서비스입니다. 이런 게이트웨이는 기본 설정에서 모르는 발신자에게 그레이리스팅을 적용합니다. 많은 B2B 주소에서 기본 확인 결과가 알 수 없음으로 나오는 이유 중 하나가 이것입니다. B2B 주소란 다른 회사에서 일하는 사람들의 업무용 주소입니다.

검증 도구가 그레이리스팅을 처리하는 방법

좋은 이메일 유효성 검사 도구는 4xx 응답을 결과가 아니라 “다시 시도하라”는 뜻으로 받아들입니다. 기다렸다가 같은 IP 주소에서 다시 시도하고, 그레이리스팅 지연이 끝난 뒤 서버가 주는 답을 보고합니다. Giggal.ai는 게이트웨이 도메인을 확인할 때 이렇게 합니다. 그래서 한 번만 시도하는 검사가 알 수 없음을 돌려주는 경우에도 유효 또는 무효 결과를 돌려줍니다.

대량 이메일 검증 도구는 리스트의 모든 주소에 같은 일을 합니다. 이메일 검증으로 그레이리스팅을 끌 수는 없습니다. 지연이 끝날 때까지 기다린 뒤 각 주소가 존재하는지 보고합니다.