infra safe-mail은 기관을 위한 보안 메일 인프라입니다. 전송·신원·계정·콘텐츠 네 계층을 각각 검증합니다.safe-mail is hardened mail infrastructure for institutions, verifying four layers independently: transport, identity, account and content. 검증 계층 보기 →See the layers →
기관 전용 보안 메일 인프라Hardened mail infrastructure

신뢰가 아니라
검증으로 받는 메일
Mail accepted by
verification, not trust

메일 프로토콜은 발신자를 보증하지 않습니다. safe-mail은 전송·신원·계정·콘텐츠 네 계층을 표준 기술로 각각 검증하고, 그 결과를 사용자에게 숨기지 않고 그대로 보여줍니다. The mail protocol vouches for nobody. safe-mail verifies four layers independently — transport, identity, account and content — using open standards, and shows you the result rather than hiding it.

계정은 기관 관리자가 발급합니다. 계정이 필요하시면 소속 기관의 담당자에게 문의하십시오. Accounts are issued by an institution's administrator. If you need one, contact the administrator at your institution.

수신 메시지 분석Inbound message analysis msg-4f2a·c81e
SPFmail-a.safe-mail.krpass
DKIMrsa-sha256 · s1pass
DMARC정렬됨aligned · p=rejectpass
TLSTLS 1.3 · MTA-STSenforced
DANETLSA · DNSSEC okverified
추적trackers원격 이미지 3건3 remote pixelsblocked
첨부attachmentinvoice.pdf · 214 KBclean
유사도메인lookalike근접 도메인 없음no near-matchclear
링크links표시 = 실제 주소display = real URLmatch
판정verdict deliver
§ 01 — 검증 계층verification layers

네 계층을 각각 따로 검증합니다Four layers, each verified independently

한 계층이 뚫려도 나머지가 남도록 설계했습니다. 모두 공개 표준 위에서 실제 구현 가능한 항목이며, 특정 업체에 묶이는 기술은 쓰지 않습니다.Designed so that a breach in one layer leaves the others standing. Everything here is buildable on open standards — no vendor lock-in.

layer 01

전송Transport

메일이 서버 사이를 지나는 동안 읽히거나 바꿔치기되지 않게 합니다.Keeps mail unreadable and unaltered while it moves between servers.

MTA-STS — TLS를 쓸 수 없는 상대에게는 아예 전달하지 않습니다. 평문으로 떨어뜨리는 폴백이 없습니다.mail is not delivered at all to a peer that cannot do TLS. There is no plaintext fallback.
DANE / TLSA — DNSSEC로 서명된 인증서 지문을 고정해, 중간자가 다른 인증서를 내밀면 연결을 끊습니다.certificate fingerprints pinned via DNSSEC; a substituted certificate aborts the connection.
TLS-RPT — 전송 실패 보고서를 받아, 어느 구간이 암호화에 실패했는지 매일 확인합니다.delivery failure reports arrive daily, showing exactly which hop failed to encrypt.
저장 암호화Encryption at rest — 사서함과 백업 모두 암호화된 상태로 저장됩니다.mailboxes and backups are both stored encrypted.
layer 02

신원Identity

보낸 사람이 자기가 말하는 그 사람인지 확인합니다.Establishes that the sender is who the message claims.

SPF · DKIM · DMARC — 세 가지를 모두 발행하고, 정렬 실패 시 reject. 우리 도메인 사칭이 상대 서버에서 막힙니다.all three published, with reject on alignment failure, so forgery of our domain is stopped at the receiving server.
ARC — 메일링리스트나 전달을 거친 메일도 원 발신 검증 결과를 잃지 않습니다.original authentication survives forwarding and mailing lists.
OpenPGP · S/MIME — 본문까지 종단간 암호화. 서버는 열쇠를 갖지 않으므로 저희도 내용을 읽을 수 없습니다.end-to-end encryption of the body. The server holds no key, so we cannot read it either.
WKD — 공개키를 도메인에 게시해, 상대가 수동 교환 없이 암호화해 보낼 수 있게 합니다.public keys published on the domain so correspondents can encrypt without a manual key exchange.
layer 03

계정Account

자격증명이 새어도 사서함이 바로 열리지 않게 합니다.A leaked credential should not open the mailbox by itself.

WebAuthn / FIDO2 — 하드웨어 보안 키. 피싱 사이트에서는 애초에 서명이 성립하지 않습니다.hardware security keys — the signature simply does not validate on a phishing site.
TOTP — 보안 키를 쓰기 어려운 환경을 위한 인증 앱 2단계.authenticator-app second factor where hardware keys aren't practical.
앱 전용 비밀번호App passwords — IMAP·SMTP 연결마다 별도 자격증명. 하나가 새면 그것만 폐기합니다.a separate credential per IMAP/SMTP connection; revoke just the one that leaks.
세션·기기 통제Session control — 접속 이력, 원격 로그아웃, 관리자 지정 IP·국가 제한.sign-in history, remote revocation, and administrator-set IP or country restrictions.
감사 로그Audit log — 누가 언제 어느 사서함에 접근했는지 변경 불가 기록으로 남깁니다.who accessed which mailbox and when, written to an append-only record.
발신 통제Outbound control — 발급되지 않은 주소, 승인되지 않은 계정으로는 발송이 나가지 않습니다.nothing sends from an unissued address or an unapproved account.
layer 04

콘텐츠Content

메일 안에 실려 오는 실행물과 감시 장치를 제거합니다.Strips the executable payloads and surveillance carried inside messages.

바이러스·매크로 차단Malware & macros — 모든 첨부를 수신 단계에서 검사하고, 압축 파일 내부까지 열어 확인합니다.every attachment scanned on receipt, archives opened and inspected inside.
확장자 정책File-type policy — 실행 파일·스크립트는 기본 차단. 기관별로 허용 목록을 다르게 둘 수 있습니다.executables and scripts blocked by default, with per-institution allow-lists.
추적 픽셀 차단Tracker stripping — 원격 이미지 기본 차단. 불러올 때도 프록시를 거쳐 IP와 열람 시각이 발신자에게 가지 않습니다.remote content blocked by default; when loaded it goes through a proxy so your IP and read time never reach the sender.
링크 목적지 검사Link inspection — 표시된 글자와 실제 목적지가 다르면 클릭 전에 드러냅니다.where the visible text and the real destination differ, the difference is shown before you click.
유사 도메인 탐지Lookalike detection — 평소 주고받던 도메인과 철자가 근접한 발신자, 최근 등록된 도메인을 표시합니다.senders spelled close to a domain you correspond with — and freshly registered domains — are flagged.
스팸 다단 필터Layered spam filtering — 평판·내용·발신 이력을 함께 보고, 사용자가 직접 학습시킬 수 있습니다.reputation, content and sending history combined, trainable per user.
§ 02 — 주소 격리compartmentalisation

주소를 하나만 쓰면, 새는 지점을 영영 못 찾습니다One address for everything means you can never find the leak

벤더·거래 채널·등록 양식·외부 서비스마다 다른 주소를 발급합니다. 어느 주소로 스팸이 들어오기 시작하면 유출 지점이 그대로 특정되고, 그 주소 하나만 폐기하면 끝납니다.Issue a distinct address for every vendor, channel, form and external service. The moment spam arrives at one of them, the leak is identified — and retiring that single address ends it.

01 / 발급issue

상대마다 주소 하나One address per party

벤더나 등록 양식마다 전용 주소를 만듭니다. 전부 같은 사서함으로 모이고, 회신은 받은 주소 그대로 나갑니다.A dedicated address for each vendor or form. All arrive in one mailbox, and replies go out from the address they came in on.

vendor-a@safe-mail.kr
02 / 추적attribute

유출 지점 특정The leak names itself

그 주소는 한 곳에만 알려줬으므로, 다른 데서 스팸이 오면 누가 넘겼는지 추측할 필요가 없습니다.That address was given to exactly one party, so unexpected mail to it removes the guesswork about who passed it on.

vendor-b@safe-mail.kr
03 / 폐기retire폐기됨retired

그것만 끕니다Kill just that one

문제가 된 주소만 폐기합니다. 본 사서함 주소는 그대로 살아 있고, 다른 채널과의 흐름도 끊기지 않습니다.Retire the compromised address alone. The real mailbox stays intact, and every other channel continues uninterrupted.

expo-d@safe-mail.kr
태그 주소sub-addressing
이름+태그@ 형태로 즉석 분류 주소 생성create sorting addresses instantly with name+tag@
전체 수신catch-all
발급하지 않은 주소로 온 메일도 흘리지 않고 격리 보관mail to unissued addresses is quarantined rather than lost
공용 사서함shared mailbox
권한 분리 + 처리 상태 공유, 담당자 교체에도 흐름 유지split permissions and shared handling state; survives staff changes
위임 열람delegation
비밀번호 공유 없이 대리 접근 권한 부여·회수grant and revoke proxy access without sharing a password
조건부 전달conditional routing
발신자·제목·기간·첨부 유무 조건으로 자동 전달route automatically by sender, subject, date range or attachment
보관 정책retention
기간 설정 + 특정 건 보존 잠금(legal hold)period policies plus per-item legal hold
내보내기export
EML·mbox 표준 형식으로 전체 반출 — 이탈을 막지 않음full export in EML/mbox — leaving is never obstructed
표준 접속open protocols
IMAP·SMTP·CalDAV — 쓰던 메일 앱 그대로IMAP, SMTP, CalDAV — existing clients keep working
§ 03 — 위협 모델threat model

무엇을 막고, 무엇을 못 막는지 먼저 적습니다What we stop — and what we don't

전부 막아준다고 말하는 보안 제품은 신뢰하지 않는 편이 낫습니다. 경계를 분명히 적어두는 편이 실제 보안에 도움이 됩니다.A security product that claims to stop everything is not one to trust. Stating the boundary plainly is itself part of the security.

이 구성이 막는 것This configuration stops

  • 우리 도메인을 사칭한 위조 발신 (DMARC p=reject)forged mail claiming to be from our domain (DMARC p=reject)
  • 전송 구간 도청과 다운그레이드 (MTA-STS · DANE)interception and downgrade attacks in transit (MTA-STS, DANE)
  • 첨부로 들어오는 실행 파일·매크로 악성코드executable and macro malware arriving as attachments
  • 본문에 숨은 열람 추적과 IP 수집hidden read-tracking and IP harvesting in message bodies
  • 비밀번호 하나만 훔친 계정 탈취 (WebAuthn)account takeover using a stolen password alone (WebAuthn)
  • 철자를 흉내 낸 유사 도메인 발신senders using near-identical lookalike domains

이 구성이 못 막는 것This configuration cannot stop

  • 수신자 기기가 이미 감염된 경우 — 메일 계층 밖의 문제입니다an already-compromised endpoint — that is outside the mail layer
  • 상대 서버에 남는 사본 — 우리가 보낸 메일은 상대 정책을 따릅니다copies retained on the recipient's server — their policy governs, not ours
  • 종단간 암호화를 쓰지 않은 메일의 메타데이터 (누가 누구에게 언제)metadata on non-E2E mail — who wrote to whom, and when
  • 사용자가 스스로 자격증명을 넘긴 경우 — 다만 보안 키는 그 상당수를 무력화합니다a user handing over credentials — though hardware keys defeat most of these attempts
  • 법적 절차에 따른 자료 제출 요구 — 해당 관할의 절차를 따릅니다lawful disclosure demands — we follow the applicable process
  • 본문이 암호화되지 않은 메일의 서버 측 열람 가능성 — 그래서 PGP를 권합니다server-side readability of non-encrypted bodies — which is why we recommend PGP
하지 않는 것we don't
광고를 붙이지 않습니다 · 본문을 분석해 프로파일을 만들지 않습니다 · 열람 추적 기능을 제공하지 않습니다 · 내보내기를 어렵게 만들지 않습니다no advertising · no profiling from message content · no read-tracking feature offered · no friction on export