API 키 보호

API 키는 API를 호출하는 클라이언트를 식별하고 권한을 부여하는 비밀 문자열입니다.

키를 가진 사람은 해당 클라이언트로 행동할 수 있으므로 키를 반드시 비밀로 유지해야 합니다.

API 키를 비밀번호와 똑같이 신중하게 다루세요.

키가 유출되면 공격자가 신뢰할 수 있는 클라이언트인 것처럼 요청을 보내고 비용을 늘리며 데이터에 접근할 수 있습니다.

흔한 실수는 키를 코드에 직접 넣는 것입니다.

이 키는 저장소와 기록에 남기 때문에 접근 권한이 있는 사람은 누구나 읽을 수 있습니다.

키를 환경 변수에 저장하여 코드와 분리하세요.

비밀은 소스 파일이 아니라 환경에 저장됩니다.

비밀 파일이 커밋되지 않도록 .gitignore에 추가하세요.

키가 한 번이라도 커밋되었다면 나중에 삭제하는 것만으로는 충분하지 않습니다. 키를 교체해야 합니다.

프런트엔드나 모바일 코드에 비밀 키를 절대 포함하지 마세요.

누구나 앱을 검사하여 키를 추출할 수 있습니다. 비밀 키는 서버에 보관하고, 그곳에서 타사 API를 호출하세요.

운영 환경에서는 전용 비밀 관리 도구에 키를 저장하세요.

Vault나 클라우드 비밀 관리 서비스 같은 도구는 키를 암호화하고, 접근을 제어하며, 누가 키를 읽었는지 기록합니다.

각 키에는 필요한 권한만 부여하세요.

읽기 전용 키가 유출되더라도 데이터를 삭제할 수는 없습니다. 권한 범위 지정은 키 하나가 침해되었을 때 발생할 피해를 제한합니다.

키 교체란 일정에 따라 키를 바꾸고, 유출이 의심되는 즉시 키를 바꾸는 것을 의미합니다.

수명이 짧은 키를 사용하면 도난당한 키가 공격자에게 유용한 기간을 줄일 수 있습니다.

특정 IP나 도메인만 허용하여 키의 사용 범위를 더 제한하세요.

그런 다음 사용량을 모니터링하세요. 예상하지 못한 트래픽이나 새로운 위치에서의 사용은 키가 도난당했음을 알려 줄 수 있습니다.

키가 유출되었다면 신속하게 대응하세요.

• 기존 키를 즉시 폐기합니다
• 새 키를 발급합니다
• 오용 여부를 확인하기 위해 로그를 검토합니다

신속하게 대응할수록 유출된 비밀로 인한 피해를 줄일 수 있습니다.

운영 환경의 웹 앱에서는 비밀 API 키를 어디에 저장해야 하나요?

API 키를 비밀번호처럼 보호하세요. 코드와 Git에서 분리하고, 환경 변수나 비밀 관리 도구에 저장하며, 최소 권한만 부여하고, 정기적으로 교체하고, 사용을 제한하고 모니터링하며, 유출된 키는 신속하게 폐기하세요.