WordPress 보안 키 생성기

WordPress 보안 키 생성기는 wp-config.php 파일에 필요한 암호학적으로 안전한 보안 키와 솔트를 생성합니다. 이 8개의 고유한 문자열은 사용자 세션을 보호하고, 쿠키 위조를 방지하며, CSRF 공격을 방어합니다. CSPRNG(암호학적으로 안전한 의사 난수 생성기)를 사용하여 생성되며, 각 키는 절대 저장되거나 기록되지 않습니다.

WordPress 보안 키와 솔트란 무엇인가요?

WordPress는 인증 보안을 위해 wp-config.php 파일에서 8개의 암호화 상수를 사용합니다. 4개는 키(기본 암호화 비밀)이고 4개는 솔트(해시를 강화하는 추가적인 무작위 데이터)입니다.

키와 솔트가 함께 작동하는 방식

사용자가 WordPress에 로그인하면 시스템은 인증 쿠키를 생성합니다. 이 쿠키는 보안 키와 그에 대응하는 솔트의 조합을 사용하여 암호화됩니다. 키는 기본 암호화 비밀을 제공하는 반면, 솔트는 해싱 알고리즘(HMAC)에 예측 불가능한 데이터를 주입하여 공격자가 쿠키 값을 가로채더라도 이를 역설계하는 것을 기하급수적으로 어렵게 만듭니다.

적절한 키와 솔트가 없으면 WordPress는 보안 수준이 낮고 모든 설치에서 동일한 기본값을 사용하게 되므로, 사이트가 쿠키 기반 공격에 취약해질 수 있습니다.

보안 키 설치 방법

1. 이 도구를 사용하여 원하는 설정으로 키를 생성합니다.
2. "전체 키 복사" 버튼을 사용하여 모든 키를 복사합니다.
3. FTP/SFTP를 통해 wp-config.php를 엽니다. 이 파일은 WordPress 루트 디렉토리에 있습니다.
4. 키 섹션을 찾습니다 — /* Authentication Unique Keys and Salts */라는 주석을 찾으세요.
5. 8개의 define() 라인 전체를 새로 생성된 키로 교체한 다음 저장하고 업로드합니다.

참고: 보안 키를 변경하면 현재 로그인된 모든 사용자가 로그아웃됩니다. 사용자는 비밀번호로 다시 로그인해야 합니다. 이는 예상된 동작이며 실제로는 보안 목적에 매우 유용합니다.

보안 키는 언제 변경해야 하나요?

키 길이와 엔트로피

엔트로피는 키의 무작위성(예측 불가능성)을 비트 단위로 측정합니다. 엔트로피가 높을수록 공격자가 시도해야 하는 조합의 수가 많아집니다.

• 128 비트 — 대부분의 암호화 응용 분야에서 권장되는 최소값
• 256 비트 — 현재 기술 수준에서 해독 불가능한 것으로 간주됨 (AES-256 수준)
• 400+ 비트 — 전체 문자 집합을 사용하는 기본 64자 WordPress 키는 약 406 비트의 엔트로피를 제공합니다

전체 문자 집합을 사용하는 표준 64자 키만으로도 무차별 대입 공격이 뚫을 수 있는 범위를 훨씬 초과합니다.

보안 권장 사항

• 키를 절대 공유하지 마십시오 — 비밀번호처럼 취급하세요
• 각 WordPress 설치마다 고유한 키를 사용하십시오
• 여러 사이트에서 키를 재사용하지 마십시오
• wp-config.php 보안 유지 — 적절한 파일 권한(일반적으로 440 또는 400)을 확인하세요
• 키만으로는 충분하지 않습니다 — 강력한 비밀번호 사용, WordPress 최신 버전 유지, 보안 플러그인 사용을 병행하세요

자주 묻는 질문

WordPress 보안 키와 솔트란 무엇인가요?

WordPress 보안 키와 솔트는 wp-config.php에 저장되어 사용자 쿠키 데이터를 암호화하는 암호화 문자열입니다. 4개의 키(AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY)와 이에 대응하는 4개의 솔트로 구성됩니다. 이들은 공격자가 인증 쿠키를 위조하는 것을 사실상 불가능하게 만듭니다.

wp-config.php에 보안 키를 어떻게 추가하나요?

WordPress 루트 디렉토리에 있는 wp-config.php 파일을 열고 "Authentication Unique Keys and Salts" 섹션을 찾은 다음, 기존의 define() 라인을 새로 생성된 키로 교체하세요. 파일을 저장하고 FTP/SFTP를 통해 다시 업로드합니다. 모든 사용자는 다시 로그인해야 합니다.

WordPress 보안 키는 언제 변경해야 하나요?

사이트가 해킹당했다고 의심되거나, 알 수 없는 관리자 계정이 발견되거나, 멀웨어를 제거한 직후에는 즉시 보안 키를 변경하십시오. 정상적인 상황에서는 정기적으로 키를 교체할 필요가 없습니다. 키를 변경하면 로그인된 모든 사용자가 다시 인증을 받아야 합니다.

이 생성기는 안전한가요? 키가 어딘가에 저장되나요?

예, 이 생성기는 Python의 암호학적으로 안전한 secrets 모듈(CSPRNG)을 사용합니다. 키는 요청마다 서버 측에서 생성되며 저장, 기록 또는 캐시되지 않습니다. 응답에는 브라우저 캐싱을 방지하기 위한 no-cache 헤더가 포함됩니다.

WordPress 키와 솔트의 차이점은 무엇인가요?

WordPress 키는 쿠키 데이터를 암호화하며, 솔트는 암호화 프로세스에 무작위성을 더합니다. 키는 기본 암호화 비밀 역할을 하고, 솔트는 해시 함수에 예측 불가능한 추가 데이터를 도입하여 무차별 대입 공격을 기하급수적으로 어렵게 만듭니다. 강력한 WordPress 보안을 위해 둘 다 필수적입니다.

WordPress 보안 키를 변경하면 어떻게 되나요?

WordPress 보안 키를 변경하면 기존의 모든 인증 쿠키가 무효화됩니다. 즉, 귀하를 포함한 모든 로그인된 사용자가 로그아웃되며 사용자 이름과 비밀번호로 다시 로그인해야 합니다. 이는 보안 기능 중 하나로, 침해 사고 후 매우 유용합니다.

추가 리소스

• WordPress 개발자 리소스 - 보안 키
• 암호학적으로 안전한 PRNG - 위키백과