블로그나 작은 쇼핑몰을 웹호스팅으로 운영하다 보면 관리해야 할 계정이 생각보다 많다는 사실에 놀라게 됩니다. 호스팅 회원 계정, 서버 관리 패널, 도메인 등록 업체, FTP나 SFTP 접속 정보, 데이터베이스, 그리고 워드프레스 같은 사이트 관리자 계정까지 최소 대여섯 개가 서로 연결되어 있습니다. 이 중 하나만 뚫려도 사이트 전체가 위험해질 수 있기 때문에, 처음 세팅할 때 순서를 정해 한 번에 정리해 두는 것이 가장 효율적입니다.
1단계, 계정 목록부터 만들기
보안 설정은 무엇을 지켜야 하는지 아는 데서 시작합니다. 사용 중인 서비스와 계정을 아래처럼 한 번 적어 보세요.
- 호스팅 업체 회원 계정(결제 정보 포함)
- 서버 관리 패널 또는 콘솔 계정
- 도메인 등록 업체 계정과 네임서버 설정 권한
- SFTP, SSH 접속 계정과 키 파일
- 데이터베이스 사용자와 비밀번호
- 사이트 관리자 계정과 추가 편집자 계정
목록을 만들고 나면 이미 쓰지 않는 계정이나 예전 외주 작업자에게 만들어 준 계정이 남아 있는 경우가 꽤 많습니다. 이런 계정은 가장 먼저 삭제하거나 권한을 낮추는 것이 좋습니다.
2단계, 로그인 보안 강화
비밀번호와 2단계 인증
계정마다 서로 다른 긴 비밀번호를 쓰는 것이 기본입니다. 기억하기 어렵다면 비밀번호 관리자를 사용하고, 호스팅 회원 계정과 도메인 계정에는 반드시 2단계 인증을 켜 두세요. 특히 도메인 계정은 탈취되면 네임서버를 바꿔 사이트를 통째로 다른 곳으로 돌릴 수 있어서 호스팅 계정만큼 중요합니다. 2단계 인증 설정 위치와 지원 방식은 업체마다 다르니 각 공식 사이트의 도움말에서 확인하세요.
접속 경로 줄이기
FTP는 암호화되지 않은 방식이라 가능하면 SFTP나 SSH 키 방식으로 바꾸는 것이 안전합니다. 서버 관리 패널은 접속 가능한 IP를 제한하는 기능이 있다면 켜 두고, 사이트 관리자 페이지는 로그인 시도 횟수 제한을 걸어 두면 무작위 대입 공격을 크게 줄일 수 있습니다.
관리자 계정 이름과 권한 나누기
사이트 관리자 아이디를 admin처럼 흔한 이름으로 두면 공격 대상이 되기 쉽습니다. 처음 설치할 때 예측하기 어려운 아이디를 쓰고, 글을 쓰는 계정과 사이트 설정을 바꾸는 관리자 계정을 따로 두는 것이 좋습니다. 평소에는 편집자 권한 계정으로 글을 쓰고, 플러그인 설치나 설정 변경이 필요할 때만 관리자 계정으로 로그인하면 실수로 중요한 설정을 건드릴 일도 줄어듭니다. 데이터베이스 사용자도 사이트마다 따로 만들어 두면 한 사이트에 문제가 생겨도 다른 사이트까지 번지는 것을 막을 수 있습니다.
결제 정보와 연락처 점검
호스팅 회원 계정에 등록된 이메일과 휴대폰 번호가 지금도 쓰는 것인지 확인해 보세요. 예전 회사 메일이나 해지한 번호로 남아 있으면 비밀번호 재설정이나 보안 알림을 받을 수 없습니다. 결제 카드가 만료되어 자동 연장이 실패하면 사이트가 갑자기 멈출 수 있으니, 카드 정보와 결제 알림 수신 여부도 함께 점검하는 것이 좋습니다.
3단계, 관리 페이지 주소를 주소모음처럼 정리하기
계정이 많아지면 매번 검색해서 로그인 페이지를 찾게 되는데, 이 습관이 의외로 위험합니다. 검색 결과 상단에 광고나 비슷한 이름의 피싱 페이지가 섞여 나올 수 있기 때문입니다. 자주 쓰는 관리 페이지는 공식 주소를 확인한 뒤 브라우저 즐겨찾기 폴더 하나에 링크모아 두고, 그 폴더에서만 접속하는 습관을 들이세요.
웹호스팅 업체별 공식 관리 페이지와 고객센터 주소는 웹호스팅 링크모음에 정리해 두었습니다. 처음 등록할 때 한 번만 주소창 도메인을 꼼꼼히 비교해 두면 이후에는 헷갈릴 일이 줄어듭니다. 개인적으로 만든 즐겨찾기도 일종의 사이트모음이니, 몇 달에 한 번은 더 이상 쓰지 않는 서비스를 정리해 주세요.
4단계, 백업과 알림 설정
보안 설정의 마지막 안전망은 백업입니다. 호스팅 업체가 제공하는 자동 백업이 있다면 보관 주기와 복원 방법을 미리 확인하고, 중요한 사이트라면 외부 저장소에도 주기적으로 사본을 남겨 두는 것이 좋습니다. 백업은 만들어 두는 것보다 실제로 복원해 보는 연습이 더 중요합니다. 테스트용 하위 도메인에 한 번 복원해 보면 문제가 생겼을 때 당황하지 않습니다.
로그인 알림도 꼭 켜 두세요. 새로운 기기나 해외 IP에서 로그인했을 때 메일이나 문자로 알려 주는 기능이 있다면, 이상 접속을 빠르게 알아챌 수 있습니다. 도메인 만료 알림 메일이 스팸함으로 가지 않도록 업체 발신 주소를 연락처에 등록해 두는 것도 잊지 마세요.
정기 점검 루틴 만들기
한 번 설정했다고 끝나는 것이 아니라 분기마다 짧게 점검하는 루틴을 두는 것이 좋습니다. 계정 목록을 다시 열어 쓰지 않는 계정을 지우고, 플러그인과 테마 업데이트 상태를 확인하고, 백업이 정상적으로 쌓이고 있는지 살펴보는 정도면 충분합니다. 함께 사이트를 관리하는 사람이 있다면 권한을 최소한으로 나눠 주고, 작업이 끝나면 바로 권한을 회수하는 원칙을 정해 두세요.
웹사이트 보안 전반에 관한 공식 안내와 점검 도구가 궁금하다면 보안 주소모아 페이지도 함께 참고해 보세요. 웹호스팅 계정 보안은 어려운 기술보다 목록 정리, 2단계 인증, 공식 주소 즐겨찾기, 백업이라는 기본 네 가지를 꾸준히 지키는 쪽이 훨씬 효과가 큽니다.