로그인 인증번호는 왜 6자리일까?
음원 발매를 앞두고 관리 페이지에 들어가려는데 인증번호가 보이지 않는다면, 숫자를 다시 입력하기 전에 어디에서 코드를 받아야 하는지부터 확인해야 한다. Spotify for Artists의 2단계 인증은 문자와 인증 앱을 안내하고, SoundCloud의 일부 계정에는 이메일 코드를 백업 수단으로 제공한다. 비슷한 인증 화면이라도 다음에 열어야 할 곳은 다를 수 있다.
두 서비스의 공식 도움말을 같은 질문으로 비교했다. 기본 코드는 어디에서 오는가. 그 경로에 접근하지 못하면 무엇을 쓸 수 있는가. 공개 안내만으로 확인되지 않는 조건은 무엇인가. 코드를 직접 발송하거나 실제 계정에 로그인하는 시험은 하지 않았다. 이 비교는 공개된 복구 절차를 읽는 작업이며 어느 서비스의 보안 전체가 더 낫다는 순위를 매기지 않는다.
Spotify for Artists: 두 수단을 켰다면 문자가 기본이다
Spotify for Artists 도움말은 2단계 인증에 문자 메시지와 인증 앱을 사용할 수 있다고 안내한다. 두 방법을 모두 활성화했다면 문자로 보내는 코드가 기본이며, 로그인 과정에서 다른 방법을 선택해 인증 앱으로 바꿀 수 있다. 따라서 문자함에 코드가 보이지 않는 문제와 인증 앱의 코드를 찾지 못하는 문제를 처음부터 같은 것으로 다루면 안 된다.
이 구분은 로그인에 사용하는 계정과 설정을 먼저 살펴야 하는 이유이기도 하다. 문자를 기다리는 동안 인증 앱의 코드를 입력할 수 있는 경로가 따로 있을 수 있고, 두 방법이 모두 설정돼 있다는 조건이 붙는다. 도움말의 절차가 존재한다는 사실만으로 모든 이용자에게 모든 복구 수단이 이미 준비돼 있다고 가정할 수는 없다.
문자와 인증 앱 모두 접근하기 어렵다면 Spotify는 백업 코드 이용을 안내한다. 시도 횟수가 너무 많다는 오류가 나타나면 30분 뒤 다시 시도하라는 설명도 있다. 여기서 30분은 해당 오류 후의 대기 안내다. 개별 코드의 유효기간이 30분이라는 뜻도 아니고, 몇 회 실패하면 제한되는지 알려주는 수치도 아니다. 같은 시간 표현이어도 어떤 사건에 연결돼 있는지 확인해야 한다.
SoundCloud: 이메일 백업은 이용 가능 조건부터 다르다
SoundCloud의 이메일 OTP 도움말은 기능이 모든 계정에 동시에 제공되는 것은 아니며 계정과 지역에 따라 이용 가능 여부가 다르다고 설명한다. 2단계 인증 앱에 접근할 수 없을 때 이메일로 코드를 보내는 백업 로그인 절차를 안내하지만, 실제 계정에 그 수단이 켜져 있어야 한다. 공지 메일을 읽었다는 사실과 로그인 화면에서 이미 사용할 수 있다는 사실은 별개다.
공식 절차는 비밀번호를 입력한 뒤 다른 인증 방법을 선택하고, 이메일로 코드를 보내도록 하는 흐름이다. 인증 앱도 사용할 수 없고 이메일 OTP도 활성화돼 있지 않다면 지원을 통한 복구를 안내한다. 여기서 중요한 차이는 숫자의 길이가 아니라 백업 경로의 전제다. 이메일 코드를 쓰려면 해당 이메일 계정에도 접근할 수 있어야 한다.
따라서 ‘새 휴대전화를 샀으니 이메일이면 해결된다’고 일반화할 수 없다. 그 계정에 기능이 제공되는지, 활성화돼 있는지, 메일을 실제로 열 수 있는지를 나눠 확인해야 한다. 반대로 화면에 같은 선택지가 보이지 않는다는 이유만으로 이용자의 조작 실수라고 단정할 수도 없다. 공식 문서가 명시한 제공 범위 자체가 조건부이기 때문이다.
같은 표에 놓으면 숫자보다 경로가 먼저 보인다
| 확인 항목 | Spotify for Artists 공개 안내 | SoundCloud 이메일 백업 안내 |
|---|---|---|
| 코드 경로 | 문자 또는 인증 앱 | 이용 가능 계정의 이메일 OTP |
| 다른 방법 선택의 전제 | 활성화한 인증 수단·백업 코드 확인 | 계정·지역 제공 여부와 활성화 확인 |
| 기본 수단에 접근 불가 | 다른 방법·백업 코드, 필요시 지원 | 이메일 백업 가능 여부, 불가하면 지원 |
| 이번 문서로 미확정 | 정확한 실패 횟수 문턱·모든 코드 유효기간 | 모든 계정의 제공 상태·정확한 실패 횟수 문턱 |
미확정이라고 적은 칸은 해당 서비스에 제한이 없다는 뜻이 아니다. 읽은 도움말에서 그 값을 확인하지 못했다는 뜻이다. 문서가 설명하는 사용자의 다음 행동과 공개되지 않은 서버의 검증 조건을 구분해야, 로그인 안내를 보안 평가처럼 읽는 오류를 피할 수 있다.
여섯 자리라는 말만으로는 알 수 없는 것
자릿수의 역할도 조건을 고정하면 설명할 수 있다. 000000부터 999999까지 여섯 자리 숫자를 모두 허용하고 하나가 균등하게 선택된다는 가정에서는 후보가 100만 개다. 여덟 자리라면 1억 개다. 중복 없이 서로 다른 세 후보를 대입하고 유효한 코드가 하나라면 맞힐 확률은 각각 3/100만과 3/1억이다. 이는 실제 두 서비스에 시도한 결과가 아니라 가상의 코드 공간 계산이다.
실제 인증에서는 코드의 생성 방식과 만료, 재사용 방지, 시도 제한 등 다른 조건도 작동한다. 공개된 도움말에 자릿수나 타이머가 보인다는 이유만으로 그 모든 값을 알 수는 없다. 특히 재전송 버튼을 누르기까지의 대기와 코드 자체의 만료는 같은 숫자로 단정할 수 없다. 화면에서 확인한 정보와 보이지 않는 설정을 분리하는 것이 계산보다 먼저다.
음악 계정을 관리하는 사람에게 지금 필요한 확인은 구체적이다. 코드를 받는 곳이 문자함인지 인증 앱인지 이메일인지부터 구분하고, 이용 가능한 백업 수단이 준비돼 있는지 확인한다. 기능이 계정별로 제공된다는 조건도 놓치지 않는다. 인증번호가 오지 않는 순간의 다음 행동은 입력칸의 모양보다, 그 뒤에 연결된 경로와 복구 조건이 결정한다.
