> ## Documentation Index
> Fetch the complete documentation index at: https://docs.apiyi.com/llms.txt
> Use this file to discover all available pages before exploring further.

# 계정 보안은 어떻게 유지하나요? 2FA와 Passkey를 연동해야 하는 이유는 무엇인가요?

> APIYI 계정에 2단계 인증을 추가하세요. Passkey(지문/얼굴) 또는 2FA(인증기 코드)를 연동하면 비밀번호가 유출되더라도 2차 인증 없이는 아무도 로그인할 수 없습니다. 몇 분이면 완료되므로 모든 사용자가 연동하는 것을 권장합니다.

## 요약

비밀번호 외에 **2단계 인증**을 추가하는 것은 계정 보안을 위해 할 수 있는 가장 가치 있는 조치입니다:

* **Passkey** — 지문, 얼굴 인식 또는 기기 화면 잠금으로 로그인하며, 개인키는 기기 외부로 유출되지 않습니다.
* **2FA(이중 인증)** — 비밀번호 외에 30초마다 갱신되는 인증 앱의 일회용 코드를 입력합니다.

연동하고 나면 **비밀번호가 유출되더라도 본인의 기기나 일회용 코드가 없으면 아무도 로그인할 수 없습니다**. 설정 경로는 \*\*프로필 → `https://api.apiyi.com/account/profile`\*\*이며, 단 몇 분이면 완료됩니다.

<Info>
  **모든 사용자가 연동해야 합니다.** 계정 규모와 상관없이 계정에는 잔액, 사용 기록 및 API 키가 보관되어 있습니다. 2차 인증 수단은 가장 적은 비용으로 가장 높은 효과를 제공하는 방어선입니다. 먼저 **Passkey를 연동**한 후, 백업으로 **2FA**를 추가하는 것을 권장합니다.
</Info>

## 비밀번호만으로는 충분하지 않은 이유

많은 사람이 "비밀번호가 복잡하니 안전하다"고 생각합니다. 하지만 비밀번호가 유출되는 가장 흔한 경로는 모두 **사용자 기기 측에서 발생하며, 비밀번호가 얼마나 강력한지와는 아무런 관련이 없습니다**:

* **컴퓨터가 정보 탈취 악성코드에 감염된 경우**: 이러한 악성코드는 브라우저에 저장된 모든 로그인 정보를 대량으로 탈취하며, 악성코드 앞에서는 아무리 강력한 비밀번호도 평문에 불과합니다.
* **다른 사이트와 동일한 비밀번호를 재사용한 경우**: 다른 사이트가 침해된 후, 공격자는 유출된 "사용자 이름 + 비밀번호" 조합을 여러 사이트에 대입해 봅니다. 이를 크리덴셜 스터핑(credential stuffing)이라고 합니다.
* **피싱**: 가짜 로그인 페이지에 속아 비밀번호를 직접 입력하게 만듭니다.

이러한 모든 상황에서는 비밀번호가 당사에 도달하기도 전에 이미 타인의 손에 넘어갑니다.

<Note>
  분명히 말씀드리면, 이는 당사 측의 유출이 **아닙니다**. 당사의 데이터베이스에는 **평문이 아닌 비밀번호 해시만 저장**되므로, 데이터베이스가 침해되더라도 원래 비밀번호는 복구할 수 없습니다. 하지만 위의 유출 사례는 모두 사용자의 기기/브라우저 측에서 발생하며, 비밀번호만으로는 이를 결코 막을 수 없습니다. **"비밀번호가 이미 유출된 상황"을 방어할 수 있는 유일한 방법은 2차 인증뿐입니다**. 공격자가 비밀번호를 알아내더라도 사용자의 Passkey 기기나 일회용 인증 코드는 가지고 있지 않기 때문입니다.
</Note>

## 두 가지 2차 인증 수단 — 어떤 것을 선택해야 할까요

<CardGroup cols={2}>
  <Card title="Passkey (우선 권장)" icon="fingerprint">
    지문 / 얼굴 / 화면 잠금으로 로그인할 수 있으며, 기억해야 할 비밀번호가 없습니다. 개인키는 사용자 기기 로컬에만 보관되므로 **설계상 피싱 및 크리덴셜 스터핑 공격에 안전합니다**. 일상적인 로그인에 가장 편리합니다.
  </Card>

  <Card title="2FA / 2차 인증 (함께 등록 권장)" icon="shield-check">
    Google Authenticator 또는 Microsoft Authenticator와 같은 인증 앱을 사용하며, 30초마다 갱신되는 코드를 입력합니다. 기기를 변경하거나 접근 권한을 복구해야 할 때 신뢰할 수 있는 백업 수단입니다.
  </Card>
</CardGroup>

**두 가지 수단을 모두 연동하는 것을 권장합니다**: 평소에는 Passkey로 빠르고 간편하게 로그인하고, 휴대폰을 바꾸거나 다른 기기에서 임시로 로그인할 때는 2FA를 대체 수단으로 활용할 수 있습니다. Passkey에 대한 자세한 내용은 [Passkey로 로그인하는 방법](/ko/faq/passkey-login)을 참고하시기 바랍니다.

## 연동 방법

<Steps>
  <Step title="프로필 열기">
    로그인 후 `https://api.apiyi.com/account/profile`을(를) 열거나 왼쪽 탐색 메뉴에서 **프로필**을 클릭합니다.
  </Step>

  <Step title="패스키 연동">
    페이지 하단의 **계정 옵션**으로 스크롤하여 **패스키 연동**을 클릭한 뒤, 저장할 위치(iCloud 키체인 / Google 비밀번호 관리자 / 현재 브라우저)를 선택하고 지문, 얼굴 또는 화면 잠금으로 확인합니다. 전체 단계는 [패스키로 로그인하려면 어떻게 해야 하나요](/ko/faq/passkey-login)에서 확인하실 수 있습니다.
  </Step>

  <Step title="2FA 연동">
    프로필 페이지 아래쪽의 **2FA** 섹션에서 인증 앱으로 QR 코드를 스캔한 다음, 표시되는 6자리 코드를 입력하여 확인합니다.

    <Warning>
      **백업(복구) 코드를 반드시 저장하십시오.** 2FA를 연동하면 시스템에서 일회용 백업 코드 세트를 제공합니다. 이는 휴대전화를 바꾸거나 기기를 분실했거나 실수로 인증 앱을 삭제했을 때 다시 로그인할 수 있는 유일한 방법입니다. 코드를 메모해 두거나 비밀번호 관리자에 저장하시기 바라며, 동일한 휴대전화에 스크린샷으로만 남겨두지 마십시오.
    </Warning>
  </Step>
</Steps>

<Tip>
  연동은 **로그인된 상태**에서 진행되므로 로그인 직후 바로 연동할 수 있습니다. 이는 인증 수단을 **추가**할 뿐이며, 잔액, tokens 또는 호출 기록에는 아무런 영향을 주지 않습니다.
</Tip>

## 연동할 수 없음 / 기기 변경

<AccordionGroup>
  <Accordion title="연동을 클릭했으나 실패했거나 연동되지 않습니까?">
    먼저 **로그아웃 후 다시 로그인**한 다음, 약 1분 정도 기다렸다가 다시 시도하십시오. 여전히 실패하는 경우 최신 버전의 Chrome / Edge / Safari로 전환하고 기기에 화면 잠금 또는 생체 인식이 설정되어 있는지 확인하십시오.
  </Accordion>

  <Accordion title="휴대폰을 변경했거나 인증 앱을 삭제했습니까?">
    연동 시 저장해 둔 **백업 코드**로 로그인한 다음, 프로필로 이동하여 새로운 2FA를 다시 연동하십시오. 백업 코드가 없어 로그인할 수 없는 경우 `support@apiyi.com` 지원팀에 문의하여 본인 확인 후 연동을 해제하십시오.
  </Accordion>

  <Accordion title="새 기기에서도 Passkey를 계속 사용할 수 있습니까?">
    저장된 위치에 따라 다릅니다. iCloud 키체인 또는 Google 비밀번호 관리자에 저장된 Passkey는 기기 간에 동기화되지만, 로컬 브라우저에만 저장된 Passkey는 동기화되지 않으므로 새 기기에서 다시 연동해야 합니다. [Passkey로 로그인하는 방법](/ko/faq/passkey-login)을 참조하십시오.
  </Accordion>

  <Accordion title="2차 인증 수단을 연동한 후에도 비밀번호를 계속 사용할 수 있습니까?">
    예, 가능합니다. 2차 인증 수단은 보안 계층을 **추가**하는 것이며 비밀번호 로그인을 대체하지 않습니다. 안전을 위해 비밀번호를 기억하고, 가입 이메일에 계속 접근할 수 있도록 유지하며, 2FA 백업 코드를 저장해 두십시오. 항상 작동 가능한 복구 수단을 최소 하나 이상 확보해 두어야 합니다.
  </Accordion>
</AccordionGroup>

<Note>
  **계정 로그인 보안 ≠ API Key 보안** — 이 둘은 서로 다른 개념입니다. 2FA / Passkey는 **웹 콘솔 로그인**을 보호하며, 프로그램에서 사용하는 API key는 별도의 보안 수칙이 적용됩니다. 자세한 내용은 [API Key를 안전하게 관리하는 방법](/ko/faq/key-security-management)을 참조하십시오.
</Note>

## 관련 문서

* [Passkey로 어떻게 로그인합니까?](/ko/faq/passkey-login)
* [API 키를 안전하게 관리하는 방법은 무엇입니까?](/ko/faq/key-security-management)
* [비밀번호를 잊어버렸을 때는 어떻게 합니까?](/ko/faq/forgot-password)
* [APIYI는 데이터를 어떻게 안전하게 보호합니까?](/ko/faq/data-security)


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.