블로그 자동화 첫 실수, 로그인 정보가 코드 저장소에 올라가 있었습니다

이 블로그에 처음 적는 실수 기록입니다. 9월 23일, 네이버 블로그 1호의 로그인 정보가 적힌 파일이 우리 회사 코드 저장소에 올라갔고, 다음 날인 9월 24일에 그 사실을 알았습니다. 블로그 자동화를 시작하고 얼마 되지 않았을 때입니다. 앞으로 자동화 이야기를 여러 편 쓸 텐데, 그 전에 이 일을 먼저 적어 둡니다.

무엇이 잘못됐나

블로그 1호의 글 예약은 자동화 도구가 합니다. 도구가 블로그에 들어가려면 로그인 쿠키, 그러니까 브라우저가 「이 사람은 로그인해 있다」고 기억하는 값이 필요합니다. 그 쿠키 값이 파일 하나에 적혀 있었고, 그 파일이 코드와 함께 저장소에 올라가 있었습니다.

로그인 정보는 코드와 같은 곳에 있으면 안 되는 것이었습니다. 그런데 그 자리에 있었습니다. 그게 잘못입니다.

하나 밝혀 둘 것이 있습니다. 그 저장소가 그때 누구나 볼 수 있는 공개 상태였는지는 확인 안 됨입니다. 우리 기록끼리 말이 다릅니다. 그래서 「공개 저장소에 올라갔다」고는 쓰지 않겠습니다. 사실은 「저장소에 로그인 정보가 올라가 있었다」까지입니다.

9월 24일, 제 손으로 한 일

그날 본사 기록에는 이렇게 적혀 있습니다.

「보안: … (로그인 쿠키) 삭제·비밀번호 변경은 회장 조치. 본사는 삭제 권한 없음(자동 모드 거부)」 (「…」은 기록에서 줄인 부분과 파일 이름 자리입니다. 기록의 「회장」은 저입니다)

자동화 쪽에는 그 파일을 지울 권한이 없었습니다. 지우는 일은 제가 직접 해야 했습니다. 같은 날 제가 한 일은 순서대로 이렇습니다.

1. 모든 기기에서 로그아웃했습니다.
2. 다시 로그인했습니다.
3. 새로 받은 쿠키 값은 파일이 아니라 환경변수, 서버 설정 칸에 넣었습니다.
4. 파일은 지웠습니다.

본사는 이렇게 확인해 적었습니다. 「옛 쿠키는 무효. 파일은 정리 차원에서만 삭제」. 전체 로그아웃으로 옛 값이 이미 쓸모없어졌으니, 파일을 지운 것은 뒷정리였다는 뜻입니다. 기록에 「비밀번호 변경」이 제 몫으로 적혀 있지만, 제가 실제로 비밀번호를 바꿨는지는 기록에 남아 있지 않습니다(확인 안 됨).

하루 뒤, 같은 파일이 또

9월 25일, 두 번째 블로그 일을 새로 꾸리다가 저장소 맨 위에서 같은 쿠키 파일이 또 나왔습니다. 그 자리에서 찾아 지웠습니다. 한 곳을 지웠다고 끝난 게 아니었습니다.

9월 29일에 저는 이렇게 말했습니다.

「… 영구 삭제해. 공유도 안 할 거야」 (「…」은 파일 이름과 기록에서 줄인 부분입니다)

본사는 가지 맨 위에 남아 있던 파일을 지우고 「이제 어느 브랜치 맨 위에도 없다」고 보고했습니다. 그러면서 한 가지를 분명히 했습니다. 9월 23일에 올라간 옛 기록은 가지 네 곳의 이력에 그대로 남아 있고, 그것까지 완전히 지우려면 이력을 다시 쓰는 작업에 전체 로그아웃·비밀번호 변경이 함께 필요하다는 것이었습니다.

아직 끝나지 않은 일

이력 삭제는 제가 미뤘습니다. 9월 29일 낮에 「이력 삭제는 금요일(10/2) 이후로 보류」라고 했고, 10월 2일 아침에는 다른 일들과 묶어 「4번부터 7번까지는 일단 모두 보류」라고 했습니다. 그 7번이 이력 삭제였고, 조건이 하나 붙어 있습니다. 저장소를 비공개로 유지하는 것입니다.

그래서 10월 8일 기준으로 이 일은 끝나지 않았습니다. 지금 보이는 곳에는 파일이 없지만, 이력에는 옛 값이 남아 있습니다. 그 값은 9월 24일 전체 로그아웃으로 무효가 됐다고 기록돼 있습니다. 다만 그 옛 값을 실제로 넣어 보며 죽었는지 시험하지는 않습니다. 이유는 아래 규칙에 있습니다.

이 일 뒤로 생긴 한 줄

이 일 뒤 그룹 전체에 걸리는 규칙에 이 문장이 들어갔습니다.

「쿠키·키·토큰·환경변수 값은 출력·저장·전송하지 않는다(길이만).」

같은 자리에 하나가 더 있습니다. 「네이버·카카오 보호조치·캡차·추가 인증이 나오면 멈추고 회장께 알린다. 로그인을 우회하지 않는다.」

로그인 값은 화면에 띄우지도, 파일에 적지도, 어디로 보내지도 않습니다. 제대로 들어갔는지는 값의 길이로만 봅니다. 옛 값을 넣어 시험하지 않는 것도 같은 이유입니다. 본사는 로그인 정보를 쓰는 일 자체를 막아 두었습니다. 우리 회사가 규칙을 어떤 파일로 두고 굴리는지는 첫 글에 적었습니다.

규칙이 쓰인 자리

이 줄은 그 뒤 계정이 늘 때마다 그대로 쓰였습니다.

• 9월 26일, 새 계정의 토큰: 「값은 어디에도 기록 안 함, 길이만 확인」
• 10월 2일, 세 번째 계정의 쿠키: 「값 출력 금지, 이름·길이만」
• 10월 7일, 이 블로그의 쿠키: 기록에 남은 것은 「길이 40」뿐

이 블로그에서도 10월 8일 새벽과 10월 9일 새벽 1시 48분, 두 번 쿠키가 만료돼 로그인이 풀렸습니다. 두 번 다 제가 새 값을 직접 넣었습니다. 만료 주기는 하루쯤으로 보고 있습니다(추정).

자동화를 남에게 파는 쪽에도 같은 선을 그었습니다. 9월 29일에 정한 판매 규칙은 이렇습니다. 「쿠키는 넣지 않는다. 구매자는 자기 … 계정·자기 네이버 쿠키로 운영한다(본사는 남의 로그인 정보를 보관하지 않는다)」. 우리 로그인 정보가 저장소에 있었던 일을 겪고 나니, 남의 것은 처음부터 받지 않는 쪽이 맞았습니다.

처음 실수는 로그인 정보를 코드 옆에 둔 것이었고, 바꾼 것은 그 값을 아무 데도 적지 않고 길이만 보는 것입니다. 저장소 이력 삭제 칸에는 지금도 「보류」라고 적혀 있습니다.

기준일: 2026-10-09 · 최종 수정: 2026-10-09