안전한 랜덤 API Key를 생성합니다. REST API, 인증 토큰, Secret Key 생성에 사용하세요.
API Key는 애플리케이션 간 인증을 위한 핵심 보안 요소입니다. 약한 키는 브루트 포스 공격에 취약하며, 유출 시 무단 API 접근으로 이어집니다. 강력한 API Key는 최소 32자 이상의 랜덤 문자열이어야 하며, 암호학적으로 안전한 난수 생성기(CSPRNG)를 사용해야 합니다. UUID v4, Base64, Hex 형식이 널리 사용되며, 각 API 키는 고유하고 예측 불가능해야 합니다. 키 노출 시 즉시 폐기하고 새로운 키로 교체해야 하며, GitHub 같은 공개 저장소에 절대 커밋하지 마세요.
API Key 생성 방식은 여러 가지가 있습니다. UUID v4는 122비트 랜덤으로 충돌 확률이 극히 낮아 널리 사용됩니다. Base64는 바이너리 데이터를 텍스트로 인코딩하여 32자로 약 192비트 엔트로피를 제공합니다. Hex는 16진수로 표현되어 가독성이 높고 64자로 256비트 보안을 제공합니다. 영숫자 방식은 대소문자와 숫자만 사용하여 URL-safe하며, 접두사(sk_, api_)를 추가하면 키 타입을 식별하기 쉽습니다. Stripe, AWS, OpenAI 등은 각자 고유한 키 형식을 사용하여 서비스별 키를 구분합니다.
UUID v4는 표준화된 128비트 식별자로 전 세계적으로 고유성을 보장합니다. 8-4-4-4-12 형식(예: 550e8400-e29b-41d4-a716-446655440000)으로 구조가 명확하며, RFC 4122 표준을 따릅니다. 반면 커스텀 랜덤 문자열은 길이와 형식을 자유롭게 설정할 수 있어 유연합니다. UUID는 데이터베이스 기본 키로 적합하지만, API Key는 랜덤 문자열이 더 간결하고 사용하기 편합니다. 보안 강도는 비슷하지만, 랜덤 문자열은 접두사와 체크섬을 추가하여 검증 로직을 구현하기 쉽습니다.
API Key는 절대 평문으로 저장하면 안 됩니다. 환경 변수(.env)에 저장하고 .gitignore에 추가하여 버전 관리에서 제외하세요. 프로덕션 환경에서는 AWS Secrets Manager, HashiCorp Vault, Azure Key Vault 같은 전용 비밀 관리 시스템을 사용하세요. 데이터베이스에 저장 시 해시(SHA-256)로 변환하고, 필요 시 암호화(AES-256)를 병행합니다. 키를 코드에 하드코딩하지 말고, Docker 시크릿이나 Kubernetes Secrets를 활용하세요. 로그에 키가 노출되지 않도록 마스킹 처리하고, 키 사용 이력을 모니터링하세요.
API Key는 정기적으로 순환(Rotation)해야 합니다. 90일마다 키를 교체하는 것이 일반적이며, 유출 의심 시 즉시 폐기하세요. 무중단 교체를 위해 두 개의 키를 동시에 활성화하고, 새 키로 전환 후 구 키를 비활성화합니다. AWS IAM, Google Cloud API Key는 자동 순환 기능을 제공합니다. 키마다 만료일을 설정하여 오래된 키를 자동으로 무효화하고, 순환 이력을 감사 로그에 기록하세요. API Key 대신 OAuth 2.0, JWT 같은 토큰 기반 인증을 사용하면 더 안전하고 자동 만료가 가능합니다.
API Key에는 반드시 Rate Limiting을 적용하여 남용을 방지하세요. IP당 분당 100회, 키당 시간당 1,000회 같은 제한을 설정합니다. 쿼터(Quota)를 두어 일일 최대 호출 수를 제한하고, 초과 시 429 Too Many Requests를 반환하세요. IP 화이트리스트를 설정하여 특정 IP에서만 키 사용을 허용하고, 비정상 패턴(짧은 시간 대량 요청)을 탐지하여 자동 차단합니다. Cloudflare, Kong, AWS API Gateway 같은 API 게이트웨이를 사용하면 Rate Limiting을 쉽게 구현할 수 있습니다. 키별 권한(Scope)을 설정하여 읽기 전용, 쓰기 전용 등으로 접근을 제한하세요.