계정 복구는 잠긴 다음에 준비할 수 없습니다. 이 한 문장이 이 글의 전부입니다. 도메인이 만료되거나, 호스팅 계정의 인증 기기를 잃거나, 워드프레스 비밀번호 재설정 메일이 끝내 오지 않는 상황은 전부 이미 그 문 안으로 들어갈 수 없게 된 뒤에 발견됩니다. 그 시점에 필요한 것은 기술이 아니라 미리 열어 둔 다른 문입니다.
다행히 준비할 것은 많지 않습니다. 문은 세 개뿐이고, 셋 다 오늘 30분이면 확인할 수 있습니다.
잠기는 문은 세 개입니다
순서에 의미가 있습니다. 도메인이 멈추면 그 도메인의 메일 주소가 함께 멈추는데, 호스팅과 사이트의 복구 메일이 대개 그 주소로 설정돼 있습니다. 위쪽 문 하나가 아래 두 문의 열쇠를 쥐고 있는 구조입니다. 그래서 준비도 위에서부터 합니다.
가장 흔한 함정 — 복구 메일이 잃어버린 도메인 위에 있다
도메인 등록 계정의 복구 주소가 me@내도메인.com 으로 되어 있는 구성을 아주 자주 봅니다. 평소에는 아무 문제가 없고 오히려 정돈돼 보입니다. 그런데 갱신이 실패해 도메인이 멈추면, 등록 계정을 되찾기 위한 메일을 되찾아야 할 그 계정으로만 받을 수 있는 상태가 됩니다. 문이 안에서 잠깁니다.
해결은 간단합니다. 도메인 · 호스팅 · 결제 · 사이트 관리자 계정의 복구 수단을 그 도메인과 무관한 주소로 바꿔 두세요. 개인 메일이든 별도로 만든 계정이든 상관없고, 조건은 하나 — 오늘도 실제로 열어 보는 받은편지함이어야 합니다. 갱신 알림과 이상 로그인 알림도 같은 주소로 옵니다.
도메인 — 어디에 등록했는지부터 적어 둡니다
의외로 많은 사업자가 자기 도메인이 어느 등록기관에 있는지를 모릅니다. 제작 업체가 대신 사 주었거나, 호스팅 신청 과정에서 딸려 왔거나, 몇 년 전에 다른 서비스에서 옮겨 왔기 때문입니다. 그 상태에서는 갱신도 이전도 시작할 수 없습니다.
확인은 어렵지 않습니다. 도메인 정보 조회(whois) 서비스에서 자기 도메인을 검색하면 등록기관 이름이 나옵니다. 그 이름과 로그인 방법을 적어 두는 것만으로 이 문제의 절반이 끝납니다. 함께 확인할 것 세 가지가 더 있습니다. 자동 갱신이 켜져 있는가, 등록에 쓴 카드가 아직 유효한가, 그리고 명의가 사업자 본인인가입니다.
명의는 특히 중요합니다. 외주 업체 계정으로 등록된 도메인은 관계가 끝난 뒤 되찾는 데 시간이 걸리고, 그 사이 사이트와 메일이 함께 멈춥니다. 지금 그런 상태라면, 아무 일이 없는 지금이 옮기기 가장 쉬운 때입니다.
호스팅 — 청구 계정과 서버 접근은 다른 문입니다
호스팅에는 실제로 문이 둘 있습니다. 요금을 내고 서비스를 관리하는 청구 · 관리 계정과, 파일과 데이터베이스에 닿는 서버 접근 수단(SSH · 제어판 · DB 접속 정보)입니다. 둘 중 하나만 있으면 절반만 할 수 있습니다.
이 문이 중요한 이유가 하나 더 있습니다. 호스팅에 들어갈 수 있으면 사이트 관리자 비밀번호는 되살릴 수 있습니다. 데이터베이스에서 직접 바꾸거나 명령줄 도구로 재설정하는 길이 남아 있기 때문입니다. 즉 사이트 문이 잠겨도 호스팅 문이 열려 있으면 복구가 됩니다 — 반대로 둘 다 같은 메일 주소에 묶여 있으면 함께 잠깁니다.
2단계 인증을 켰다면 백업 코드를 반드시 받아 두세요. 휴대폰을 잃거나 바꿀 때 인증 앱이 함께 사라지는 것이 이 계열에서 가장 흔한 사고입니다. 백업 코드는 그 휴대폰이 아닌 곳에 — 인쇄해서 보관하거나 비밀번호 관리자에 넣어 둡니다.
사이트 관리자 — 둘로 만들고, 하나는 쓰지 않습니다
워드프레스 관리자 계정이 하나뿐이면 그 계정 하나가 단일 실패 지점이 됩니다. 메일 주소가 바뀌었거나, 재설정 메일이 스팸으로 분류되거나, 계정이 실수로 지워지는 일이 실제로 일어납니다.
두 번째 관리자 계정을 만들되, 평소에는 쓰지 않습니다. 비밀번호는 첫 번째 계정과 다르게, 복구 메일도 다른 주소로 두고, 2단계 인증을 켭니다. 계정을 늘리는 것은 일반적으로 공격면을 늘리는 일이지만 — 이 계정은 평소 로그인하지 않고, 강한 인증을 갖추고, 존재를 아는 사람이 본인뿐이라는 조건에서 복구 수단으로 값을 합니다.
제작을 맡겼다면 하나 더 확인합니다. 유일한 관리자가 외주 업체 계정인 경우가 있습니다. 인수받을 때 본인 명의 관리자 계정을 먼저 만들고, 작업이 끝난 뒤 업체 계정을 정리하는 순서를 지키세요.
오늘 30분 점검표
여덟 줄을 한 번 훑는 데 30분이면 충분하고, 이 30분이 지켜 주는 것은 사이트가 아니라 사이트로 오는 문의와 매출입니다. 도메인이 하루 멈추면 그날의 메일도 함께 멈추기 때문입니다.
계정 · 로그인 · 백업을 한 묶음으로 다루는 이야기는 첫 보안 사고를 겪기 전에 연재에 있고, 더 넓은 주제는 보안 아카이브에 모여 있습니다. 접근 권한과 서버 설정까지 포함해 사이트 전체를 한 번 정리하고 싶다면 최적화 지원 사업이 그 작업을 한 건으로 처리합니다.