로그인과 인증

들어온 사람이 누구인지 확인하는 일이에요. 회원카드를 찍는 것과 같고, 확인이 되면 그 사람 것만 보여줍니다.

쉽게 말하면

회원제 가게의 카운터예요. 회원카드를 찍으면 "김 사장님이시네요" 하고 알아보죠. 그때부터 그분의 적립 내역과 지난 주문을 보여줄 수 있어요. 카드를 안 찍으면 누구인지 모르니 아무것도 못 보여줍니다.

말이 두 개로 나뉘어요. 누구인지 확인하는 것이 인증이고, 뭘 할 수 있는지 정하는 것은 또 다른 단계예요. 직원인 건 확인됐지만 금고는 못 여는 것처럼요. 개발자가 "권한 문제"라고 하면 두 번째 얘기입니다.

손님 비밀번호를 그대로 보관하면 안 돼요. 가게가 털렸을 때 손님 비밀번호가 통째로 넘어가기 때문이에요. 사람들은 여러 곳에 같은 비밀번호를 쓰니까, 우리 가게 사고가 손님의 다른 계정까지 뚫습니다.

잘못된 방식

손님 비밀번호를 그대로 저장

사장님도 볼 수 있고 침입자도 볼 수 있어요. 지금은 법적으로도 문제가 됩니다.

올바른 방식

알아볼 수 없는 형태로 바꿔서 저장

사장님도 못 봐요. 손님이 입력한 것을 같은 방식으로 바꿔서 맞는지만 비교합니다.

그래서 제대로 만든 서비스는 비밀번호를 찾아 주지 못하고 새로 정하게만 해요. "비밀번호를 알려드릴 수 없습니다"는 불친절이 아니라 제대로 만들었다는 신호예요.

카카오나 구글로 로그인하는 방식이요. 손님은 새 비밀번호를 만들 필요가 없고, 가게는 비밀번호를 아예 안 갖게 돼요. 안 가진 것은 샐 수도 없으니 가장 안전한 보관법이에요.

동네 가게라면 소셜 로그인부터

가입 단계에서 손님이 나가는 비율이 실제로 크게 차이 나요. 예약 하나 하려고 비밀번호를 새로 만들라고 하면 그냥 나갑니다. 손님 손이 덜 가는 쪽이 매출로 이어져요.

장면 1 · 로그인이 자꾸 풀린다고 한다

“손님이 예약하려는데 계속 로그인이 풀린대요.”

확인된 상태를 기억하는 표를 손님 브라우저가 갖고 있는데, 그게 만료되면 다시 찍어야 해요. 얼마나 오래 유지할지는 정할 수 있어요. 은행이면 짧게, 동네 가게 예약이면 길게 두는 게 손님에게 편합니다.

장면 2 · 회원가입을 꼭 받아야 하나

“예약받으려면 회원가입을 만들어야 하나요? 손님들이 귀찮아할 것 같은데요.”

꼭 필요한 건 아니에요. 이름과 전화번호만 받고 예약을 받는 방식도 됩니다. 회원가입은 재방문 손님에게 지난 기록을 보여주고 싶을 때 의미가 생겨요. 처음에는 없이 시작하고, 단골이 생기면 그때 붙이는 순서가 좋아요.

Q. 손님 비밀번호를 제가 볼 수 있나요?: 제대로 만들었다면 못 봐요. 그게 정상이에요. 만약 볼 수 있다면 그 서비스는 잘못 만들어진 거예요.
Q. 회원 정보는 어디에 쌓이나요?: 연결한 데이터베이스에 쌓여요. 사장님 것이고 내려받을 수 있습니다. 다만 개인정보라 다루는 데 책임이 따라요.
Q. 휴대폰 번호로 인증하는 건 어때요?: 확실하지만 건당 문자 비용이 들어요. 예약 확인 문자를 어차피 보낸다면 자연스럽고, 아니면 비용 대비 효과를 따져 보세요.
Q. 손님이 탈퇴하면 기록은요?: 지워 드려야 해요. 다만 세금 관련 거래 기록처럼 법으로 일정 기간 보관해야 하는 것도 있어요. 무엇을 지우고 무엇을 남기는지 미리 정해 두세요.
Q. 관리자 계정은 어떻게 지키나요?: 비밀번호를 길게 하고, 2단계 인증을 켜세요. 관리자 계정이 뚫리면 다른 모든 방어가 소용없어요.

확인해 보세요

손님이 비밀번호를 잊었대요. 알려 드리는 게 맞을까요?

하나 더

예약만 받으면 되는데 회원가입을 꼭 만들어야 할까요?

직접 해보기

손님 입장에서 한 번 해보세요

만든 화면에서 직접 예약이나 문의를 넣어 보세요. 몇 번 만져야 끝나는지 세어 보면, 손님이 어디서 나갈지가 보입니다.

더 깊이 (안 읽어도 괜찮아요)

확인된 상태를 기억하는 방법 · 한 번 확인되면 손님 브라우저에 표를 하나 줍니다. 다음 요청부터는 그 표를 보여주면 되고, 매번 비밀번호를 묻지 않아요. 이 표에 유효기간이 있어서 시간이 지나면 다시 로그인해야 합니다.

2단계 인증 · 비밀번호를 알아도 못 들어오게 하나를 더 요구하는 방식이에요. 휴대폰에 뜨는 숫자 같은 것이요. 관리자 계정에는 반드시 켜세요. 비밀번호 하나로 가게 전체가 뚫리는 걸 막는 가장 효과적인 장치예요.

소셜 로그인이 실제로 하는 일 · 손님이 카카오 화면으로 잠깐 갔다가 돌아와요. 비밀번호는 카카오 화면에서만 입력하니 우리 가게는 볼 일이 없고, 카카오가 "이 사람 맞아요"라는 확인표만 보내줍니다. 우리는 그 표만 믿으면 돼요.

이것만 기억하세요