관리자 비밀번호 관리, 만들기·보관·변경 원칙과 점검 6가지

관리자 비밀번호 관리는 길고 추측하기 어려운 비밀번호를 계정마다 다르게 만들고, 안전한 곳에 보관하며, 유출이 의심되거나 담당자가 바뀔 때 바로 바꾸는 것이 기본입니다. 이 글에서는 만들기·보관·변경 원칙과 점검 항목 6가지를 정리했습니다.

관리자 비밀번호가 특히 중요한 이유

관리자 계정 하나로 글을 고치고, 회원과 문의 정보를 보고, 파일을 올리고, 사이트 설정을 바꿀 수 있습니다. 그래서 프로그램의 취약점을 노리는 공격만큼, 관리자 비밀번호를 알아내 정상 로그인처럼 들어오는 방식도 자주 쓰입니다. 비밀번호 하나가 새면 사이트 전체가 넘어갈 수 있다는 점을 기억해야 합니다.

홈페이지에 딸린 관리 계정 목록

홈페이지를 운영하면 생각보다 많은 관리 계정이 생깁니다. 먼저 아래 목록에서 우리 사이트에 해당하는 계정을 적어 보세요.

• 홈페이지 관리자 계정: 글, 회원, 설정을 관리하는 관리자 화면 로그인.
• 호스팅 관리 계정: 서버 요금, 용량, 백업, 데이터베이스를 관리하는 호스팅 업체 로그인.
• 서버 접속 계정: 파일을 올리고 내리는 FTP·SFTP·SSH 접속 정보.
• 데이터베이스 계정: 홈페이지 프로그램이 데이터베이스에 접속할 때 쓰는 정보.
• 도메인 관리 계정: 도메인 연장과 DNS 설정을 바꾸는 등록 업체 로그인.
• 관리자 이메일 계정: 위 계정들의 비밀번호 재설정 메일을 받는 주소.

이 가운데 관리자 이메일은 나머지 계정의 비밀번호를 다시 설정할 수 있는 통로이므로 가장 먼저 지켜야 합니다. 이메일이 넘어가면 다른 계정의 비밀번호를 아무리 잘 만들어도 소용이 없습니다.

안전한 관리자 비밀번호 만드는 원칙

좋은 비밀번호는 남이 추측하기 어렵고, 다른 곳에서 쓴 적이 없는 비밀번호입니다. 복잡한 기호를 억지로 넣은 짧은 비밀번호보다, 서로 관계없는 여러 단어를 이어 붙인 긴 비밀번호가 기억하기도 쉽고 추측하기도 어렵습니다.

• 사이트가 허용하는 범위에서 최대한 길게 만든다.
• 회사 이름, 사이트 주소, 대표자 이름, 생일, 전화번호, 연속된 숫자나 자판 배열을 넣지 않는다.
• 다른 사이트나 개인 계정에서 쓰는 비밀번호를 다시 쓰지 않는다. 한 곳에서 유출된 비밀번호는 다른 곳에도 그대로 시도됩니다.
• 제작 업체나 호스팅 업체가 처음 정해 준 비밀번호는 넘겨받는 즉시 바꾼다.
• 여러 사람이 한 계정을 함께 쓰지 말고 사람마다 계정을 따로 만든다.

관리자 비밀번호 보관 방법 비교

만든 비밀번호를 어디에 두느냐도 중요합니다. 아래 표는 흔히 쓰는 보관 방법을 편의성과 위험 측면에서 비교한 것입니다.

보관 방법	장점	위험	권장 여부
기억에만 의존	기록이 남지 않음	잊어버리기 쉽고 결국 같은 비밀번호를 재사용하게 됨	계정이 많으면 어려움
메모지·문서 파일	바로 찾을 수 있음	책상 위나 공유 폴더, 메일 첨부로 쉽게 노출됨	권장하지 않음
브라우저 저장 기능	자동 입력이 편함	PC를 함께 쓰거나 PC가 감염되면 함께 노출될 수 있음	개인 전용 기기에서만 제한적으로
비밀번호 관리자 프로그램	계정마다 긴 비밀번호를 만들고 암호화해 보관	마스터 비밀번호와 그 계정 보호가 중요함	권장

계정이 여러 개라면 비밀번호 관리자 프로그램을 쓰는 것이 현실적입니다. 도입 이유와 사용법은 비밀번호 관리자 도입과 사용법에서 따로 다룹니다. 업체나 동료에게 비밀번호를 전달해야 할 때는 메신저나 메일 본문에 그대로 적지 말고, 작업이 끝나면 그 비밀번호를 바로 바꾸거나 임시로 만든 계정을 삭제합니다.

관리자 비밀번호를 바꿔야 하는 때와 순서

정해진 날짜마다 바꾸는 것보다 중요한 것은 위험이 생겼을 때 바로 바꾸는 것입니다. 관리자 계정에 모르는 로그인 기록이 보일 때, 같은 비밀번호를 쓰던 다른 서비스에서 유출 소식이 들릴 때, 담당자가 퇴사하거나 외주 업체와의 작업이 끝났을 때, 공용 PC에서 로그인했을 때가 바로 그때입니다. 여러 계정을 한꺼번에 바꿀 때는 아래 순서를 따릅니다.

1. 감염이 의심되지 않는 깨끗한 기기를 준비합니다.
2. 관리자 이메일 계정의 비밀번호를 가장 먼저 바꿉니다.
3. 도메인 관리와 호스팅 관리 계정을 바꿉니다.
4. 서버 접속 계정과 데이터베이스 계정을 바꾸고, 홈페이지 설정 파일의 접속 정보도 함께 고칩니다.
5. 홈페이지 관리자 계정을 바꾸고 모르는 관리자 계정이 있는지 확인합니다.
6. 바꾼 날짜와 계정을 기록하고, 필요한 사람에게만 안전한 방법으로 전달합니다.

그림처럼 다른 계정의 재설정 통로가 되는 계정부터 바꿔야 합니다. 데이터베이스 비밀번호는 바꾼 뒤 홈페이지 설정 파일을 고치지 않으면 사이트가 열리지 않으므로, 이 단계는 접속 정보를 아는 담당자나 유지보수 업체와 함께 진행하는 편이 안전합니다.

회원 정보를 다루는 홈페이지라면 확인할 기준

회원이나 문의 정보처럼 개인정보를 처리하는 홈페이지라면 개인정보보호위원회 고시 「개인정보의 안전성 확보조치 기준」도 살펴봐야 합니다. 이 고시 제5조는 개인정보처리시스템 계정을 개인정보취급자별로 발급하고 공유되지 않도록 하며, 일정 횟수 이상 인증에 실패하면 접근을 제한하는 등의 조치를 하도록 정하고 있습니다. 제7조는 비밀번호를 저장할 때 복호화되지 않도록 일방향 암호화하도록 정하고 있습니다. 우리 사이트가 적용 대상인지와 세부 기준은 원문과 전문가 확인을 권장합니다.

관리자 비밀번호 점검 체크리스트

아래 여섯 가지를 분기마다 확인하면 비밀번호 때문에 생기는 사고를 크게 줄일 수 있습니다.

• 관리 계정 목록이 문서로 정리되어 있다.
• 모든 관리 계정의 비밀번호가 서로 다르다.
• 업체가 정해 준 초기 비밀번호를 그대로 쓰는 계정이 없다.
• 한 계정을 여러 사람이 함께 쓰지 않는다.
• 퇴사자와 작업이 끝난 업체의 계정을 정리했다.
• 지원되는 계정에는 2단계 인증을 켰다.

마지막 항목인 2단계 인증은 비밀번호가 새더라도 로그인을 한 번 더 막아 주는 장치입니다. 켜는 방법은 관리자 계정 2단계 인증 설정에서 정리했습니다.

디코랩이 돕는 방식

디코랩은 홈페이지 제작과 함께 운영 중인 사이트의 유지보수와 개선을 맡고 있습니다. 관리자 계정 정리나 접속 정보 변경 뒤 사이트 설정을 함께 손봐야 한다면 유지보수 접수 게시판에 비밀글로 요청을 남겨 주세요. 이때 비밀번호 자체는 글에 적지 않습니다.

자주 묻는 질문

관리자 비밀번호는 몇 달마다 바꿔야 하나요?

날짜보다 사건을 기준으로 바꾸는 것이 효과적입니다. 유출이 의심될 때, 담당자나 업체가 바뀔 때는 바로 바꾸세요. 회사 내부 규정이나 사용하는 서비스의 정책이 따로 있다면 그 기준을 따릅니다.

브라우저에 관리자 비밀번호를 저장해도 되나요?

혼자 쓰는 기기라면 편의상 쓸 수 있지만, 여러 사람이 함께 쓰는 PC에서는 저장하지 않아야 합니다. 관리 계정이 여러 개라면 비밀번호 관리자 프로그램에 보관하는 편이 더 안전합니다.

제작 업체에 관리자 비밀번호를 알려 줘도 되나요?

가능하면 업체용 계정을 따로 만들어 필요한 권한만 주고, 작업이 끝나면 삭제하거나 비밀번호를 바꿉니다. 운영자 본인의 계정 비밀번호를 그대로 알려 주는 방식은 피하는 것이 좋습니다.

비밀번호를 잊었는데 재설정 메일이 오지 않아요.

관리자 계정에 등록된 이메일 주소가 예전 담당자의 주소일 가능성이 큽니다. 호스팅 업체나 제작 업체에 계정 소유를 확인받아 이메일 주소부터 현재 담당자로 바꾸세요.

관리 계정이 몇 개인지, 누가 어떤 계정을 갖고 있는지부터 정리하고 싶다면 사이트 주소를 적어 디코랩 프로젝트 문의로 보내 주세요.