회원가입 화면에 '본인인증' 버튼 하나를 넣는 일은 간단해 보입니다. 그런데 막상 연동을 시작하면 어느 인증 사업자를 고를지, 인증 결과를 서버에서 어떻게 검증할지, CI와 DI는 어디에 저장할지 같은 질문이 줄줄이 따라옵니다.
2020년 공동인증서 의무 사용이 사라진 뒤로 민간 인증 서비스가 빠르게 늘었고, 개발자가 고를 수 있는 선택지도 그만큼 많아졌습니다.
이 글에서는 본인인증 API를 연동하는 순서, 인증 서비스별 차이, 개발 전에 확인할 항목을 차례로 정리하고, 휴대폰 인증만으로 부족할 때 함께 붙이는 신분증·얼굴·계좌 인증까지 살펴봅니다.
1. 본인인증 API는 어떻게 동작할까요?
본인인증 API는 신원 확인을 전문 인증 사업자에게 맡기는 구조입니다. 서비스 운영사는 인증 사업자와 계약한 뒤 API 키를 받아 자사 화면에 인증 기능을 붙입니다.
사용자가 입력한 이름·생년월일·휴대폰 번호는 인증 사업자 서버에서 확인되고, 운영사는 성공 여부와 결과값을 암호화된 형태로 돌려받습니다.
1) 어디에 쓰일까요?
목적 | 활용 예 |
실명·성인 확인 | 주류·담배 같은 연령 제한 상품 판매, 성인 콘텐츠 접근 제한 |
중복 가입 방지 | 1인 1계정 정책, 이벤트 참여 자격 관리, 어뷰징 차단(CI·DI 활용) |
금융 서비스 접근 | 계좌 개설, 금융거래 인증, 신용정보 조회, 대출·투자 상품 가입 |
2) 연동은 4단계로 진행됩니다
1.
인증 요청: 사용자가 본인인증 버튼을 누르면 프론트엔드가 인증 창을 열거나 인증 사업자 페이지로 연결합니다.
2.
수단 선택·정보 입력: 사용자가 통신사 인증, 간편 인증 등 원하는 방식을 고르고 이름·생년월일·휴대폰 번호를 입력합니다.
3.
결과 전달·검증: 인증이 끝나면 인증 사업자가 미리 등록해 둔 콜백 주소로 암호화된 결과값이나 토큰을 보내고, 서버가 이 값을 검증합니다.
4.
후속 처리: 서버는 결과를 해석해 회원 정보를 저장하거나 로그인 상태로 바꿉니다.
2. 인증 서비스는 무엇이 다를까요?
국내 본인인증 서비스는 크게 통신사 기반, 플랫폼 기반, 신용정보 기반으로 나뉩니다.
구분 | 대표 서비스 | 강점 | 고려할 점 | 잘 맞는 서비스 |
통신사 기반 | PASS(SK텔레콤·KT·LG유플러스) | 사용자 5,000만 명 이상, 안정성, 정부 인증 | 수수료가 높은 편 | 금융, 공공, 대규모 서비스 |
플랫폼 기반 | 카카오 인증서 | 매끄러운 사용 경험, 빠른 인증 | 카카오톡을 쓰지 않으면 이용 불가 | 일반 소비자 대상 서비스 |
플랫폼 기반 | 네이버 인증서 | 공공기관 연계가 활발하고 안정적 | 상대적으로 낮은 사용률 | 공공 서비스, 네이버 연계 서비스 |
신용정보 기반 | KCB, NICE평가정보 | 실명 확인의 정확도와 신뢰도 | 복잡한 연동, 큰 구축 비용 | 대기업, 금융기관 |
사용자마다 익숙한 인증 수단이 다릅니다. 한 가지만 두기보다 PASS·카카오·네이버처럼 여러 수단을 함께 제공하면 인증 단계에서 빠져나가는 사용자를 줄일 수 있습니다.
3. 개발 전에 확인할 5가지
❶ 테스트 환경에서 실패 상황까지 시험하기
정상 인증만 확인하고 넘어가면 운영 중에 문제가 터집니다. 사용자가 인증을 취소한 경우, 시간이 초과된 경우, 콜백이 실패한 경우를 모두 재현해 보세요.
운영 환경으로 넘어갈 때는 콜백 주소와 API 키를 운영용으로 바꿨는지 한 번 더 확인합니다.
❷ API 키·인증서·복호화 키 관리
API 키와 인증서는 코드에 넣지 말고 환경 변수로 분리합니다. 인증 사업자 대부분이 인증서 유효기간을 두고 정기 갱신을 요구하므로, 만료일을 알려 주는 모니터링을 걸어 두는 것이 좋습니다.
결과값은 보통 AES·RSA 방식으로 암호화되어 오는데, 복호화 키가 새면 곧바로 보안 사고로 이어집니다. 접근 권한은 최소한으로 두고 별도 보안 저장소에 보관하세요.
❸ CI·DI와 개인정보 저장 범위
인증 결과로 받는 CI(연계정보)와 DI(중복가입확인정보)는 회원 정보에 연결해 저장하고, 원문 개인정보는 꼭 필요한 만큼만 남깁니다.
정보통신망법과 개인정보보호법에 따라 수집 목적을 분명히 하고, 목적을 달성하면 바로 삭제하거나 익명 처리해야 합니다. 주민등록번호나 신용정보가 포함된다면 별도 암호화 저장과 접근 기록 관리가 필요합니다.
❹ 과금 조건과 예상 건수
대부분 건당 과금이며, 단가는 인증 수단과 계약 조건, 월 예상 건수에 따라 사업자마다 다릅니다. 서비스가 커지면 인증 건수도 함께 늘어나므로 예상 건수를 먼저 계산한 뒤 여러 사업자의 견적을 비교하세요.
실패하거나 다시 시도한 건도 과금되는지, 최소 사용량 조건이 있는지도 계약 전에 확인할 항목입니다.
❺ 인증 성공률 모니터링과 실패 안내
인증 실패가 잦으면 사용자는 서비스를 떠납니다. 성공률을 실시간으로 지켜보고, 실패했을 때 무엇을 다시 하면 되는지 알려 주는 안내 문구를 준비해 두세요.
4. 휴대폰 인증 다음 단계는 언제 필요할까요?
휴대폰 본인인증이 확인하는 대상은 '휴대폰 명의자'입니다. 그래서 아래 같은 경우에는 휴대폰 인증만으로 부족합니다.
•
가족 명의나 빌린 명의의 휴대폰으로 가입하는 경우: 명의자의 휴대폰을 손에 든 사람이면 누구든 통과할 수 있습니다.
•
비대면 계좌 개설·대출처럼 법적으로 실명 확인이 필요한 업무: 신분증 확인 같은 다른 확인 수단을 함께 써야 합니다.
•
국내 휴대폰이 없는 외국인 고객: 휴대폰 인증 자체를 진행할 수 없습니다.
이럴 때 함께 붙이는 인증 API는 세 가지입니다.
인증 API | 확인하는 것 | 주로 쓰는 곳 |
신분증 인증 | OCR로 신분증 정보를 읽고, 발급 정보와 대조하는 진위확인과 실물 촬영인지 가려내는 사본판별로 신분증을 확인 | 비대면 계좌 개설, 대출, 가상자산 |
얼굴 인증 | 지금 촬영한 얼굴과 신분증 사진을 비교해 신분증 주인이 맞는지 확인. 사진·화면을 비추는 위조 시도를 먼저 걸러야 의미가 있음 | 명의 도용을 막아야 하는 서비스 |
계좌 인증(1원 인증) | 고객 계좌로 1원을 보내고 입금자명의 인증코드를 입력받아 그 계좌를 실제로 쓰는지 확인 | 정산, 환불, 대출금 지급 |
5. 유스비 eKYC로 다음 단계 인증 붙이기
유스비는 AI 기업 알체라의 자회사이자 RegTech 전문기업으로, 금융·핀테크 사업자를 위한 eKYC 서비스를 제공하고 있습니다.
1) 필요한 기능만 골라 기존 가입 흐름에 추가
신분증 OCR, 진위확인, 사본판별, 얼굴 1:1 매칭, 라이브니스, 1원 계좌 인증 가운데 서비스에 필요한 단계만 골라 붙일 수 있습니다. 이미 휴대폰 인증을 쓰고 있다면 그 뒤에 신분증·얼굴 확인만 더하는 식입니다.
2) API·SDK·eKYC 중 맞는 방식으로 연동
유스비는 API·SDK·eKYC 형태로 솔루션을 제공합니다. 고객사의 현재 시스템과 필요한 인증 범위를 확인한 뒤 연동 방식을 함께 설계하고, 전담 기술 인력이 초기 세팅부터 테스트, 안정화까지 지원합니다.
3) 금융서비스 수준의 보안
•
보안 요건에 따라 SaaS와 온프레미스 중 선택
•
ISMS 자발적 취득 후 4년 연속 갱신, 코스콤 금융 클라우드에서 데이터 관리
•
통신 구간 TLS 1.3, 데이터 AES-256 암호화
•
본인인증 목적을 달성한 개인정보는 일 단위 삭제 배치로 관리
본인인증 API, 서비스가 확인해야 할 범위부터 정하세요
본인인증 연동은 버튼 하나를 붙이는 작업처럼 보이지만, 인증 수단 선택과 키 관리, 개인정보 저장, 비용, 실패 대응이 함께 얽혀 있습니다. 처음 연동한다면 인증 사업자의 공식 문서를 꼼꼼히 읽고, 테스트 환경에서 충분히 시험한 뒤 운영에 적용하세요.
휴대폰 인증 다음 단계로 신분증·얼굴 확인까지 필요한 서비스라면 유스비와 상담해 보세요!
