구글 백업코드 발급하고 안전하게 보관하는 방법
얼마 전 워드프레스 사이트를 운영하는 분이 휴대전화를 바꾸고 구글 계정에 들어가지 못해 연락을 줬다. 사이트는 멀쩡했지만 서치 콘솔과 업무용 메일을 확인할 수 없었다. 기존 휴대전화는 이미 초기화했고, 새 휴대전화에서는 2단계 인증을 끝내지 못한 상태였다. 이런 순간에 쓰는 것이 구글 백업코드다. 평소에는 손댈 일이 없지만, 필요할 때 찾아 쓸 수 있어야 의미가 있다.
구글 백업코드는 언제 필요한가
구글 백업코드는 2단계 인증의 예비 수단이다. 휴대전화를 잃어버렸거나, 번호를 바꿨거나, 인증 앱을 사용할 수 없을 때 로그인 화면에서 입력한다. 구글 계정 도움말 기준으로 한 번 발급하면 8자리 코드 10개가 나온다. 각 코드는 한 번만 쓸 수 있으며, 사용한 코드는 다시 입력해도 작동하지 않는다.
이 코드는 비밀번호를 대신하지 않는다. 계정에 로그인할 때 평소처럼 비밀번호를 입력한 뒤 두 번째 인증 단계에서 쓴다. 워드프레스 관리자 비밀번호나 워드프레스 보안 플러그인의 복구 코드와도 별개다. 구글 계정으로 서치 콘솔, 애널리틱스, 업무용 메일을 관리한다면 그 계정의 접근 수단을 준비하는 일이라고 생각하면 된다. 워드프레스 관리자 화면에 자체 계정으로 로그인하는 경우에는 구글 백업코드로 관리자 로그인을 복구할 수 없다.
2단계 인증을 켜고 코드 발급하기
먼저 구글 계정에 로그인한 상태에서 보안 메뉴로 들어간다. ‘구글에 로그인하는 방법’ 아래의 ‘2단계 인증’을 열고 ‘백업 코드’를 찾는다. 계정 비밀번호를 다시 요구할 수 있다. 백업 코드 화면에서 코드 받기를 누르면 코드를 확인할 수 있고, 인쇄하거나 파일로 내려받을 수 있다. 메뉴 이름은 기기와 화면 언어에 따라 조금 다를 수 있다.
- 2단계 인증이 꺼져 있다면 먼저 활성화한다. 백업코드는 2단계 인증을 사용하는 계정에서 발급한다.
- 코드가 표시되면 발급한 구글 계정이 맞는지 확인한다. 개인 계정과 사이트 운영 계정을 함께 쓰면 보관할 때 혼동하기 쉽다.
- 인쇄본에는 계정을 구별할 수 있는 이름과 발급 날짜를 적는다. 코드 자체를 이메일이나 메신저로 보내지는 않는다.
- 새 코드 묶음을 만들었다면 이전 묶음은 즉시 폐기한다. 구글 안내에 따르면 새 묶음을 발급하는 순간 기존 코드 10개는 모두 무효가 된다.
고급 보호 프로그램을 쓰는 계정은 백업코드를 내려받을 수 없다는 구글 안내도 있다. 이 경우에는 코드 발급 메뉴가 보이지 않는다고 설정이 고장 난 것으로 판단하지 말고, 해당 계정에 등록한 다른 복구 수단을 확인해야 한다.
보관은 휴대전화와 분리해서
백업코드를 휴대전화 사진첩에만 저장하면 휴대전화를 잃었을 때 함께 잃는다. 구글 드라이브에만 넣어두는 것도 그 구글 계정에 로그인할 수 없는 상황에서는 꺼내기 어렵다. 나는 인쇄본 한 장을 잠금장치가 있는 곳에 보관하고, 필요한 경우 별도 비밀번호 관리 도구에 사본을 두는 편을 권한다. 어느 쪽이든 실제로 접근 가능한지 확인해 둬야 한다.
파일로 내려받았다면 ‘다운로드’ 폴더에 그대로 두지 않는 게 좋다. 공용 PC에서 받았다면 인쇄와 보관을 마친 뒤 내려받은 파일과 인쇄 대기 목록까지 확인한다. 사이트 운영자가 여러 명이어도 코드 사진을 단체 대화방에 올리는 방식은 피한다. 누가 계정을 관리하고 복구 자료를 어디에 보관하는지 정하되, 각자 자기 구글 계정으로 서비스에 접근하게 구성하는 편이 운영 기록을 남기기에도 낫다.
코드를 테스트하고 싶다면 로그인할 수 있는 다른 인증 수단을 먼저 확보한 상태에서 사용한다. 테스트에 쓴 코드는 즉시 사용 표시를 해둔다. 백업코드 한 장을 출력해 놓고 몇 년 동안 잊는 것보다, 휴대전화 교체나 담당자 변경 때 남은 코드와 보관 위치를 확인하는 습관이 훨씬 실용적이다.
휴대전화를 잃었을 때 사용하는 순서
로그인 화면에서 계정과 비밀번호를 입력한 뒤 두 번째 인증 화면의 ‘다른 방법 시도’를 선택한다. ‘8자리 백업 코드 입력’을 골라 아직 사용하지 않은 코드 하나를 넣는다. 로그인에 성공하면 그 코드는 폐기하고, 계정 보안 설정에서 분실한 기기의 인증 수단과 복구 정보를 점검한다. 새 휴대전화의 인증 수단을 등록한 다음 남은 백업코드도 확인한다.
코드가 유출됐다고 의심되거나 인쇄본을 잃어버렸다면, 로그인 가능한 기기에서 새 코드 묶음을 발급한다. 그러면 이전 묶음은 무효가 된다. 비밀번호까지 노출됐을 가능성이 있다면 비밀번호와 로그인된 기기도 함께 점검해야 한다. 반대로 휴대전화와 백업코드를 모두 잃고 다른 인증 수단도 없다면 백업코드를 새로 발급할 수 없다. 구글 계정 복구 절차를 따라야 한다.
사이트 백업을 잘해 둬도 운영 계정에 못 들어가면 장애 대응이 늦어진다. 구글 백업코드는 무료로 준비할 수 있고 발급 과정도 짧다. 다만 저장 위치까지 정해 두어야 비상시에 실제로 쓸 수 있다. 나는 새 사이트의 서치 콘솔을 연결할 때, 그 계정의 2단계 인증과 백업코드 보관 상태도 함께 확인한다.
