Basic 인증 생성기

HTTPS가 아니면 그냥 평문입니다

왼쪽에서 만든 헤더를 "헤더 디코딩" 탭에 붙여넣어 보세요. 아이디와 비밀번호가 그대로 되살아납니다. 키도 암호도 필요 없습니다. Base64는 암호화가 아니라 바이트를 문자로 옮기는 표기법일 뿐이기 때문입니다.

이 말은 HTTP로 요청을 보내면 중간의 누구나 — 공용 와이파이의 다른 손님, 사내 프록시, 통신 경로의 장비 — 헤더를 그대로 읽어 계정을 가져간다는 뜻입니다. Basic 인증에 안전한 사용법이 딱 하나 있다면 "반드시 HTTPS 위에서"입니다. 이 도구도 요청 URL이 https:// 로 시작하지 않으면 경고를 띄웁니다.

• URL에 https://user:pass@host 형태로 넣지 마세요. 셸 히스토리와 서버 로그에 계정이 그대로 남습니다.
• 자격증명을 쿼리 파라미터로 옮기지 마세요. 쿼리는 접근 로그에 남고 리퍼러로 새어 나갑니다.
• 깃 저장소·이슈·위키에 헤더 값을 붙여넣지 마세요. 디코딩 한 번이면 비밀번호입니다.

언제 써도 되고, 언제 쓰면 안 되나

Basic 인증은 낡았지만 여전히 쓸모가 있습니다. 판단 기준은 "이게 뚫렸을 때 무슨 일이 일어나는가"입니다.

Basic 인증의 결정적 한계는 끄는 방법이 비밀번호 변경밖에 없다는 점입니다. 토큰이라면 유출된 것 하나만 폐기하면 되지만, Basic은 비밀번호를 바꾸는 순간 그 계정을 쓰던 모두가 함께 끊깁니다. 권한을 나눌 수도, 만료를 둘 수도 없습니다.

nginx에 실제로 거는 법과 이 도구의 한계

헷갈리기 쉬운 부분입니다. 이 도구가 만드는 것은 클라이언트가 보내는 Authorization 헤더 값입니다. 서버에 두는 비밀번호 파일(.htpasswd)이 아닙니다. 그 파일은 비밀번호를 Base64가 아니라 해시로 저장하므로 이 도구로는 만들 수 없고 htpasswd 명령이 필요합니다.

• 헬스체크·웹훅 수신 경로까지 함께 잠그면 외부 서비스 연동이 조용히 끊깁니다. 예외 location을 두세요.
• 스테이징을 Basic으로 잠갔다면 robots.txt나 noindex는 사실상 불필요합니다 — 크롤러도 401을 받습니다.
• 401 응답에 WWW-Authenticate 헤더가 있어야 브라우저가 로그인 팝업을 띄웁니다. API에서 이 팝업이 뜨는 게 싫다면 403을 쓰거나 그 헤더를 빼세요.

# 1) 서버: 비밀번호 파일 생성 (bcrypt)
sudo apt install apache2-utils
sudo htpasswd -B -c /etc/nginx/.htpasswd admin
sudo chmod 640 /etc/nginx/.htpasswd

# 2) nginx 설정
location /admin/ {
    auth_basic           "Restricted";
    auth_basic_user_file /etc/nginx/.htpasswd;

    proxy_pass http://127.0.0.1:3000;
    # 뒷단 앱이 이 헤더를 자기 인증으로 오해하지 않도록 비운다
    proxy_set_header Authorization "";
}

# 3) 클라이언트: 이 도구가 만든 헤더로 확인
curl -I -H 'Authorization: Basic YWRtaW46...' https://example.com/admin/

아이디에 콜론, 비밀번호에 한글 — 조용히 깨지는 지점

자격증명은 "아이디:비밀번호"를 이어붙여 인코딩합니다. 구분자가 첫 번째 콜론이기 때문에 아이디에 콜론이 들어가면 서버는 그 앞까지만 아이디로 읽고 나머지를 통째로 비밀번호로 해석합니다. 규격 위반이고, 이 도구는 아이디에 콜론이 있으면 경고합니다. 반대로 비밀번호에는 콜론이 있어도 됩니다 — 디코딩 탭도 첫 콜론에서만 나눕니다.

한글 비밀번호는 더 미묘합니다. 이 도구는 UTF-8로 인코딩하지만, 브라우저 기본 팝업이나 옛 서버 구현 중에는 Latin-1로 처리하는 것이 남아 있어 양쪽 해석이 엇갈리면 "비밀번호가 분명히 맞는데 로그인이 안 되는" 상황이 됩니다. 원인 찾기 가장 어려운 부류이니 Basic 인증 계정은 ASCII 문자로만 만드세요.

curl 예시 두 줄의 차이

결과 아래 curl 예시는 두 가지를 함께 보여줍니다. -H 로 헤더를 직접 넣는 방식과, -u 로 curl에게 인코딩을 맡기는 방식입니다. 결과는 같지만 남는 흔적이 다릅니다.

-u 는 편하지만 비밀번호가 셸 히스토리에 남고, 공유 서버라면 실행 중 ps 명령으로 다른 사용자에게 보일 수 있습니다. 자동화 스크립트에서는 값을 환경변수나 .netrc 에 두고 참조하는 편이 안전합니다.

# 히스토리에 안 남기기 (많은 셸에서 앞에 공백을 두면 기록되지 않음)
 curl -u 'admin:s3cr3t' https://example.com/admin/

# 환경변수 사용
export API_CRED="admin:s3cr3t"
curl -u "$API_CRED" https://api.example.com/v1/orders

# ~/.netrc (권한 600 필수)
# machine api.example.com login admin password s3cr3t
curl --netrc https://api.example.com/v1/orders