계정 쿠키와 토큰 쉽게 이해하기: 세션이란 무엇인가

계정 쿠키 로그인(account cookies login)이란 아이디와 비밀번호를 입력하지 않고, 이미 로그인된 브라우저 세션의 쿠키를 불러와 그대로 접속하는 방식입니다. 쿠키 안에는 서버가 발급한 세션 토큰이 들어 있고, 서버는 이 토큰만 보고 ‘이 요청은 이미 인증된 사용자의 것’이라고 판단합니다. 비밀번호는 오가지 않지만, 토큰을 쥔 사람이 곧 계정 주인으로 취급된다는 점이 핵심입니다.

계정을 사고파는 현장에서는 비밀번호 대신 쿠키 파일만 건네는 거래가 드물지 않습니다. 그래서 받는 쪽이 이 파일이 정확히 무엇이고 언제 죽는지 알아야 합니다.

쿠키 로그인은 비밀번호 로그인과 어떻게 다른가

비밀번호 로그인은 매번 자격 증명을 서버에 보내고 서버가 그것을 확인하는 과정입니다. 비밀번호가 맞으면 필요에 따라 2단계 인증 코드까지 요구하고, 전부 통과해야 서버가 세션을 만들어 토큰을 브라우저에 돌려줍니다. 이후 페이지를 열 때마다 비밀번호를 다시 묻지 않는 것은 브라우저가 그 토큰을 쿠키로 자동 첨부하기 때문입니다.

쿠키 로그인은 이 앞부분 전체를 건너뜁니다. 이미 발급된 토큰을 새 브라우저에 넣고 서비스 주소를 열면 서버는 요청에 붙은 토큰만 확인합니다. 비밀번호 입력창도 인증 코드 입력창도 나오지 않고, 받은편지함이나 대시보드가 곧바로 열립니다.

실패할 때의 모습도 알아 두세요. 토큰이 이미 무효라면 서버는 조용히 로그인 페이지로 돌려보냅니다. 오류 문구 없이 입력창만 다시 나타나는 경우가 흔해서 ‘파일이 깨졌나’ 하고 헷갈리기 쉽습니다.

세션 토큰이란 정확히 무엇인가

세션 토큰은 서버가 로그인 성공 직후 발급하는 긴 무작위 문자열입니다. 서버는 ‘이 문자열은 이 계정, 이 기기, 이 시각부터’라는 대응표를 자기 쪽에 저장해 두고 요청이 올 때마다 대조합니다. 토큰에는 비밀번호가 들어 있지 않으므로 토큰을 봐도 비밀번호는 알 수 없습니다. 다만 토큰을 가진 쪽은 서버 입장에서 주인과 구별되지 않습니다.

브라우저 개발자 도구의 Application(저장소) 탭에서 도메인별 쿠키 목록을 볼 수 있습니다. 이름, 값, 도메인, 만료 시각, HttpOnly와 Secure 표시가 한 줄씩 나옵니다. 로그인 상태를 실제로 쥐고 있는 것은 보통 한두 개 항목이고, 나머지는 언어 설정이나 광고 식별자 같은 부속 값입니다. 파일로 전달되는 쿠키는 대개 JSON 또는 탭으로 구분된 텍스트 형식입니다.

서비스에 따라 토큰이 발급 당시의 기기 정보나 IP 대역과 묶여 있기도 합니다. 이런 경우 전혀 다른 지역에서 같은 토큰이 들어오면 서버가 추가 확인 화면을 띄우거나 세션을 끊어 버립니다.

쿠키는 왜 상하는가

가장 단순한 이유는 수명입니다. 서버가 정한 기간이 지나면 토큰은 더 이상 받아들여지지 않습니다. 기간은 서비스와 설정마다 달라서 일괄적으로 말할 수 있는 숫자는 없습니다.

더 흔한 원인은 사람의 조작입니다. 판매자가 자기 브라우저에서 로그아웃하거나 보안 설정의 ‘기기 목록’에서 세션을 종료하면, 같은 토큰은 서버에서 즉시 폐기됩니다. 비밀번호나 2단계 인증을 바꾸는 순간 기존 세션을 전부 끊는 서비스도 많습니다. 새 주인이 보안을 정리하다가 자기 세션을 날리는 일도 여기서 생깁니다.

마지막은 서버의 판단입니다. 접속 지역이 갑자기 바뀌거나 기기 특성이 크게 다르면 위험 세션으로 분류해 로그아웃시킵니다.

죽은 쿠키를 되살리는 방법은 없습니다. 새 토큰을 받으려면 로그인 자격 증명이 필요하고, 그게 없다면 판매자에게 새 파일을 요청하거나 분쟁 절차로 가는 수밖에 없습니다.

쿠키와 비슷해 보이는 것들의 차이

비밀번호와 쿠키의 차이는 ‘문을 여는 열쇠’와 ‘이미 열린 문의 출입증’이라고 보면 됩니다. 열쇠가 있으면 출입증을 다시 만들 수 있지만, 출입증만으로는 열쇠를 만들 수 없습니다. 텔레그램의 tdata도 같은 부류의 세션 자료이며, 구조는 텔레그램 tdata 폴더 설명에 따로 정리해 두었습니다.

쿠키를 새 환경에 넣을 때는 별도 브라우저 프로필, 특히 안티디텍트 브라우저를 쓰는 경우가 많습니다. 이 도구가 무엇을 바꾸고 무엇을 바꾸지 못하는지는 안티디텍트 브라우저가 실제로 위장하는 것에서 확인할 수 있습니다.

카탈로그에서 보이는 것

StockRush 카탈로그에는 현재 활성 상품 857개, 상점 196곳, 서비스 125종이 올라와 있습니다. 같은 서비스의 계정이라도 전달 형식은 상품마다 다를 수 있습니다. 아이디·비밀번호·복구 이메일을 함께 주는 상품이 있고, 쿠키 파일만 주거나 세션 자료만 주는 상품도 있습니다. 그중 쿠키 전달 상품이 몇 개인지는 따로 집계된 수치가 없으니 말씀드릴 수 없습니다.

실무에서 중요한 것은 가격이 같아 보여도 받는 물건이 전혀 다르다는 점입니다. 비밀번호가 포함된 상품은 소유권을 이전할 수 있지만, 쿠키만 있는 상품은 세션이 죽는 순간 끝날 수 있습니다. 상품 카탈로그에서 고를 때는 상품 설명의 전달 형식을 먼저 읽고, 같은 서비스의 다른 상품과 구성을 비교하세요.

쿠키로 계정을 받았다면: 해야 할 일

순서가 중요합니다. 세션이 살아 있는 동안 확인할 것을 먼저 하고, 그다음 보안을 옮기세요.

1. 파일 형식(JSON인지 텍스트인지)과 판매자가 안내한 사용 환경을 확인합니다. 지역이나 브라우저 조건이 적혀 있다면 그대로 따릅니다.
2. 다른 계정이 로그인되어 있지 않은 깨끗한 별도 프로필을 만들고, 거기에만 쿠키를 불러옵니다.
3. 서비스 주소를 엽니다. 로그인 페이지가 나오면 쿠키가 이미 죽은 것입니다. 이 화면과 파일을 받은 시각을 바로 기록해 두세요.
4. 접속되면 설정에서 로그인된 기기 목록과 연결된 이메일, 전화번호, 2단계 인증 상태를 확인합니다.
5. 비밀번호와 복구 수단을 본인 것으로 바꿉니다. 이때 ‘현재 비밀번호’를 요구하는데 판매자가 주지 않았다면 소유권이 완전히 넘어온 상태가 아닙니다. 판매자에게 먼저 요청하세요.
6. 마지막으로 다른 기기의 세션을 종료합니다.

3번에서 막혔다면 판매자에게 새 파일을 요청하고, 답이 없으면 분쟁을 여세요. 이때 기록해 둔 화면과 시각이 근거가 됩니다. 구매 전 점검 항목은 구글 계정 보안 정리 글과 같은 방식으로 서비스별로 응용할 수 있습니다.

남의 세션이 가진 위험

판매자가 자기 브라우저에서 같은 세션을 계속 쓰고 있을 수 있습니다. 그러면 두 사람이 같은 토큰으로 동시에 들어가 있는 셈이고, 판매자는 언제든 계정 안의 내용을 볼 수 있습니다. 비밀번호와 복구 수단을 바꾸기 전까지는 계정이 당신 것이 아닙니다.

출처도 문제입니다. 쿠키가 감염된 PC에서 빼낸 로그에서 나온 것이라면 원래 주인이 비밀번호를 바꾸거나 복구를 신청하는 순간 계정이 사라집니다. 정당한 권리를 확인할 수 없는 세션은 쓰지 않는 것이 맞습니다. 이 글은 합법적으로 구매한 계정을 안전하게 다루는 방법만 다룹니다.

쿠키 파일 자체도 비밀번호만큼 민감합니다. 메신저나 공유 클라우드 폴더에 올려 두면 링크를 가진 누구나 로그인 상태를 복제할 수 있습니다. ‘쿠키 검사기’를 자처하는 낯선 사이트에 파일을 붙여 넣는 것도 같은 이유로 피해야 합니다. 새 환경에서 처음 접속하면 서비스가 ‘비정상 활동’ 확인 화면을 띄우는 일도 있어서, 첫 접속 직후의 행동은 계정을 받은 뒤 24시간 체크리스트를 참고하세요.

빠른 답변

쿠키로 로그인하면 2단계 인증을 건너뛰나요?

이미 인증을 통과한 세션을 쓰기 때문에 코드 입력창이 나오지 않을 수 있습니다. 하지만 비밀번호 변경이나 결제 정보 수정 같은 민감한 작업에서는 서비스가 비밀번호나 코드를 다시 요구합니다.

쿠키는 얼마나 오래 유지되나요?

서비스와 설정에 따라 다르며 고정된 기간은 없습니다. 판매자의 로그아웃, 비밀번호 변경, 지역 급변으로 하루 안에도 끊길 수 있습니다.

쿠키 파일을 다른 사람에게 보내도 되나요?

보내지 마세요. 그 파일을 받은 사람은 비밀번호 없이 같은 로그인 상태를 만들 수 있고, 계정에서 일어나는 일은 모두 당신의 책임으로 남습니다.