워드프레스 애플리케이션 비밀번호 만드는 법과 칸이 안 보일 때 해결
워드프레스 애플리케이션 비밀번호는 관리자 화면 > 사용자 > 프로필 맨 아래의 ‘애플리케이션 비밀번호’ 칸에서 이름을 입력하고 버튼 한 번만 누르면 만들어집니다. 발급된 24자리 비밀번호는 그 화면에서 단 한 번만 보이므로 바로 복사해 안전한 곳에 저장해야 합니다. 칸 자체가 보이지 않는다면 HTTPS 미적용이나 보안 플러그인 설정이 원인인 경우가 대부분입니다.
목차
애플리케이션 비밀번호란 무엇이고 왜 필요한가
애플리케이션 비밀번호(Application Passwords)는 워드프레스 5.6부터 코어에 기본 포함된 기능으로, 외부 프로그램이 워드프레스 REST API에 접속할 때 쓰는 전용 비밀번호입니다. 자동 포스팅 스크립트, 모바일 앱, 재피어(Zapier)나 n8n 같은 자동화 도구가 글을 올리거나 미디어를 업로드하려면 로그인이 필요한데, 이때 실제 로그인 비밀번호 대신 이 비밀번호를 사용합니다.
로그인 비밀번호를 외부 도구에 그대로 넣으면 그 도구가 유출될 때 관리자 계정 전체가 위험해집니다. 애플리케이션 비밀번호는 프로그램마다 따로 만들고, 필요 없어지면 그것만 골라 취소할 수 있어 피해 범위를 줄일 수 있습니다. 또한 이 비밀번호로는 관리자 화면(wp-admin)에 로그인할 수 없고 API 요청에만 쓰입니다. 기능의 설계와 동작 방식은 워드프레스 코어 팀의 Application Passwords 통합 가이드에 정리되어 있습니다.
| 구분 | 로그인 비밀번호 | 애플리케이션 비밀번호 |
|---|---|---|
| 사용처 | wp-admin 로그인 | REST API·XML-RPC 요청 |
| 형식 | 사용자가 정한 문자열 | 워드프레스가 만든 24자리(4자씩 6묶음) |
| 개수 | 계정당 1개 | 프로그램마다 여러 개 발급 가능 |
| 취소 | 바꾸면 모든 세션에 영향 | 개별로 취소, 다른 연결은 유지 |
| 사용 기록 | 없음 | 마지막 사용 날짜와 IP 표시 |
애플리케이션 비밀번호 만드는 순서
- 관리자 계정으로 워드프레스 관리자 화면에 로그인합니다.
- 왼쪽 메뉴에서 사용자 > 프로필을 엽니다. 다른 사용자 계정용이라면 사용자 > 모든 사용자에서 해당 계정의 ‘편집’으로 들어갑니다.
- 페이지 맨 아래 애플리케이션 비밀번호 영역을 찾습니다.
- ‘새 애플리케이션 비밀번호 이름’ 칸에 어떤 프로그램용인지 알아볼 수 있는 이름을 입력합니다. 예: autopost-pc, n8n-server
- 새 애플리케이션 비밀번호 추가 버튼을 누릅니다.
- 화면에 나타난 24자리 비밀번호를 즉시 복사합니다. 창을 닫으면 다시 볼 수 없고, 잃어버리면 새로 발급해야 합니다.
비밀번호는 ‘abcd efgh ijkl mnop qrst uvwx’처럼 4자씩 공백으로 나뉘어 표시됩니다. 공백은 읽기 편하라고 넣은 것이라 붙여 써도, 띄어 써도 똑같이 인증됩니다. 다만 영문 4자리씩 6묶음이 아닌 짧은 문자열을 넣었다면 로그인 비밀번호를 잘못 넣은 것이니 다시 확인하세요.
‘애플리케이션 비밀번호’ 칸이 안 보일 때 원인 4가지
프로필 화면 맨 아래까지 내려도 해당 영역이 없다면 기능이 비활성화된 상태입니다. 흔한 원인은 아래와 같습니다.
- HTTPS가 아닌 경우: 워드프레스는 보안상 https 사이트에서만 이 기능을 기본으로 켭니다. 주소창이 http로 시작한다면 SSL 인증서부터 적용해야 합니다. 로컬 개발 환경(wp_get_environment_type이 local)은 예외입니다.
- 보안 플러그인 설정: 워드프레스 보안 플러그인 중에는 애플리케이션 비밀번호나 REST API 인증을 끄는 옵션이 있습니다. 플러그인의 로그인 보안·REST API 메뉴에서 관련 항목이 꺼져 있는지 확인합니다.
- 코드로 차단한 경우: 테마의 functions.php나 코드 스니펫 플러그인에
wp_is_application_passwords_available필터를 false로 돌려주는 코드가 있으면 칸이 사라집니다. - 권한 부족: 다른 사용자의 비밀번호를 만들려면 그 사용자를 편집할 권한이 있어야 합니다.
내 사이트에서 기능이 켜져 있는지는 브라우저로 https://내도메인/wp-json/ 주소를 열어 확인할 수 있습니다. 응답 JSON의 authentication 항목 안에 application-passwords와 authorize-application.php 주소가 보이면 정상입니다. 이 항목이 비어 있으면 위 원인 중 하나로 기능이 꺼져 있다는 뜻입니다. 이 확인 방법은 앞서 소개한 코어 팀 가이드에 나와 있는 방식입니다.
발급한 비밀번호로 REST API 연결 확인하기
비밀번호를 만들었다면 실제로 인증이 되는지 한 번 확인해 두는 것이 좋습니다. 워드프레스 REST API는 HTTP 기본 인증(Basic Auth) 방식으로 ‘사용자명:애플리케이션 비밀번호’를 받습니다. 인증 방식 전반은 워드프레스 개발자 문서의 REST API 인증 항목에서 확인할 수 있습니다.
가장 간단한 확인 주소는 /wp-json/wp/v2/users/me입니다. 인증이 성공하면 내 계정 정보가 돌아오고, 실패하면 오류 코드가 돌아옵니다. 자주 보는 응답은 다음과 같습니다.
| 응답 | 의미 | 해결 |
|---|---|---|
| 200, 계정 정보 | 인증 성공 | 그대로 사용 |
| 401 incorrect_password | 비밀번호가 애플리케이션 비밀번호가 아님 | 로그인 비밀번호를 넣었는지 확인 후 재발급 |
| 401 invalid_username | 사용자명 오류 | 표시 이름이 아닌 로그인 아이디(또는 이메일) 입력 |
| 401 rest_not_logged_in | 인증 헤더가 서버에서 사라짐 | 아래 서버 설정 확인 |
| 403 rest_forbidden | 인증은 됐지만 권한 부족 | 편집자 이상 권한 계정 사용 |
서버가 인증 헤더를 지우는 경우
비밀번호가 맞는데도 rest_not_logged_in이 계속 나온다면, 웹서버가 Authorization 헤더를 PHP로 넘기지 않는 경우가 많습니다. 일부 Apache·PHP-FPM 조합에서 생기는 문제로, 사이트 루트의 .htaccess 파일 상단에 아래 한 줄을 추가하면 대부분 해결됩니다.
SetEnvIf Authorization "(.*)" HTTP_AUTHORIZATION=$1
Nginx 단독 서버라면 설정 방식이 다르므로 호스팅 지원팀에 ‘Authorization 헤더 전달’을 요청하는 편이 빠릅니다. 캐시 플러그인이나 CDN 방화벽이 /wp-json/ 요청을 막는 경우도 있으니, 서버 설정을 바꿨는데도 안 되면 캐시 규칙과 방화벽 로그를 함께 봐야 합니다. 서버 패널을 직접 운영한다면 Easypanel 같은 도커 기반 서버 관리 패널에서 웹서버 종류부터 확인해 두면 원인을 좁히기 쉽습니다.
안전하게 관리하는 방법
- 프로그램마다 따로 발급: 하나를 여러 도구에 같이 쓰면 문제가 생겼을 때 어디서 새는지 알 수 없습니다.
- 최소 권한 계정 사용: 글 발행만 하는 자동화라면 관리자 대신 ‘편집자’ 권한 계정을 따로 만들어 그 계정의 비밀번호를 쓰는 것이 안전합니다.
- 코드에 직접 쓰지 않기: 스크립트 파일에 비밀번호를 적지 말고 .env 같은 별도 설정 파일에 두고, 그 파일은 공유·업로드 대상에서 제외합니다.
- 마지막 사용 기록 점검: 프로필 화면의 목록에는 마지막 사용 날짜와 IP가 표시됩니다(하루 단위로 갱신). 오래 안 쓴 항목이나 모르는 IP가 보이면 바로 ‘취소’를 누릅니다.
- 로그인 비밀번호를 바꿔도 유지됨: 계정 비밀번호를 변경해도 애플리케이션 비밀번호는 자동으로 취소되지 않으므로, 계정이 의심될 때는 목록의 ‘모두 취소’까지 눌러야 합니다.
자동화를 붙이면 서버 요청이 늘어나므로 사이트 속도도 함께 관리하는 것이 좋습니다. 플러그인을 줄이지 않고 응답 속도를 개선한 과정은 클라우드웨이즈 워드프레스 속도 개선 기록에서 자세히 볼 수 있습니다. 직접 서버를 꾸리는 중이라면 이지패널 설치 과정도 참고가 됩니다.
자주 묻는 질문
애플리케이션 비밀번호로 관리자 화면에 로그인할 수 있나요?
아니요. 이 비밀번호는 REST API와 XML-RPC 같은 API 요청 인증에만 쓰이고, wp-login.php 로그인 화면에서는 통하지 않습니다.
비밀번호를 복사하지 못하고 창을 닫았어요.
다시 표시하는 방법은 없습니다. 목록에서 해당 항목을 취소하고 같은 이름으로 새로 발급하면 됩니다.
사용자명에는 무엇을 넣어야 하나요?
사이트에 표시되는 닉네임이 아니라 로그인할 때 쓰는 아이디를 넣습니다. 이메일 주소도 사용할 수 있습니다.
2단계 인증을 켜 두면 애플리케이션 비밀번호가 안 되나요?
워드프레스 코어 기준으로는 함께 쓸 수 있습니다. 다만 2단계 인증 플러그인 중 일부는 API 인증까지 막는 옵션이 있으니, 연결이 안 되면 해당 플러그인의 REST API 관련 설정을 확인하세요.
