2026-11-10 00:22（UTC+8）, APIYI가 복구 안내를 발표했어요. 유예 기간은 2027-12-31 23:59（UTC+8）까지 계속되며, 이제 콘솔에 로그인하면 72시간을 기다리지 않고 Passkey와 2FA를 바로 연결할 수 있어요. 기존 시스템 토큰은 2026-11-11（UTC+8）에 비활성화될 예정일 뿐이에요. 플랫폼은 사용 현황에 따라 연장 여부를 결정한다고 밝혔고, 2026-11-10 현재 “이미 비활성화됐다”거나 “기간이 연장됐다”는 새 공지는 없어요.
시작하기 전에 세 가지 자격 증명을 구분해 두면 이후 단계에서 헷갈리지 않아요. 웹사이트 로그인에는 비밀번호, Passkey, 2FA를 사용하고, 모델 호출에는 sk-로 시작하는 모델 키를 사용해요. 스크립트에서 잔액과 로그를 확인하거나 키를 관리할 때는 nap_으로 시작하는 개인 액세스 토큰을 사용해요. 이 세 가지는 서로 대체할 수 없어요. 이 글에서는 개인 센터 페이지의 실제 순서에 따라 하나씩 설정해 볼게요.
APIYI Passkey, 2FA, 토큰 핵심 정리
아래 표는 이 글의 기본 내용이에요. 이후 각 단계에서 문제가 생기면 먼저 이 표를 확인해 지금 어떤 자격 증명을 사용하고 있는지 살펴보세요.
| 자격 증명 | 형태 | 할 수 있는 일 | 할 수 없는 일 | 관리 위치 |
|---|---|---|---|---|
| 로그인 인증(비밀번호, Passkey, 2FA, GitHub) | 지문, 얼굴 인식, 화면 잠금 비밀번호 또는 6자리 일회용 코드 | 콘솔 로그인을 보호하고, 내보내기 같은 민감한 작업을 다시 인증할 때 사용 | 모델을 호출하거나 관리 API를 사용할 수 없음 | 개인 센터 |
| 모델 키(API Key) | sk-로 시작 |
OpenAI, Claude, Gemini 등의 모델 호출 | 로그인을 보호할 수 없음. 유출되면 2FA로도 막을 수 없음 | 토큰 페이지 |
| 개인 액세스 토큰 | nap_로 시작 |
스크립트에서 잔액과 로그를 조회하고 모델 키를 관리 | 모델을 호출하거나 비밀번호 및 2단계 인증을 변경할 수 없음 | 개인 센터 → 계정 옵션 |
개인 센터 주소는 https://api.apiyi.com/account/profile이에요. 웹사이트 오른쪽 위나 왼쪽 탐색 메뉴에서 ‘개인 센터’를 눌러도 들어갈 수 있어요. 이후 모든 연결 및 생성 작업은 이 페이지에서 시작해요.
아직도 72시간을 기다려야 하나요? APIYI Passkey와 2FA, 지금은 어떻게 이해하면 될까요?
72시간 규칙 자체가 없어진 건 아니에요. 유예 기간에는 적용이 중단된 상태예요. 공식 문서, 플랫폼 공지, 내용을 바탕으로 정리한 절차, 문서에 명시되지 않은 부분을 아래 네 가지로 나눠 살펴볼게요. 추측을 확정된 사실로 오해하지 않도록 구분했어요.
| 정보 유형 | 내용 |
|---|---|
| 기존 공식 규칙 | 비밀번호만으로 로그인하는 계정은 동일한 로그인 세션과 환경에서 안정적으로 72시간을 채워야 처음으로 인증 방식을 등록할 수 있어요. 네트워크를 바꾸면 대기 시간이 다시 시작돼요. |
| 플랫폼 공지(10-04) | 지금부터 2027-12-31 23:59(UTC+8)까지는 등록 유예 기간이에요. 로그인 후 바로 등록할 수 있지만, 위험도가 높은 로그인은 기존 규칙에 따라 차단돼요. |
| 플랫폼 공지(11-10) | 11월 6일 서버 전환 후 새 환경에서 유예 정책이 한동안 적용되지 않았지만, 현재는 복구됐어요. |
| 유예 기간 종료 후 | 기존 규칙이 다시 적용돼요. 새 환경에서 비밀번호만으로 로그인하는 계정은 새로운 인증 방식을 추가하려면 안정적으로 72시간을 채워야 해요. 이미 등록한 인증 방식에는 영향이 없어요. |
| 문서에 명시되지 않은 내용 | 유예 기간이 끝난 뒤 위험도가 높은 로그인을 구체적으로 어떻게 차단할지는 문서에 나와 있지 않아요. 후속 공지도 아직 없어요. |
11월 6일 이후 ‘기다려야 합니다’라는 안내를 본 적이 있다면, 서버 전환 때문이지 계정에 문제가 생긴 건 아니에요. 지금 페이지를 새로고침하면 다시 시도할 수 있어요. 유예 기간이 1년 넘게 남아 있지만, 2027년 말이 되기 전에 지금 인증 방식을 등록해 두는 걸 권장해요. 그러면 그 이후 새 환경에서 로그인할 때 72시간 대기에 막히지 않을 거예요.
🎯 작업 제안: 로그인한 상태에서 인증 방식을 하나 추가하는 절차라 잔액, 모델 키, 호출 기록에는 영향이 없어요. 등록하는 동안 APIYI의 API 호출도 중단되지 않아요.
APIYI Passkey와 2FA는 어떤 순서로 설정해야 할까요?
공식적으로 권장하는 순서는 먼저 Passkey를 등록한 다음, 백업용으로 2FA를 등록하는 것이에요. 순서를 반대로 하면 막히는 문제가 생길 수 있는데, 다음 섹션에서 설명할게요.
첫 번째 단계: APIYI Passkey 등록하기
개인 센터를 열고 페이지 맨 아래로 내려가 ‘계정 옵션’에서 Passkey 등록을 클릭하세요. 브라우저에 “apiyi.com 패스키를 저장할 위치를 선택하세요”라는 시스템 창이 표시돼요. 먼저 팝업에 표시된 도메인이 맞는지 확인하세요. 도메인이 다르면 진행하지 마세요.
저장 위치를 선택한 다음 지문, 얼굴 인식 또는 화면 잠금 비밀번호로 인증하세요. 완료되면 버튼이 Passkey 해제로 바뀌고, 옆에 마지막 사용 시간이 표시돼요. 다음에 로그인 페이지를 열면 Passkey 로그인을 선택할 수 있어요.
저장 위치에 따라 기기를 바꿔도 이 키를 사용할 수 있는지가 달라져요. 아래 표를 참고해 선택하세요.
| 저장 위치 | 적합한 상황 | 동기화 여부 |
|---|---|---|
| iCloud 키체인 | Mac, iPhone, iPad | 본인의 Apple 기기 간 동기화 |
| Google 비밀번호 관리자 | Chrome 및 Android | 기기 간 동기화 |
| 휴대전화, 태블릿 또는 보안 키 | 다른 사람의 컴퓨터에서 잠시 로그인할 때: 컴퓨터에서 QR 코드를 스캔하고 본인 휴대전화에서 인증 | 키가 휴대전화 또는 보안 키에 저장됨 |
| 이 컴퓨터의 브라우저 프로필 | 이 컴퓨터에서만 사용할 때 | 동기화되지 않으며, 컴퓨터를 바꾸거나 시스템을 다시 설치하면 사라짐 |
Passkey와 관련해 미리 알아둘 점이 있어요. Passkey는 WebAuthn / FIDO2를 기반으로 하며, 개인 키는 기기나 비밀번호 관리자에만 저장되고 서버에는 개인 키를 역산할 수 없는 공개 키만 저장돼요. 지문과 얼굴 인식은 기기에서만 확인하며 서버로 전송되지 않아요. Passkey로 새 계정을 만들거나 비밀번호를 대체할 수는 없어요. 등록한 뒤에도 비밀번호 로그인과 GitHub 로그인은 계속 사용할 수 있어요. 또한 공용 컴퓨터에서는 등록하지 마세요.
두 번째 단계: 2FA 등록 후 백업 코드 별도 저장하기
개인 센터에서 페이지 아래쪽의 2FA 영역을 찾으세요. Google Authenticator, Microsoft Authenticator 또는 TOTP와 호환되는 다른 인증 앱으로 QR 코드를 스캔한 다음, 인증 앱에 표시되는 30초마다 갱신되는 6자리 코드를 입력하세요.
등록에 성공하면 페이지에 백업 코드가 표시되니 반드시 저장하세요. 휴대전화를 바꾸거나 기기를 잃어버리거나 인증 앱을 실수로 삭제했을 때, 백업 코드로 다시 로그인할 수 있어요. 인증 앱이 설치된 휴대전화에만 스크린샷을 저장하지 말고, 다른 기기의 비밀번호 관리자에 저장하거나 종이에 적어 안전하게 보관하세요.
등록을 마친 뒤에는 웹사이트 로그인, API KEY 생성, 내보내기 등 민감한 작업을 할 때 2FA 인증 코드 입력이나 Passkey 인증을 요구할 수 있어요. 이는 정상적인 보안 확인이며 오류가 아니에요.
APIYI Passkey 또는 2FA를 등록할 수 없고 ‘인증 상태 저장 실패’가 표시될 때
문제 1: 페이지에 계속 대기하라는 안내가 표시돼요
유예 기간은 로그인 세션을 기준으로 적용돼요. 이전에 로그인한 세션 중에는 재인증이 필요했던 경우가 있어 자동으로 허용되지 않을 수 있어요. 같은 세션에서 계속 시도해도 대기 안내만 표시될 수 있으니, 다음 순서대로 진행해 보세요.
- 페이지를 새로고침한 뒤 다시 시도해 보세요.
- 계속 대기 안내가 표시되면 계정에서 로그아웃한 뒤 다시 로그인하세요. 새 세션이 생성돼요.
- 약 1분 기다려 시스템에서 허용 처리가 완료되면, 계정 설정 페이지를 새로고침한 뒤 등록하세요.
- 그래도 해결되지 않으면 최신 버전의 Chrome, Edge 또는 Safari를 사용하고, 기기에 화면 잠금 비밀번호나 생체 인증이 설정되어 있는지 확인하세요.
일부 앱의 내장 브라우저는 WebAuthn을 지원하지 않아요. ‘Passkey 등록’을 눌러도 팝업이 뜨지 않는다면 시스템 브라우저에서 진행해 보세요.
문제 2: 2FA를 먼저 등록한 뒤 Passkey를 등록하려고 하면 ‘인증 상태 저장 실패’가 표시돼요
2FA를 먼저 등록하면 현재 로그인 상태를 다시 인증하라는 메시지가 표시돼요. 이때 바로 Passkey를 등록하려고 하면 ‘인증 상태 저장 실패’가 발생할 수 있어요. 계정에서 로그아웃한 뒤 비밀번호 + 2FA 인증 코드로 다시 로그인하고, 개인 센터 하단으로 돌아가 ‘Passkey 등록’을 누르세요.
GitHub 간편 가입 계정은 GitHub로 로그인하면 되며, 비밀번호를 따로 설정할 필요가 없어요. 계정 유형과 관계없이 비밀번호, 가입 이메일, GitHub처럼 예비 로그인 방법을 하나 마련해 두는 것을 권장해요. 특정 기기의 Passkey에만 의존하지 마세요.
💡 팁: 등록은 인증 방식 변경에 해당해요. 공식 문서에 따르면 “비밀번호, 2단계 인증, 패스키 중 하나를 변경하면 모든 개인 액세스 토큰이 취소됩니다.” 등록 후 관리 스크립트에서 401 오류가 발생하면 개인 센터에서 개인 액세스 토큰을 새로 만들고 교체하세요. 모델 호출에는 영향을 주지 않아요.
APIYI 모델 키, 개인 액세스 토큰, 기존 시스템 토큰 구분하기
모델 키(sk-)는 토큰 페이지 https://api.apiyi.com/token에서 관리하며, 모델 호출에 사용해요. 개수 제한은 없어요. 개인 액세스 토큰(nap_)은 개인 센터의 계정 옵션에서 관리하며, 관리 인터페이스 호출에 사용해요. 계정당 최대 20개까지 만들 수 있어요. 기존 시스템 토큰은 관리 인터페이스에서 사용하던 기존 인증 정보로, 개인 액세스 토큰으로 대체될 예정이에요.
| 비교 항목 | 기존 시스템 토큰 | 개인 액세스 토큰 |
|---|---|---|
| 권한 | 계정의 모든 권한 보유 | 필요한 권한을 선택할 수 있으며, 읽기·쓰기·키 조회 권한이 각각 분리돼요 |
| 개수 | 계정당 1개 | 최대 20개 |
| 만료 | 만료되지 않음 | 기본 30일, 90·180·365일, 직접 설정 또는 만료 없음 선택 가능 |
| IP 허용 목록 | 지원하지 않음 | IPv4, IPv6, CIDR 지원. 생성 후에는 수정할 수 없어요 |
| 접두사 | 고정 접두사 없음 | nap_ |
| 상태 | 2026-11-11（UTC+8）부터 사용 중지 예정 | 현재 권장 |
관리 스크립트를 APIYI 개인 액세스 토큰으로 교체하기
- 개인 센터를 열고 계정 옵션에서 개인 액세스 토큰을 선택한 다음, 오른쪽 위의 토큰 만들기를 클릭해요.
- “정산 스크립트”, “잔액 모니터링”처럼 용도에 맞는 이름을 입력해요. 만료 기간은 365일처럼 넉넉하게 설정하는 것을 권장해요.
- IP 허용 목록은 비워 두고(비워 두면 제한하지 않아요), 스크립트에서 필요한 권한만 선택해요.
- 토큰 만들기를 클릭한 뒤 토큰을 바로 복사해 안전하게 저장해요. 그런 다음 스크립트의 환경 변수나 설정에 저장된 기존 값을 새 토큰으로 바꿔요.
인터페이스 주소와 코드는 변경할 필요가 없어요. 기본 주소는 계속 https://api.apiyi.com이고, 요청 헤더의 Authorization에 토큰 자체를 입력하면 돼요. Bearer 접두사는 넣어도 되고 생략해도 돼요.
인터페이스별로 필요한 권한만 선택하세요. 권한을 지나치게 많이 부여하면 오히려 위험이 커져요.
- 잔액 조회
GET /api/user/self: “개인 정보 · 읽기”를 선택해요. - 로그 조회
GET /api/log/self: “사용량 및 개인 기록 · 읽기”를 선택해요. - 모델 키 목록 조회 또는 검색: “모델 키 · 읽기”를 선택해요. 생성·수정·삭제에는 “모델 키 · 쓰기”를, 평문 키 확인에는 “모델 키 · 키 조회”를 선택해요.
쓰기 권한을 선택해도 읽기 권한이 생기는 것은 아니며, 읽기 권한만으로는 평문 키를 볼 수 없어요. 비밀번호 변경이나 2단계 인증 같은 작업은 토큰에 쓰기 권한을 부여해도 처리할 수 없어요. 이런 작업은 웹페이지에 로그인해서 진행해야 해요.
스크립트가 정상적으로 동작하면 IP 허용 목록이 설정된 정식 토큰을 새로 만들고, 프로덕션 서버와 백업 서버 등의 공인 IP를 입력해요. IP 주소가 여러 개라면 영문 쉼표로 구분하면 돼요. 정식 토큰으로 교체한 다음에는 IP 허용 목록이 없는 테스트 토큰을 삭제하세요. 스크립트마다 토큰을 하나씩 사용하면 토큰이 유출되더라도 해당 토큰만 삭제하면 돼요.
🚀 마이그레이션 권장 사항: 2026-11-11 사용 중지 예정일 전에 APIYI에서 교체하는 것이 가장 안전해요. 사용 중지 예정일에 실제로 적용될지, 이후 일시적으로 연기될지는 문서에 추가 안내가 없으니 임시 연기를 기대하지 마세요.
APIYI 키가 유출됐거나 스크립트에서 401 오류가 발생하면 가장 먼저 할 일
모델 키 유출: 먼저 비활성화하고, 그다음 확인하세요
모델 키로 사용할 수 있는 최대 금액은 계정 잔액입니다. 키가 유출됐다면 가장 먼저 https://api.apiyi.com/token에서 해당 토큰을 삭제하거나 비활성화하세요. 즉시 피해를 막을 수 있는 유일한 조치이므로 원인 파악보다 먼저 해야 합니다. 그런 다음 새 토큰을 만들고 무제한 한도를 끈 뒤 사용 한도를 입력하세요. 필요하다면 ‘고급 옵션 사용’을 선택해 IP 허용 목록과 사용 가능한 모델을 설정한 다음, 애플리케이션 설정을 업데이트하세요. 마지막으로 호출 로그에서 낯선 모델, 비정상적인 호출량, 발생해서는 안 될 시간대의 호출이 있는지 확인하고, 코드·문서·스크린샷·대화 기록에서 유출 원인을 제거하세요.
Railway에 키를 저장해 두었고 아직 교체하지 않았다면 먼저 기존 키를 비활성화하고 새 키를 만든 뒤 교체하세요. 환경 변수도 업데이트하고 다시 배포해야 합니다. Railway를 사용한 적이 없다면 이번 안내 때문에 키를 교체할 필요는 없습니다.
스크립트에서 401 또는 403 오류가 발생하면 응답 메시지를 확인하세요
| 상태 코드 | 응답 메시지 | 원인 | 해결 방법 |
|---|---|---|---|
| 401 | ACCESS_TOKEN_LEGACY_RETIRED |
구형 시스템 토큰을 사용 중이며, 비활성화 날짜가 지남 | 개인 액세스 토큰을 만들어 교체 |
| 401 | This access token may not be used from the current IP address. |
요청을 보낸 IP가 허용 목록에 없음 | 허용 목록은 변경할 수 없으므로 새 토큰 생성 |
| 403 | ACCESS_TOKEN_SCOPE_DENIED |
필요한 권한을 선택하지 않음 | 새 토큰을 만들고 필요한 권한 선택 |
| 401 | 토큰이 유효하지 않다는 메시지만 표시 | 토큰이 만료되거나 삭제됨, 또는 비밀번호·2단계 인증·패스키를 변경함 | 개인 센터에서 새 토큰 생성 |
사후 대응보다 미리 예방하는 편이 훨씬 간편합니다. 테스트용 모델 키는 무제한 한도를 끄고, 한도를 5~50달러로 설정한 뒤 만료일도 지정하세요. 운영 환경과 테스트 환경은 분리해서 사용하고, 실제 키를 코드나 Git에 넣지 마세요. 외부에 공유하는 스크린샷에는 sk-your-api-key와 같은 자리표시자를 사용하세요.
자주 묻는 질문 FAQ
Q1: APIYI Passkey 또는 2FA를 등록해도 비밀번호로 로그인할 수 있나요?
네. 추가 인증은 보안 단계를 하나 더 추가하는 기능으로, 비밀번호를 대체하지 않아요. GitHub 로그인도 계속 사용할 수 있어요. 일부 작업에서는 인증 코드나 Passkey 인증을 추가로 요구할 수 있어요.
Q2: 2FA 백업 코드를 분실했어요. 어떻게 해야 하나요?
로그인할 수 있다면 개인 센터에서 2FA를 다시 등록하고 새 백업 코드를 저장하세요. 백업 코드가 없고 계정에도 로그인할 수 없다면 [email protected]으로 문의해 주세요. 본인 확인 후 2FA 해제를 도와드려요.
Q3: 개인 액세스 토큰에 가정용 네트워크 IP 허용 목록을 설정해야 하나요?
권장하지 않아요. 가정용 인터넷이나 사무실 네트워크는 외부로 나가는 IP 주소가 바뀔 수 있어요. 허용 목록을 설정하면 갑자기 401 오류가 발생할 수 있어요. 대신 읽기 전용 권한을 사용하고 만료 기간을 짧게 설정할 수 있어요.
Q4: 개인 액세스 토큰으로 모델을 호출할 수 있나요?
아니요. 모델 호출에는 계속 `sk-`로 시작하는 모델 키를 사용하고, base_url에는 `https://api.apiyi.com/v1`을 입력하세요. `nap_` 토큰은 잔액, 로그, 토큰 관리 API에만 사용할 수 있어요.
Q5: 개인 액세스 토큰의 허용 목록을 잘못 입력했어요. 바로 수정할 수 있나요?
아니요. 개인 액세스 토큰의 허용 목록은 생성한 뒤 수정할 수 없어요. 새 토큰을 만든 다음 기존 토큰을 삭제해야 해요. 모델 키의 허용 목록은 별도로 설정할 수 있으며, 잠시 비운 뒤 다시 입력할 수 있어요. 두 설정을 혼동하지 마세요.
Q6: 휴대전화를 바꿔도 Passkey를 계속 사용할 수 있나요?
저장 위치에 따라 달라요. iCloud 키체인이나 Google 비밀번호 관리자에 저장했다면 동기화돼요. 현재 기기의 브라우저 프로필에만 저장했다면 동기화되지 않아요. 기기를 분실했다면 비밀번호나 GitHub로 로그인한 뒤, 기존 Passkey를 해제하고 새 기기에서 다시 등록하세요.
요약: 오늘 이 네 가지를 해두세요
- 패스키 연결: 개인 센터 하단의 계정 옵션 → 패스키 연결을 선택하고, 여러 기기에서 동기화되는 저장 위치를 우선 사용하세요.
- 2FA를 설정하고 복구 코드를 별도로 저장: 복구 코드를 인증 앱이 설치된 휴대폰에만 보관하지 마세요.
- 테스트 토큰의 무제한 사용량 제한: 토큰 페이지에서 테스트용 모델 API 키에 낮은 한도를 설정하세요.
- 관리 스크립트에서 개인 액세스 토큰 사용: 2026-11-11에 사용 중단될 예정이므로, 그 전에 기존 시스템 토큰을
nap_토큰으로 교체하세요.
네 가지 모두 https://api.apiyi.com/account/profile에서 시작하면 됩니다. 10여 분이면 끝낼 수 있어요. 설정을 마치면 로그인, 모델 호출, 관리 스크립트가 각각 별도의 자격 증명을 사용하게 됩니다. 어느 하나에 문제가 생겨도 해당 자격 증명만 처리하면 돼요.
작성자: APIYI 기술팀
기술 문의: 계정 및 토큰에 관한 자세한 내용은 docs.apiyi.com 문서 센터의 계정 보안 및 개인 액세스 토큰 FAQ를 참고하세요.
