Appearance
설정하기
연동에 필요한 클라이언트 신청과 발급, 리다이렉트 URI, 클라이언트 시크릿, 동의항목, 개인정보 처리방침 반영 사항을 설명합니다.
상태 확정 · 최종 확인 2026-09-30
클라이언트 신청
클라이언트는 통합회원 담당자가 등록합니다(셀프 서비스 콘솔 미제공).
| 항목 | 내용 |
|---|---|
| 담당 | 머니박스 개발실 유원영 · yoo.wonyoung@m-box.com |
| 신청 방법 | 아래 세 가지 항목을 작성하여 메일로 신청합니다 |
| 소요 기간 | stage 클라이언트는 클라이언트 등록 항목만으로 영업일 1일 이내 발급. prod 클라이언트는 법무 · 운영 항목이 모두 확인된 후 발급 |
| 회신 | client_id, client_secret(1회), 디스커버리 주소, sub 접두어, 로그인 버튼용 로고 파일 |
클라이언트 등록 항목
클라이언트 생성에 사용하는 항목입니다. stage 클라이언트는 이 항목만으로 발급합니다.
| 항목 | 필수 | 설명 | 예시 |
|---|---|---|---|
| 서비스 | 필수 | 레밋 또는 핀모든 | 레밋 |
| 클라이언트 용도 | 필수 | 웹, iOS 앱, Android 앱, 관리자 등. 배포 단위별로 클라이언트 하나를 발급합니다 | 웹 |
| 표시 이름 | 필수 | 로그인 화면 상단과 동의 화면에 표시됩니다. 사용자에게 익숙한 서비스 이름을 사용합니다 | 레밋 |
| 로고 | 선택 | https 이미지 URL, 정방형, 96px 이상. 로그인 화면 상단에 표시됩니다 | https://static.remit.example/logo.png |
redirect_uri (stage) | 필수 | 여러 개를 등록할 수 있습니다. 리다이렉트 URI 규칙을 따릅니다 | https://stage.remit.example/auth/callback |
redirect_uri (prod) | prod 신청 시 | https 만 허용 | https://www.remit.example/auth/callback |
post_logout_redirect_uri | 선택 | 로그아웃 후 이동할 주소. 여러 개를 등록할 수 있습니다 | https://www.remit.example/ |
같은 서비스의 클라이언트에는 같은 sub 가 발급됩니다. 웹과 앱을 별도로 등록해도 회원 식별에는 영향이 없습니다.
법무 · 운영 항목
동의 화면과 개인정보 처리방침에 표시되는 정보, 그리고 장애 · 보안 사고 시 연락처입니다. prod 클라이언트는 이 항목이 모두 확인된 후 발급합니다.
| 항목 | 필수 | 설명 |
|---|---|---|
| 법인 정식 명칭 | 필수 | 동의 화면의 "제공받는 자"와 통합회원 개인정보 처리방침에 기재됩니다. 사업자등록번호를 함께 전달합니다 |
| 개인정보 처리방침 URL | 필수 | 제공받는 자의 처리방침. 통합회원 화면에서 연결됩니다 |
| 이용약관 URL | 필수 | 서비스 가입 단계에서 받는 약관 |
| 개인정보 보호책임자 | 필수 | 이름, 이메일. 통합회원으로 접수된 사용자 문의를 전달할 담당자 |
| 처리방침 개정 완료일 | 필수 | 개인정보 처리방침 반영 시점. prod 개방 전이어야 합니다 |
| 기술 담당자 | 필수 | 이름, 이메일, 휴대폰. 연동 개발 담당 |
| 운영 담당자 | 필수 | 이름, 이메일, 휴대폰. 장애 · 시크릿 교체 · 서버 변경 안내 수신. 기술 담당자와 같아도 됩니다 |
| 보안 연락 창구 | 필수 | 시크릿 노출 등 보안 사고를 즉시 전달할 수 있는 연락처. 개인 연락처보다 팀 메일이나 채널을 권장합니다 |
사전 파악 항목
연동 방식과 일정 협의에 사용합니다. 정해지지 않은 항목은 미정으로 기재합니다.
| 항목 | 설명 |
|---|---|
| 서비스 도메인 목록 | prod, stage, 로컬 개발. 클라이언트당 호스트가 하나이므로 발급할 클라이언트 수가 결정됩니다 |
| 앱 유무 | iOS · Android 여부. 앱이 있으면 딥링크 도메인과 Universal Link · App Link 설정 상태 |
| 앱 토큰 요청 경로 | 앱이 자사 백엔드를 거쳐 토큰을 발급받는 구조인지 여부. 앱이 직접 토큰을 요청하는 구조는 시크릿이 앱에 포함되므로 사용할 수 없습니다 |
| 기존 회원 규모와 로그인 수단 | 이메일 · 소셜 가입 비중. 기존 회원 전환 설계에 사용합니다 |
| 자체 로그인 유지 여부 | MBOX 통합회원과 병행할지, 전환 완료 후 종료할지 |
| 전환 안내 위치 | 기존 회원에게 전환을 안내할 위치(마이페이지, 로그인 화면 배너 등)와 문구 초안 |
| 일정 | stage 착수일, prod 오픈 목표일, 전환 시작 시점 |
신청서 양식
[1. 클라이언트 등록]
서비스:
클라이언트 용도:
표시 이름:
로고 URL:
redirect_uri (stage):
redirect_uri (prod):
post_logout_redirect_uri:
[2. 법무 · 운영]
법인 정식 명칭 / 사업자등록번호:
개인정보 처리방침 URL:
이용약관 URL:
개인정보 보호책임자 (이름 / 이메일):
처리방침 개정 완료일:
기술 담당자 (이름 / 이메일 / 휴대폰):
운영 담당자 (이름 / 이메일 / 휴대폰):
보안 연락 창구:
[3. 사전 파악]
서비스 도메인 (prod / stage / 로컬):
앱 유무 및 딥링크 도메인:
앱 토큰 요청 경로:
기존 회원 규모 / 로그인 수단 비중:
자체 로그인 유지 여부:
전환 안내 위치와 문구:
일정 (stage 착수 / prod 오픈 / 전환 시작):발급 항목
| 항목 | 설명 |
|---|---|
client_id | 서비스와 용도를 나타내는 문자열. 예: remit-web, remit-ios |
client_secret | 43자 임의 문자열. 1회만 전달되며, 분실 시 재조회할 수 없고 재발급합니다. 통합회원은 암호화하여 보관합니다 |
sub 접두어 | 레밋 rm_, 핀모든 fm_, 머니박스 mb_. 최초 로그인 시 수신한 sub 의 접두어를 확인합니다 |
| 디스커버리 주소 | 라이브러리 설정에 사용하는 주소 |
| 미인증 이메일 테스트 계정 | 머니박스에서 전환한 계정 재현용(email_verified: false). 요청 시 제공합니다 |
| 로고 파일 | 로그인 버튼용 머니박스 심볼(SVG · PNG). 활용하기 › 로그인 버튼 |
| 통합회원 법인 정보 | 주식회사 머니박스의 정식 명칭, 사업자등록번호, 개인정보 처리방침 URL. 연동 서비스 처리방침의 "제공하는 자"에 기재합니다 |
stage 사용자 계정은 제공하지 않습니다. stage 로그인 화면에서 직접 가입하여 사용합니다.
리다이렉트 URI
인가 코드를 전달받을 연동 서비스의 주소입니다. 통합회원은 등록된 값과 문자열이 정확히 일치하는 redirect_uri 만 허용합니다. 쿼리스트링 없이 고정 경로를 사용합니다.
| 규칙 | 이유 |
|---|---|
https 필수(localhost · 127.0.0.1 만 http 허용) | 인가 코드가 평문으로 전송되면 탈취될 수 있습니다 |
fragment(#…) 사용 불가 | 표준 규격 위반입니다 |
| 클라이언트당 호스트 하나 | 회원번호(pairwise)는 첫 redirect_uri 의 호스트를 기준으로 발급됩니다. 호스트가 다르면 클라이언트를 별도로 발급받으며, 같은 서비스라면 sub 는 동일합니다 |
커스텀 스킴(myapp://) 사용 불가 | 다른 앱이 같은 스킴을 등록하여 인가 코드를 가로챌 수 있습니다. 앱은 https 딥링크를 사용합니다 |
| 포트와 마지막 슬래시까지 일치 | https://a.example/cb 와 https://a.example/cb/ 는 다른 값입니다 |
예시: https://www.remit.example/auth/membership/callback
로그아웃 리다이렉트 URI
통합회원 로그아웃 후 이동할 주소입니다. 등록된 값만 post_logout_redirect_uri 로 사용할 수 있으며, 규칙은 리다이렉트 URI 와 같습니다. 등록되지 않은 값을 전달하면 통합회원 오류 화면이 표시되고 연동 서비스로 이동하지 않습니다. — REST API › 로그아웃
리다이렉트 URI 와 달리 호스트 수 제한은 없으나, 클라이언트당 하나를 등록하는 것을 권장합니다.
클라이언트 시크릿
client_secret 은 서버의 환경변수나 시크릿 저장소에만 보관해야 합니다. 브라우저 · 앱 코드, 소스 저장소, 이슈 트래커에 포함할 수 없습니다. 노출이 확인되면 즉시 담당자에게 알려 폐기 · 재발급해야 합니다. 앱은 자사 백엔드를 거쳐 토큰을 요청합니다. — 활용하기 › 앱
재발급
시크릿에는 만료 기한과 정기 교체 주기가 없습니다. 분실하거나 노출된 경우에만 재발급합니다.
- 담당자에게 재발급을 요청합니다(사유: 분실 또는 노출).
- 새 시크릿이 발급되는 즉시 기존 값은 무효가 됩니다. 두 값이 함께 유효한 기간은 없습니다.
- 재발급 시 짧은 중단이 발생하므로, 배포 준비를 마친 뒤 요청하고 발급받은 값을 바로 배포합니다.
- 기존 값으로 토큰을 요청하면
invalid_client가 반환됩니다.
WARNING
서버가 여러 대인 경우 배포가 끝날 때까지 기존 값을 사용하는 서버에서 로그인이 실패합니다. 이용자가 적은 시간대에 요청하고, 한 번에 배포할 수 있는 절차를 준비해야 합니다. 노출 사고인 경우에는 중단을 감수하고 즉시 요청해야 합니다.
동의항목
연동 서비스가 요청하는 정보의 범위(scope)입니다. 통합회원의 동의항목은 세 가지이며, 사용자에게는 최초 연결 시 제3자 제공 동의 화면 한 장이 표시됩니다.
| scope | 제공 정보 | 요청 시점 |
|---|---|---|
openid | sub | 항상 |
email | email, email_verified | 기본 요청 |
offline_access | 리프레시 토큰 | 서버 간 백그라운드 호출이 필요한 경우에만. prompt=consent 와 함께 요청합니다 |
기본 조합은 openid email 입니다. 그 외 scope(profile, phone 등)는 오류 없이 무시됩니다. 응답의 scope 에 포함되지 않았다면 요청이 무시된 것입니다.
개인정보 처리방침
연동 서비스는 MBOX 통합회원을 운영하는 주식회사 머니박스로부터 개인정보를 제공받는 자입니다. prod 개방 전에 연동 서비스의 개인정보 처리방침에 다음 내용을 반영해야 합니다. 문안은 각 사 법무 검토를 거칩니다.
| 항목 | 내용 |
|---|---|
| 제공하는 자 | 주식회사 머니박스 |
| 제공받는 자 | 연동 서비스 운영 법인 |
| 제공 항목 | 이메일 주소, 통합회원 회원번호(서비스별) |
| 제공 목적 | 통합회원 계정을 이용한 연동 서비스 로그인 및 회원 식별 |
| 보유 · 이용 기간 | 연동 서비스 회원 탈퇴 또는 통합회원 연결 해제 시까지 |
prod 클라이언트 발급
stage 연동을 마치면 문제 해결 › stage 점검 목록을 확인한 뒤, prod redirect_uri(https)와 post_logout_redirect_uri 를 담당자에게 전달하여 prod 클라이언트를 신청합니다.
prod 클라이언트는 법무 · 운영 항목이 모두 확인되고 개인정보 처리방침 반영이 완료된 후 발급합니다. prod 전환 시에는 설정값(issuer, client_id, client_secret)만 변경됩니다. prod 개방 일정은 등록된 담당자에게 안내합니다.