외부 액세스 토큰

Documentation Index

Fetch the complete documentation index at: https://docs.replit.com/llms.txt

Use this file to discover all available pages before exploring further.

​

토큰을 사용해야 하는 경우

• 매 커밋마다 dev URL에 대해 스모크 테스트를 실행하는 GitHub Actions 워크플로우.
• 퍼블리시된 앱의 헬스 엔드포인트를 확인하는 업타임 모니터 (Better Stack, Pingdom, UptimeRobot).
• Private Deployment로 POST 요청을 보내는 웹훅 수신자 — Stripe, Slack, GitHub.
• 디버깅 중 팀원의 머신에서 실행하는 curl 또는 fetch 호출.

​

토큰 환경

​

외부 액세스 토큰 생성

• Copy query parameter — URL에 추가할 ?project-protection-bypass=<token>을 복사합니다. 빠른 curl 확인에 편리합니다.
• Copy token only — Authorization: Bearer 헤더로 전송하기에 적합한 원시 토큰을 복사합니다.

​

토큰 사용 방법

​

Authorization 헤더 (권장)

curl -H "Authorization: Bearer <token>" https://your-app.replit.app/health

​

쿼리 파라미터

curl "https://your-app.replit.app/health?project-protection-bypass=<token>"

​

기존 토큰 관리

​

토큰 revoke

​

토큰을 안전하게 관리하기

​

해야 할 것

• 시크릿 매니저에 토큰을 저장하세요 — GitHub Actions secrets, CI 벤더의 vault, 클라우드 제공자의 시크릿 스토어, 또는 패스워드 매니저. 절대 저장소에 커밋하지 마세요.
• 가능하면 짧은 유효 기간을 사용하세요. 일회성 통합을 위한 7일 토큰이 방치된 5년 토큰보다 안전합니다.
• 모든 토큰에 레이블을 붙이세요. 나중에 어떤 용도인지, 아직 사용 중인지 알 수 있도록 하세요. 레이블 없는 토큰이 가장 먼저 유출되고 가장 나중에 revoke됩니다.
• 소비자별로 별도의 토큰을 발급하세요. CI 작업 하나당 토큰 하나, 웹훅 소스 하나당 토큰 하나, 업타임 체크 하나당 토큰 하나. 무언가가 침해되거나 벤더가 더 이상 필요하지 않을 때 해당 토큰만 revoke하면 됩니다.
• 쿼리 파라미터보다 Authorization 헤더를 선호하세요. URL 로그, 브라우저 기록, referer 헤더를 통해 토큰이 유출되지 않도록 합니다.
• 노출 가능성이 있다면 즉시 revoke하세요 — 유출된 로그, 공개 저장소 커밋, 화면 공유, 전 직원의 노트북. Revocation은 즉시 적용됩니다; 이후 대체 토큰을 발급하세요.

​

하지 말아야 할 것

• 팀원이나 서비스 간에 토큰을 공유하지 마세요. 두 시스템이 하나의 토큰을 공유하면 하나를 revoke할 때 다른 것도 중단됩니다.
• 채팅, 이메일, 스크린샷, 이슈 트래커에 토큰을 붙여넣지 마세요. 이러한 채널은 예측하기 어려운 방식으로 보관, 인덱싱, 공유됩니다.
• 클라이언트 측 코드에 토큰을 삽입하지 마세요 — 브라우저 앱, 모바일 앱, 데스크톱 바이너리. 사용자 기기로 배포된 모든 것은 공개된 것으로 간주해야 합니다.
• 브라우저 세션에 토큰을 사용하지 마세요. 토큰은 API 호출에 사용되며 브라우저 탭에서 SPA를 로드하는 데는 적합하지 않습니다. 그런 경우에는 정상적인 Replit 로그인을 사용하세요.
• 기본값으로 5년 만료를 선택하지 마세요. 소비자가 실제로 접근이 필요한 기간에 맞추어 유효 기간을 설정하세요.

​

문제 해결

​

다음 단계

• Private Deployments: 이 토큰이 우회하는 기반 액세스 제어 기능.
• Replit App Access Management: 비공개 앱에 로그인할 수 있는 Replit 사용자를 관리합니다.