구글 애즈 API에 패스키 의무화 — 8월 5일 시작, 7일 지연에 주의

구글이 구글 애즈 API를 통해 새 OAuth 2.0 리프레시 토큰을 생성하는 사용자에게 패스키(passkey)를 의무화한다. 구글 애즈 전반의 계정 보안을 강화하려는 더 넓은 흐름의 일부다.

롤아웃은 8월 5일 시작되며 이후 몇 주에 걸쳐 전체 사용자로 확대된다.

무엇이 바뀌나

앞으로 구글 애즈 API의 사용자 인증 워크플로를 따르는 사용자는 새 OAuth 2.0 리프레시 토큰을 생성할 때 패스키로 인증해야 한다.

변경이 적용되면 다음과 같다.

항목	내용
인증 방식	패스키가 비밀번호 단독 인증과 SMS 코드·TOTP 같은 기존 2단계 방식을 대체
패스키가 없는 사용자	인증 과정에서 생성하라는 안내를 받음
기존 OAuth 리프레시 토큰	계속 작동하며 재승인 불필요
새로 만든 패스키	완전히 신뢰되기까지 7일의 보안 지연이 적용될 수 있음

구글은 새 인증이 필요할 때 지연을 피하려면 패스키를 미리 만들어둘 것을 권고한다.

왜 중요한가

대부분의 광고주는 이 변화를 알아채지 못할 것이다. 그러나 구글 애즈 사용자를 위해 OAuth 리프레시 토큰을 생성하는 개발자, 대행사, SaaS 플랫폼은 준비해야 한다.

롤아웃 이후 신규 사용자를 온보딩하는 팀은 패스키 요건과 잠재적인 7일 신뢰 기간을 계산에 넣어 예상치 못한 지연을 피해야 한다.

자동화 워크플로에 서비스 계정을 사용하는 애플리케이션은 영향을 받지 않는다.

함께 영향받는 제품

패스키 요건은 구글 애즈 API에 의존하는 다른 구글 애즈 제품으로도 확대된다.

제품
구글 애즈 에디터
구글 애즈 스크립트
빅쿼리 데이터 전송 서비스
루커 스튜디오

패스키 없이 이 도구들에 접근하는 사용자는 패스키를 생성하라는 안내를 받게 된다.

정리

8월부터 패스키는 새 구글 애즈 API 리프레시 토큰을 생성하는 표준 인증 방식이 된다. 기존 통합은 계속 작동하지만, 개발자는 롤아웃 전에 신규 사용자가 바뀐 로그인 절차를 따를 수 있도록 준비해야 한다.

실무 정리

첫째, 7일 지연이 이번 변경의 실질적 리스크다. 기능 자체보다 새 패스키가 완전히 신뢰되기까지 걸리는 시간이 일정을 흔든다. 온보딩이 예정된 클라이언트가 있다면 지금 패스키를 만들어두게 한다.

둘째, 기존 토큰은 건드리지 않는다. 재승인이 필요 없다고 명시돼 있다. 선제적으로 토큰을 재발급하면 오히려 7일 지연에 걸릴 수 있다.

셋째, 영향 범위를 API 밖까지 확인한다. 에디터·스크립트·빅쿼리 데이터 전송·루커 스튜디오가 함께 걸린다. 리포팅 자동화가 루커 스튜디오에 연결돼 있다면 그쪽도 점검 대상이다.

넷째, 서비스 계정 사용 여부를 파악한다. 자동화 워크플로에 서비스 계정을 쓰면 영향이 없다. 어떤 통합이 사용자 인증이고 어떤 것이 서비스 계정인지 목록화해두면 대응 범위가 좁혀진다.

다섯째, 대행사는 클라이언트 커뮤니케이션을 미리 준비한다. 광고주 본인은 변화를 못 느끼지만 새 계정 연결 시점에 갑자기 막힌다. 사전 안내가 지원 요청을 줄인다.

여섯째, 계정 보안·정책이 계정 UI로 모이는 흐름과 함께 본다. 인증 신청이 계정 안으로 들어온 변화는 구글 애즈 계정 안에서 인증 신청 가능해진다 — 소셜 카지노 게임부터에, API 기능 변화는 구글 애즈 API v25 — 유튜브 쇼츠 참여 지표와 로열티 유지 목표가 열렸다에 있다. API 업그레이드와 인증 변경을 한 번의 개발 일정으로 묶는 편이 효율적이다.