워드펜스(Wordfence) 설치 직후에 반드시 손봐야 할 설정 두 가지가 있는데, 바로 로그인 주소 변경과 2단계 인증입니다.
이 두 가지를 함께 챙겨두시면, 홈페이지 보안은 사실상 초보자 수준에서 할 수 있는 최선의 상태가 됩니다. 오늘은 이 두 가지를 왜 해야 하는지, 어떻게 설정하는지 차근차근 안내해드리겠습니다.
왜 로그인 주소 변경을 해야 할까
워드프레스로 만든 홈페이지는 특별히 손대지 않으면 관리자 로그인 페이지 주소가 대부분 똑같습니다. 주소 뒤에 /wp-admin이나 /wp-login.php만 붙이면 누구나 로그인 화면으로 들어갈 수 있습니다.
📖 용어 설명 — 왜 이게 문제가 될까요?
이건 마치 우리 동네 모든 아파트의 현관 비밀번호 입력 화면이 똑같은 위치, 똑같은 모양으로 되어 있는 것과 비슷합니다. 도둑이 굳이 이 집 저 집 현관을 일일이 찾아다닐 필요 없이, “이 위치에 가면 비밀번호 입력판이 있다”는 걸 미리 알고 있는 셈입니다. 나쁜 프로그램들도 마찬가지로, 워드프레스 사이트라는 걸 알아채는 순간 자동으로/wp-admin주소부터 찾아가서 비밀번호를 무작위로 입력해봅니다.
앞선 글에서 말씀드린 무차별 대입 공격(브루트포스)이 정확히 이 지점을 노립니다. 아이디와 비밀번호를 아무리 복잡하게 만들어도, 애초에 공격자가 로그인 화면 자체를 쉽게 찾아낼 수 있다면 계속해서 시도할 기회를 주는 셈입니다.
그래서 로그인 페이지 주소를 아무도 예상할 수 없는 나만의 로그인 주소 변경을 해두면, 애초에 로그인 화면을 찾지 못하니 공격 시도 자체가 크게 줄어듭니다. 실제 현관을 아예 다른 곳으로 옮겨버리는 것과 같은 효과입니다.
⚠️ 주의
로그인 페이지 주소를 바꾸는 것은 보안을 강화하는 데 효과적이지만, 이것 하나만으로 모든 공격을 막을 수 있는 건 아닙니다. 다음에 설명드릴 2단계 인증과 함께 사용하셔야 훨씬 든든합니다.
로그인 주소 변경하는 방법
워드펜스에는 로그인 주소 변경 기능이 포함되어 있습니다. 순서대로 따라 해보시면 어렵지 않습니다.
1단계. 워드펜스 로그인 보안 메뉴로 이동하기
왼쪽 메뉴에서 ‘Wordfence’를 클릭한 뒤, 하위 메뉴 중 ‘Login Security(로그인 보안)’를 선택합니다.
2단계. 별도 인증 설정 화면 확인하기
Login Security 화면에 들어가면 2단계 인증 관련 설정이 먼저 보이실 겁니다. 로그인 주소 변경 기능은 워드펜스 버전에 따라 이 메뉴 안에 있거나, 별도의 ‘Hide My WP Login’ 같은 보조 플러그인을 함께 설치해야 하는 경우도 있습니다. 만약 워드펜스 화면에서 주소 변경 항목을 찾기 어려우시다면, 아래처럼 별도의 전용 플러그인을 추가로 설치하시는 방법을 추천드립니다.
3단계. 전용 플러그인으로 안전하게 설정하기 (권장)
‘플러그인’ → ‘새로 추가’로 이동해서 ‘WPS Hide Login’ 이라는 플러그인을 검색해 설치·활성화합니다. 이 플러그인은 로그인 주소 변경만을 위한 아주 가볍고 단순한 도구라서 초보자분들도 안심하고 사용하실 수 있습니다.
4단계. 새 로그인 주소 설정하기
설치 후 ‘설정’ → ‘WPS Hide Login’ 메뉴로 들어가면, 새로운 로그인 주소를 직접 입력하는 칸이 나옵니다. 예를 들어 기존 주소가 내사이트.com/wp-admin 이었다면, 이걸 내사이트.com/나만의비밀주소 처럼 아무도 예상하기 힘든 문자열로 바꿔주시면 됩니다.
💡 TIP
새 주소는 너무 짧거나 흔한 단어(예: login, admin2)보다는, 본인만 기억할 수 있는 단어와 숫자 조합으로 만드시는 게 좋습니다. 예를 들어 좋아하시는 단어와 숫자를 섞은 형태(예: mypage2026th)처럼요. 다만 너무 복잡하게 만들면 본인도 잊어버릴 수 있으니, 반드시 어딘가에 안전하게 메모해두시길 권합니다.
* 리디렉션 URL: 404는 그대로 둡니다. 그러면 기존 wp-admin으로 들어온 사람에게 “404 Not Found”는 “요청하신 페이지를 찾을 수 없습니다”라는 메시지가 뜨게 됩니다.
5단계. 새 주소 저장 후 꼭 확인하기
설정을 저장한 뒤에는 반드시 브라우저 주소창에 새 주소를 직접 입력해서 로그인 화면이 정상적으로 뜨는지 확인해보세요. 그리고 예전 주소인 /wp-admin으로 접속했을 때는 더 이상 로그인 화면이 뜨지 않고 오류 화면이나 다른 화면으로 이동하는지도 함께 확인하시면 좋습니다.
⚠️ 주의
새 로그인 주소는 반드시 잘 메모해두세요. 즐겨찾기나 메모장, 혹은 안전한 곳에 저장해두지 않으면, 정작 본인이 로그인을 못 하게 되는 황당한 상황이 생길 수 있습니다.
이제 두 번째, 2단계 인증이 필요한 이유
로그인 주소를 숨기는 것만으로도 대부분의 자동화된 공격은 걸러집니다. 하지만 만에 하나 아이디와 비밀번호가 어떤 경로로든 유출되었다면, 로그인 주소를 알고 있는 사람은 그대로 들어올 수 있습니다. 이런 상황까지 대비하는 것이 바로 **2단계 인증(Two-Factor Authentication)**입니다.
📖 용어 설명 — 2단계 인증이란?
2단계 인증은 아이디와 비밀번호만으로 로그인을 끝내지 않고, 한 단계를 더 거치도록 만드는 방식입니다. 은행 앱에서 비밀번호를 입력한 뒤에 휴대폰으로 온 인증번호를 한 번 더 입력해야 하는 것과 똑같은 원리입니다. 즉 비밀번호를 누군가 알아냈다 하더라도, 내 휴대폰에 있는 인증 앱까지 함께 가지고 있지 않으면 절대 로그인할 수 없게 만드는 것입니다.
비밀번호 하나만 뚫리면 끝나는 구조와, 비밀번호에 더해 내 휴대폰까지 있어야 하는 구조는 안전성 면에서 비교가 되지 않습니다. 워드펜스는 이 2단계 인증 기능을 무료 버전에서도 기본으로 제공합니다.
2단계 인증 설정하는 방법
1단계. 인증 앱 준비하기
먼저 스마트폰에 인증 앱을 하나 설치해야 합니다. ‘Google Authenticator(구글 OTP)’ 또는 ‘Authy’ 같은 앱이 대표적입니다. 앱스토어나 플레이스토어에서 검색하시면 무료로 설치하실 수 있습니다.
2단계. 워드펜스 Login Security 메뉴로 이동하기
관리자 화면 왼쪽 메뉴에서 ‘Wordfence’ → ‘Login Security’로 들어갑니다.
3단계. 2단계 인증 활성화하기
화면에 QR코드(사각형 모양의 작은 격자 무늬)가 나타납니다. 이 QR코드가 바로 내 계정과 인증 앱을 연결해주는 열쇠입니다.
4단계. 스마트폰으로 QR코드 스캔하기
1단계에서 설치한 인증 앱을 열고, ‘계정 추가’ 또는 ‘+’ 버튼을 눌러 QR코드를 스캔하는 기능을 찾습니다. 화면에 뜬 QR코드를 스마트폰 카메라로 비춰서 스캔해주세요. 스캔이 완료되면 인증 앱 화면에 6자리 숫자가 나타나고, 이 숫자는 30초마다 자동으로 새로운 숫자로 바뀝니다.
5단계. 인증번호 입력해서 연결 확인하기
워드펜스 화면에 있는 입력 칸에, 방금 인증 앱에 나타난 6자리 숫자를 입력합니다. 숫자가 바뀌기 전에 재빨리 입력하시고, 만약 시간이 지나 숫자가 바뀌었다면 새로 나타난 숫자를 다시 입력하시면 됩니다.
6단계. 복구 코드 저장해두기
연결이 완료되면 ‘복구 코드(Recovery Codes)’라는 긴 문자열이 여러 개 나타납니다. 이건 혹시라도 스마트폰을 잃어버리거나 인증 앱에 문제가 생겼을 때 로그인할 수 있게 해주는 비상용 열쇠입니다. 반드시 화면을 캡처하거나 메모장에 옮겨서 안전한 곳에 보관해두세요.
⚠️ 주의
복구 코드를 저장해두지 않으면, 스마트폰을 잃어버렸을 때 본인 홈페이지에 아예 로그인하지 못하는 상황이 생길 수 있습니다. 번거로우시더라도 이 단계는 절대 건너뛰지 마세요.
7단계. 다음 로그인부터 인증번호 입력 확인하기
설정이 끝난 뒤 로그아웃했다가 다시 로그인을 시도해보세요. 아이디와 비밀번호를 입력한 다음, 인증 앱에 뜬 6자리 숫자를 추가로 입력해야 로그인이 완료되는 것을 확인하실 수 있습니다.
✍️ 저자 노트
처음에는 로그인할 때마다 스마트폰을 꺼내 숫자를 확인해야 하는 게 번거롭게 느껴지실 수 있습니다. 저도 처음엔 그랬습니다. 하지만 한 열흘 정도 지나면 이 과정이 그냥 자연스러운 습관이 됩니다. 은행 앱 로그인 때 인증번호 입력하는 것과 다르지 않다고 생각하시면 훨씬 편하게 받아들이실 수 있을 겁니다.
두 가지를 함께 적용했을 때의 효과
로그인 주소 변경과 2단계 인증, 이 두 가지를 함께 설정해두면 다음과 같은 이중 방어 구조가 만들어집니다.
- 1차 방어 — 로그인 페이지 숨기기: 애초에 로그인 화면을 찾지 못하게 만들어, 자동화된 공격 시도 자체를 크게 줄입니다.
- 2차 방어 — 2단계 인증: 혹시라도 로그인 화면을 찾아내고 비밀번호까지 알아냈다 하더라도, 스마트폰 인증 없이는 최종적으로 들어올 수 없게 만듭니다.
현관 위치를 숨기고, 그 위에 지문 인식까지 추가로 걸어두는 것과 같습니다. 둘 중 하나만 해도 어느 정도 효과가 있지만, 두 가지를 함께 적용하면 초보자가 할 수 있는 수준에서는 상당히 안전한 상태를 만드실 수 있습니다.
정리하며
워드펜스를 설치하는 것으로 보안 작업이 끝나는 게 아닙니다. 오늘 안내해드린 로그인 주소 변경과 2단계 인증, 이 두 가지까지 마쳐야 비로소 실질적인 보호막이 완성됩니다. 두 작업 모두 한 번만 설정해두면 이후로는 특별히 신경 쓸 일이 없으니, 지금 이 글을 보고 계신 김에 바로 적용해보시길 권해드립니다.
