인증과 키
Publishable Key, Secret Key, CORS, 사용자 접근을 올바른 신뢰 경계에서 사용합니다.
인증과 키
프로젝트, 서버, 외부 업체, AI 에이전트를 워크스페이스에 연결하기 전에 이 페이지를 사용합니다.
키 종류
| 자격 증명 | 사용처 | 넣지 말아야 할 곳 |
|---|---|---|
| Publishable Key | 공개 읽기와 capability/customer 인증된 operation; 신뢰할 수 있는 shell의 Agent CLI 0.20.1에서는 Secret Key와 함께 사용 | 권한 쓰기 |
| Secret Key | 서버 측 SDK 쓰기, 신뢰할 수 있는 shell의 Agent CLI | 브라우저 코드, 명령 인자, 로그, 스크린샷, 커밋 |
| 사용자 접근 | 사람 기준 Console, OAuth, Human CLI 작업 | agent 공유 자동화 |
| MCP OAuth 접근 | 읽기 전용 도구 3개를 통한 hosted·shell 없는 discovery | collection CRUD 또는 commerce workflow |
Greenfield app creator는 사용자와 애플리케이션 identity를 분리합니다. 브라우저
승인은 자격 증명 없는 스캐폴드의 설치가 끝난 뒤에만 개발 목적 sk01_ 하나를
발급할 수 있으며, Human CLI의 pat01_는 앱 환경 입력으로 사용할 수 없습니다.
Production service credential은 scaffolder option이 아니라 명시적인 Console
작업으로 발급합니다.
CORS와 Origin
- 워크스페이스 데이터를 읽어야 하는 브라우저 origin만 추가합니다.
- staging, preview, production origin은 별도 승인으로 봅니다.
- 도메인 변경이나 외부 업체 종료 후에는 오래된 origin을 제거합니다.
서버 경계
- 권한 작업은 신뢰할 수 있는 서버 route, server action, worker, backend service 안에 둡니다.
- Secret Key 값은 체크인된 코드가 아니라 환경 저장소에서 불러옵니다.
- Agent CLI 자동화는
SOFTWARE_PUBLISHABLE_KEY와SOFTWARE_SECRET_KEY를 우선 사용하고 secret을 명령 인자로 넘기지 않습니다. - 운영자가 바뀌면 Secret Key 소유권을 회전합니다.
자격 증명이 불명확하면 구현을 멈추고 연동과 키 관리로 돌아갑니다.
고객 세션
Customer access/refresh token은 최종 사용자 identity이며 Console 운영자나 서버 자격 증명이 아닙니다. 새 앱은 enabled 등록 client, exact origin/redirect, state 검사, trusted server token 보관으로 hosted OAuth/PKCE를 사용합니다. token은 HttpOnly 쿠키나 server-owned 세션에 두고 브라우저 JavaScript·localStorage에는 두지 마세요. 브라우저 API origin과 hosted OAuth origin/redirect는 별도 등록입니다. me() readback·회전·로그아웃은 Customers 가이드, 메서드 경계는 Customers SDK를 따릅니다.
Publishable Key는 tenant와 공개 읽기 및 명시적으로 capability/customer 인증된 operation을 허용합니다. 임의 쓰기를 허용하지 않습니다. Secret Key와 pat01_ 운영자 credential은 trusted 환경에 두며 PAT를 앱 service key로 사용하지 않습니다.