본인확인이 실패했는데 같은 버튼만 다시 보이면 사용자는 즉시 반복할지 기다릴지 판단하기 어렵습니다. 반면 남은 시도 횟수나 계정 정보를 지나치게 자세히 보여 주면 공격자가 인증 상태를 추측할 단서가 될 수 있습니다. 온라인 검색에서 찾는 도움말과 실제 오류 화면의 역할도 나눠야 합니다. 공개 도움말은 일반 절차를 설명하고, 개인의 잠금 상태와 다음 가능 시점은 인증된 흐름에서 안전하게 보여 줍니다.
실패 유형별 다음 행동을 정합니다
입력 오류, 인증 수단 만료, 외부 확인 서비스 장애, 시도 제한 도달을 내부적으로 구분합니다. 이용자 메시지는 고칠 수 있는 행동을 알려 주되 비밀번호 일부나 등록 여부 같은 민감한 단서를 노출하지 않습니다. 재시도 가능한 경우에는 남은 대기 시간이나 가능 시각을 일관된 형식으로 표시합니다. 시스템 장애라면 반복 입력을 권하지 말고 상태 안내와 다른 확인 수단, 지원 경로를 제공합니다.
제한 정책은 보안과 복구를 함께 설계합니다
OWASP의 인증 지침은 과도한 추측 시도를 막기 위해 최대 시도 횟수, 관찰 기간, 잠금 기간 등을 함께 고려하라고 설명합니다. 서비스는 이 요소를 위험 수준과 이용자 특성에 맞게 정하고 단순 예시 숫자를 공통 기준으로 쓰지 않습니다. 제한을 계정 공격에 악용해 다른 사용자를 계속 잠글 수 있는지도 검토합니다. 정상 사용자가 접근을 회복할 수 있는 절차는 본인확인 자체보다 약한 우회로가 되지 않게 보호합니다.
검색 문서와 실제 오류를 별도로 검수합니다
도움말 제목에는 재시도, 잠금, 지원처럼 사용자가 찾는 말을 쓰되 계정별 상태를 색인되는 주소에 넣지 않습니다. 검색 결과에서 들어온 사람이 자신의 오류 유형을 확인한 뒤 안전한 공식 화면으로 이동할 수 있게 합니다. 검수에서는 실패 횟수 증가, 대기 종료, 다른 수단 선택, 지원 요청을 끝까지 실행합니다. 성공률만 보지 말고 반복 잠금과 비정상 시도, 복구 중 이탈을 함께 살펴 정책과 안내가 균형을 이루는지 판단합니다.
‘검색 문서와 실제 오류를 별도로 검수합니다’의 예외를 세 단계로 분류하기
‘검색 문서와 실제 오류를 별도로 검수합니다’에서 예외가 발견됐다고 모든 문장을 동시에 늘리면 핵심 안내가 흐려질 수 있습니다. ‘본인확인 실패 뒤 재시도 시점을 안전하게 안내하는 법’의 기본 결론에 직접 영향을 주는 예외는 본문 가까이에 설명하고, 특정 조건에서만 필요한 내용은 ‘제한 정책은 보안과 복구를 함께 설계합니다’ 아래에 별도로 구분하며, 아직 확인되지 않은 내용은 공개 문장으로 확정하지 않습니다. 예외마다 적용 대상, 확인 자료, 유효 시점, 다음 확인일을 붙이면 ‘실패 유형별 다음 행동을 정합니다’의 원칙과 충돌하는지 검토하기 쉬워집니다. 드물다는 이유로 중요한 제한을 숨기지 않되, ‘검색 문서와 실제 오류를 별도로 검수합니다’의 부가 조건이 글 전체의 대표 답처럼 보이지 않도록 배치 순서도 함께 조정합니다.