요약

  • 2026년 7월 28일부터 ARIN은 비인간 서비스 계정을 받고 REST 호출에 Authorization 헤더로 API 토큰을 보내는 방식을 권장한다. URL 매개변수 방식도 계속 쓸 수 있다.
  • 2022년에 제출된 서비스 계정 요청과 API 토큰 전달 방식 요청이 기능 적용 뒤 각각 종료됐다.

URL은 목적지를 가리키는 주소다. 비밀을 넣어둘 금고는 아니다. 요청을 기록하는 시스템은 주소 전체를 남기는 경우가 많다. API 키를 URL 쿼리에 넣으면 로그 파일에도 비밀이 그대로 따라간다.

ARIN은 7월 28일 Authorization: ApiKey <API_KEY>라는 HTTP 헤더 방식을 우선 대안으로 추가했다. 예전처럼 URL에 키를 넣는 호출도 여전히 가능하다. 달라진 점은 명확하다. URL 전체를 저장하는 로그에 키까지 복사될 이유가 줄었다.

제안 2022.5는 2022년 2월 11일 이 문제를 짚었다. URL이 통째로 기록되면 API 토큰이 로그를 읽는 사람에게 노출될 수 있다는 내용이었다. ARIN은 헤더를 가장 좋은 대안으로 보고 엔지니어링 일정에 올렸다. 기능은 2026년 7월 28일 공개됐고 제안은 다음 날 종료됐다. 네 해 넘게 대기한 요청이 헤더 한 줄로 마침표를 찍었다.

같은 업데이트에서 비인간 서비스 계정을 생성할 때 막던 제한도 없어졌다. 2022년 4월 15일 제출된 제안 2022.11은 REST API 연동에 쓸 서비스 계정을 요구했다. ARIN이 처음 우려한 부분은 변경 이력의 주체를 확인할 수 있느냐였다. API가 기록을 바꾸면 누가 실행했는지 알아야 한다는 이유였다. ARIN은 2022년 4월 이미 서비스 계정이 고객에게 유용하고 제한을 없애는 작업도 크지 않다고 답했다. 실제 적용까지는 다시 네 해가 걸렸다.

서비스 계정은 자동화의 이름표다. 헤더는 비밀이 이동하는 경로다. ARIN의 Reg-RWS 안내는 변경 권한이 있는 Point of Contact와 연결된 ARIN Online 계정을 요구한다. API 키가 호출을 인증하고 POC 권한이 수정할 수 있는 기록을 정한다.

키의 수명도 분명하다. ARIN API 키는 자동 만료되지 않으며 언제든 비활성화할 수 있다. 전체 키는 만들 때 한 번만 보인다. 요청이나 보고서 접근을 구분해 추적하도록 여러 키를 만들 수도 있다. 2024년 ARIN은 헤더 방식과 IP 주소 범위 제한을 함께 검토했지만, IP 범위 제한은 별도의 조사와 범위 설정 대상으로 남겼다. 2026년 7월 릴리스가 발표한 것은 헤더 방식이다.

이제 자동화에도 자기 계정이 생겼고 API 키는 URL 밖으로 나올 길을 얻었다. 운영팀은 서비스 계정마다 담당자를 정하고, 누가 키를 끊을 수 있는지 정해야 한다.

출처