API 토큰 (PAT — 개인 액세스 토큰)
사람이 옆에 없어도 프로그램이 대신 로그인할 수 있게 해주는 특별한 열쇠예요. 이 열쇠는 딱 한 번만 보여주고, 그다음엔 서비스도 원본을 안 갖고 있어요.
비유: 은행 비밀번호 🔑
비밀번호를 만들 때를 떠올려 보세요.
- 처음 만들 때 화면에 딱 한 번 보여줘요. 그때 안 적어두면 다시는 못 봐요.
- 은행은 여러분 비밀번호를 그대로 저장하지 않아요. 대신 알아볼 수 없게 뭉갠 흔적만 보관해요.
- 나중에 입력하면, 그 입력을 똑같이 뭉개서 흔적끼리 맞춰봐요. 맞으면 통과!
- 그래서 은행 창고가 털려도 비밀번호 원본은 안 새어나가요.
API 토큰도 똑같아요. AI 도구나 자동 스크립트한테 "이 열쇠 써서 들어와" 하고 쥐여주는 거예요.
발급할 때 (딱 한 번 보여주기)
열쇠 앞에는
zapp_mcp_...같은 꼬리표가 붙어요. 그래서 화면엔zapp_mcp_ab12…처럼 앞만 살짝 보여주고 뒤는 가려요. 어떤 종류 열쇠인지 한눈에 알아보라고요.
쓸 때 (흔적끼리 맞춰보기)
프로그램이 열쇠를 들고 오면, 서비스는 그걸 뭉개서 저장해둔 흔적과 비교해요.
다시 볼 수 있게 할까, 말까? (트레이드오프)
여기서 갈림길이 있어요. 사용자가 열쇠를 나중에 다시 보고 싶어 할 수도 있거든요.
- 흔적만 보관 = 가장 안전. 대신 잃어버리면 새로 만들어야 해요.
- 잠긴 금고에 원본도 보관 = 다시 볼 수 있어 편해요. 대신 금고 열쇠까지 새면 전부 노출돼요.
- 그냥 맨눈에 보이게 원본을 저장하는 건 제일 위험해요 — 창고 털리면 즉시 다 털리니까 피해요.
한 가지 더: 열쇠를 잃어버려서 못 쓰게 만들 땐(폐기), 진짜 지우기보다 "이건 이제 무효" 라고 표시만 해둬요. 나중에 "언제 누가 껐지?" 를 되짚어볼 수 있게요.
핵심만 다시
- API 토큰은 프로그램용 특별 열쇠 — 사람 없이도 로그인해요.
- 딱 한 번만 원본을 보여주고, 서비스는 뭉갠 흔적만 보관해요.
- 쓸 때는 흔적끼리 맞춰봐서 주인을 확인해요.
- 다시 보여주기 vs 안전 은 트레이드오프 — 재조회가 필요하면 잠긴 금고에 원본도 넣지만, 안전 최우선이면 흔적만 남겨요.
더 자세한 진짜 코드·설계는 옆의 개요 / Variants / Apply Recipe 탭에서 볼 수 있어요.