Wordfence의 WordPress 애플리케이션 비밀번호 비활성화 설정
WordPress 5.6부터 도입된 애플리케이션 비밀번호(Application Passwords)는 외부 프로그램이 WordPress REST API 등에 접근할 때 일반 로그인 비밀번호 대신 별도로 발급한 비밀번호로 인증하는 기능입니다. 애플리케이션 비밀번호로 연결한 프로그램은 해당 WordPress 사용자에게 부여된 권한 범위 안에서 작업할 수 있습니다.
Wordfence가 이 기능을 차단하는 이유
애플리케이션 비밀번호 자체는 적절하게 관리하면 유용하지만, 악성 웹사이트가 사용자를 속여 외부 프로그램에 계정 접근 권한을 부여하도록 유도할 위험도 있습니다. Wordfence는 이러한 위험을 줄이기 위해 Disable WordPress application passwords 옵션을 제공합니다. Wordfence 7.4.14에서 이 옵션은 기본 활성화 상태로 안내되었습니다. 실제 기본값은 설치 및 버전에 따라 확인하세요.
해당 옵션이 활성화되면 새 애플리케이션 비밀번호 생성 시 Application passwords have been disabled by Wordfence(Wordfence에 의해 애플리케이션 비밀번호가 비활성화되었습니다)라는 안내가 나타날 수 있습니다.
WPVibe 연결 시 HTTP 401 오류와의 관계
WPVibe처럼 WordPress 애플리케이션 비밀번호를 사용하는 연결 도구는 이 기능이 비활성화되면 인증에 실패할 수 있습니다. 다만 HTTP 401 오류에는 잘못된 인증 정보, 서버의 인증 헤더 처리, 다른 보안 플러그인 등 다양한 원인이 있으므로 Wordfence 설정만으로 원인을 단정할 수는 없습니다.
Wordfence에서 허용하는 방법
- WordPress 관리자에 로그인합니다.
- Wordfence → All Options로 이동합니다.
- Disable WordPress application passwords 항목을 찾습니다. 메뉴 위치는 Wordfence 버전에 따라 다를 수 있습니다.
- 애플리케이션 비밀번호를 사용하려면 해당 차단 옵션의 체크를 해제합니다.
- 설정을 저장한 뒤 사용자 → 프로필 → 애플리케이션 비밀번호에서 기능을 확인합니다.
- 필요한 경우 WPVibe에서 연결 인증을 다시 진행합니다.
WP-CLI를 통한 점검
WordPress 설치 디렉터리에서 다음 명령으로 기능의 실제 사용 가능 여부를 확인할 수 있습니다.
wp eval 'var_export(wp_is_application_passwords_available());'true는 기능이 사용 가능하다는 의미이고, false는 비활성화되어 있다는 의미입니다. 단, 이 결과만으로 어떤 플러그인이 차단했는지까지 알 수는 없습니다.
WordPress 기본 옵션에 using_application_passwords라는 항목이 반드시 존재하는 것은 아닙니다. 따라서 wp option get using_application_passwords에서 옵션이 없다고 표시되는 것만으로 기능이 꺼졌다고 판단해서는 안 됩니다.
보안상 주의사항
- 애플리케이션 비밀번호는 신뢰할 수 있는 프로그램에만 발급합니다.
- 가능하면 필요한 권한만 가진 전용 WordPress 계정을 사용합니다.
- 사용하지 않는 애플리케이션 비밀번호는 사용자 프로필에서 폐기합니다.
- HTTPS를 사용하고 Wordfence 방화벽 및 로그인 보호 기능은 유지합니다.
- Wordfence 플러그인 PHP 파일을 직접 수정하지 마세요. 업데이트 시 변경 사항이 사라질 수 있습니다.
정리
WPVibe 연결을 위해서는 Wordfence의 Disable WordPress application passwords 옵션을 해제해야 할 수 있습니다. 인증 기능을 활성화한 뒤 연결을 재시도하고, 문제가 지속되면 REST API 요청 차단 기록과 서버의 인증 헤더 전달 여부를 추가로 확인하세요.