GitHub 2단계 인증(2FA) 설정: 인증 앱, 패스키, 복구 코드, 그리고 휴대폰을 잃어버렸을 때 할 일

대상: 내 GitHub 계정에 2단계 인증(2FA: 비밀번호에 더해 앱이나 키로 본인임을 증명하는 것)을 추가하고 싶은 사람, GitHub의 "2FA를 켜라"는 알림을 받은 사람, 휴대폰을 바꾸거나 잃어버려 코드를 받을 수 없게 된 사람. 이 가이드는 GitHub의 공식 문서인 GitHub Docs를 바탕으로 하며, 버튼 이름은 GitHub 화면에 나오는 영어 표기를 그대로 쓴다(GitHub 화면은 영어로 표시된다).

GitHub에서 2FA를 써야 하는 사람

GitHub는 2023년 3월부터 GitHub.com에 코드를 기여하는 사용자에게 그룹별로 2FA 의무화를 확대하고 있다. GitHub Docs는 다음 조건을 든다.

• 다른 사람을 위한 앱이나 액션을 공개한다
• 리포지토리의 릴리스를 만든다
• 특정 중요 리포지토리(Open Source Security Foundation이 추적하는 프로젝트 등)에 기여하거나, 그 관리자나 기여자다
• 리포지토리나 다른 사용자를 포함하는 조직의 소유자다
• 하나 이상의 패키지를 공개한 리포지토리의 관리자나 기여자다
• 엔터프라이즈 관리자다

GitHub는 이 기준이 바뀔 수 있다고 밝힌다. 내 그룹이 선정되면 알림 이메일이 오고, 45일의 등록 기간이 시작되며, GitHub.com에 배너가 표시된다. 이메일을 받은 적이 없다면 의무 대상 그룹이 아니지만, GitHub는 그래도 2FA를 켜라고 강하게 권장한다.

7일의 유예 기간이 지나면 2FA를 켤 때까지 GitHub.com에 접근할 수 없다. 자동화가 멈추지 않도록, 기존 개인 액세스 토큰(API 토큰)과 OAuth 토큰은 계속 동작한다. 하지만 잠긴 계정은 새 앱을 승인하거나 새 토큰을 만들 수 없다.

어떤 방법을 쓸까

GitHub는 다섯 가지 2FA 방법을 지원한다. GitHub Docs는 TOTP 인증 앱을 주 방법으로, 패스키나 보안 키를 백업으로 권장한다. 둘 다 없다면 GitHub Mobile을 좋은 백업으로 제안한다.

TOTP(시간 기반 일회용 비밀번호)는 30초마다 새 6자리 숫자를 보여 주는 앱을 말한다. GitHub는 특정 앱을 가리지 않으므로 Google Authenticator, Microsoft Authenticator, 1Password 등 어떤 TOTP 앱이든 쓸 수 있다.

GitHub Docs에 따르면 패스키와 보안 키는 잃어버리기 쉽고, 지금으로서는 동기화되는 기기의 범위가 너무 좁아 첫 번째 방법이 될 수 없다. 그래서 순서는 인증 앱으로 2FA를 켠 뒤 패스키를 추가하는 것이다.

주 방법: 인증 앱

휴대폰의 TOTP 앱. 클라우드 백업을 켜 둔다

백업: 패스키 또는 보안 키

컴퓨터의 패스키나 하드웨어 키. 휴대폰을 잃어도 잠기지 않도록

최후의 수단: 복구 코드

16개의 코드. 비밀번호 관리자처럼 휴대폰과 떨어진 곳에 저장

설정 순서(인증 앱부터)

복구 코드 보관

복구 코드는 모든 2FA 방법을 쓸 수 없을 때 계정에 다시 들어가게 해 주는 일회용 코드다. 16개가 있으며, 각각 한 번 쓰면 더 이상 동작하지 않는다.

나중에 다시 보려면 Password and authentication 페이지의 "Recovery codes" 옆에서 View를 클릭하고, Download, Print, Copy 중 하나를 쓴다. 새 복구 코드를 만들면 이전에 만든 코드는 모두 무효가 되므로, 새 코드는 바로 저장한다.

GitHub Docs는 SSH 키와 개인 액세스 토큰도 복구 방법으로 든다. GitHub.com의 쿠키를 지우지 말고 두라고도 권한다. 브라우저가 매일 쿠키를 지우면, 그 기기를 전에 썼다는 것을 증명하는 _device_id 쿠키가 남지 않아 복구에 쓸 확인된 기기가 생기지 않는다.

휴대폰을 잃어버렸거나 바꿨다면

아직 가진 것에 따라 바로 다시 들어갈지, 검토를 기다릴지가 정해진다. 다음 순서로 시도한다.

SMS에서 인증 앱으로 옮기기

이미 SMS를 쓰고 있다면 2FA를 끄지 않고도 방법을 추가하거나 바꿀 수 있다. 2FA가 켜진 채로 있으므로 복구 코드와, 2FA를 요구하는 조직의 멤버십도 유지된다.

그 김에 확인할 다른 설정

2FA는 로그인을 지킨다. 이미 발급한 토큰과 키, 이미 승인한 앱은 계정으로 들어가는 별개의 경로로 남는다. 같은 날 점검하면 몇 분이면 된다.

classic보다 fine-grained 토큰을

개인 액세스 토큰(PAT: API나 git 작업에서 비밀번호 대신 쓰는 문자열)에는 classic과 fine-grained 두 종류가 있다. classic 토큰은 접근할 수 있는 조직의 모든 리포지토리와 개인 계정의 모든 리포지토리에 닿기 때문에, GitHub는 가능하면 fine-grained 토큰을 쓰라고 권한다.

GitHub는 1년 동안 쓰이지 않은 토큰을 자동으로 제거하지만, 그래도 만료일을 정하라고 강하게 권장한다. 명령줄에서만 GitHub를 쓴다면 GitHub CLI나 Git Credential Manager를 써서 토큰 자체를 만들지 않을 수 있다. 유출된 토큰을 리포지토리에서 지우는 것만으로는 부족한 이유는 GitHub에 공개된 자격 증명 543,699건이 여전히 유효했다에서 다룬다.

시크릿 스캐닝과 푸시 보호가 적용되는 범위

시크릿 스캐닝(코드 속 API 키 같은 비밀 정보의 자동 탐지)은 공개 리포지토리에서 무료로 자동 실행된다. 리포지토리의 푸시 보호는 리포지토리의 Settings → Advanced Security에서 Secret Protection을 켠 뒤 Push protection을 켜서 활성화한다.

조직이 소유한 비공개 리포지토리에는 유료인 GitHub Secret Protection이 필요하다. 일반 개인 계정의 비공개 리포지토리는 대상이 아니다. 그런 리포지토리는 gitleaks 같은 로컬 pre-commit 점검으로 빈틈을 메운다.

조직 소유자라면: 멤버에게 2FA를 요구한다

조직의 Settings에서 Authentication security 아래 "Require two-factor authentication for everyone in your organization"(조직의 모든 사람에게 2단계 인증 요구)을 선택하고 Save를 클릭한다. GitHub Free와 GitHub Team 요금제에서 쓸 수 있다. "Only allow secure two-factor methods"를 더하면 SMS를 쓰는 멤버도 막는다.

켜면 2FA가 없는 멤버는 조직 리소스에 접근할 수 없게 되고, 2FA가 없는 외부 협업자는 제거된다. 봇과 서비스 계정도 포함되므로, 미리 알리고 People 페이지에서 누가 이미 2FA를 쓰는지 확인한 뒤 전환한다.

체크리스트

출처(공개 자료)

이 가이드의 순서, 기간, 동작은 2026년 10월 6일에 GitHub Docs와 다른 공식 페이지와 대조했다. GitHub의 화면과 기준은 바뀌므로, 조치하기 전에 출처 페이지를 확인한다.

• 2FA 설정: GitHub Docs, "Configuring two-factor authentication" / "Changing your two-factor authentication method" / "Countries where SMS authentication is supported"
• 2FA 의무화: GitHub Docs, "About mandatory two-factor authentication" / GitHub Blog, "Raising the bar for software security: next steps for GitHub.com 2FA"(2022년 12월 14일)
• 복구: GitHub Docs, "Configuring two-factor authentication recovery methods" / "Recovering your account if you lose your 2FA credentials"
• 토큰: GitHub Docs, "Managing your personal access tokens"
• 앱과 SSH 키: GitHub Docs, "Reviewing your authorized OAuth apps" / "Reviewing and revoking authorization of GitHub Apps" / "Reviewing your SSH keys" / "Reviewing your security log"
• 시크릿 스캐닝과 Dependabot: GitHub Docs, "About secret scanning" / "Managing push protection for users" / "Enabling push protection for your repository" / "Configuring Dependabot alerts"
• 조직의 2FA: GitHub Docs, "Requiring two-factor authentication in your organization"

다음으로 읽기

• 방법 고르기: 다중 인증을 제대로 고르는 법: '피싱 저항'의 의미와 SMS가 약한 이유 / 용어집: 2단계 인증이란? / 패스키란?
• 토큰이 유출됐을 때: GitHub에 공개된 자격 증명 543,699건이 여전히 유효했다(2026년 연구)
• 커밋 전에 비밀 정보 막기: gitleaks로 커밋 전에 비밀 정보 막기
• 키 권한 좁히기: SSH 키 최소 권한
• 어디에 호스팅할까: 자체 호스팅 Git vs GitHub: 어느 쪽이 실제로 더 안전한가?