패스워드리스 얼라이언스(Passwordless Alliance)가 워드프레스(WordPress)용 패스워드리스 플러그인 ‘Passwordless X1280’을 WordPress.org 공식 플러그인 디렉터리에 공개했습니다. 이제 워드프레스로 운영하는 사이트는 별도 개발 없이 플러그인을 설치하는 것만으로 국제표준 ITU-T X.1280에 기반한 패스워드리스 인증을 적용할 수 있습니다.
워드프레스를 먼저 택한 이유는 그 규모에 있습니다. W3Techs에 따르면 2026년 10월 기준으로 전체 웹사이트의 40.1%가 워드프레스로 운영되고 있고, CMS(콘텐츠 관리 시스템)를 쓰는 웹사이트로 범위를 좁히면 그 비율은 58.6%에 이릅니다. 웹사이트 열 곳 가운데 네 곳이 워드프레스 위에서 움직이고 있는 만큼, 워드프레스의 로그인 방식이 바뀌면 그 변화는 많은 온라인 서비스 사용자에게 그대로 전달됩니다.
Passwordless X1280은 2024년 3월 ITU-T에서 승인된 국제표준 X.1280, 즉 모바일 기기를 이용한 대역외 서버 인증 프레임워크를 구현한 플러그인입니다. 사용자가 로그인 화면에 접속하면 일회성 자동 패스워드(AutoPassword)가 표시되고, 사용자는 같은 값이 자신의 스마트폰 앱에도 표시되는지 확인합니다. 이 확인 과정을 통해 사용자는 로그인하기 전에 자신이 접속한 서비스가 진짜인지 먼저 검증하게 되며, 이것이 X.1280의 핵심인 상호인증(Mutual Authentication)입니다. 값이 일치하면 Face ID나 지문 같은 스마트폰 생체인증으로 로그인을 승인하는 것으로 절차가 끝납니다.
이 과정에서는 패스워드를 입력하지도, 전송하지도 않습니다. 사용자의 PC나 스마트폰에 멀웨어가 심어져 있더라도 가로챌 패스워드 자체가 없기 때문에 패스워드 탈취를 통한 계정 도용을 막을 수 있습니다. 또한 로그인 승인이 PC와 분리된 신뢰 기기인 스마트폰에서 이루어지는 대역외(Out-of-Band) 방식이어서, PC에 생체인증 장치나 보안키 같은 추가 하드웨어를 갖출 필요도 없습니다.
무엇보다 워드프레스 사이트 운영자 입장에서도 도입 부담을 줄이도록 설계했습니다. 플러그인은 워드프레스 코어 파일을 수정하지 않고 간단하게 플러그인만 설치하면 끝납니다. 또한 워드프레스 표준 기능인 표준 훅(Hook)만 사용하며, 멀티사이트(Multisite) 환경과 주요 캐싱·다른 보안 플러그인과도 함께 쓸 수 있습니다. 설치 후에는 로그인 화면에서 패스워드 방식과 패스워드리스 방식 중 하나를 고를 수 있고, 관리자가 원하면 설정에서 패스워드 로그인을 완전히 끌 수도 있습니다.
플러그인과 사용자용 모바일 앱(App Store·Google Play), 그리고 Docker Hub로 배포되는 X1280 인증 서버는 B2C·G2C 온라인 서비스에 모두 무료로 제공됩니다. 서비스 운영자는 패스워드리스 얼라이언스에 서비스 멤버(Service Member)로 무료 가입한 뒤 서버 키(Server Key)를 발급받으면 되고, 테스트용 키는 가입 즉시 자동으로 발급됩니다. 무료 배포에 드는 비용은 사용자용 앱의 광고 수익으로 충당합니다. 설치하려면 WordPress 5.8 이상과 PHP 7.4 이상, HTTPS가 적용된 사이트가 필요하며, 사용자는 Passwordless X1280 앱을 설치한 스마트폰만 있으면 됩니다.
패스워드리스 얼라이언스 우종현 의장은 “전 세계 웹사이트의 열에 넷이 워드프레스로 운영되는데, 이 생태계에 국제표준 패스워드리스 인증을 확산할 수 있게 되어 기쁘다”고 말했습니다. 이어 “누구나 쓸 수 있는 국제표준과 무료 소프트웨어로 패스워드 관리의 불편을 없애고, 패스워드가 없는 디지털 시대를 앞당기겠다”고 밝혔습니다.
Passwordless X1280 플러그인은 WordPress.org(https://wordpress.org/plugins/passwordless-x1280/)에서 내려받을 수 있으며, 서비스 멤버 가입과 서버 키 발급은 패스워드리스 얼라이언스 웹사이트(www.passwordlessalliance.org)에서 안내받을 수 있습니다.