보안과 신뢰
토스페이먼츠가 안전한 서비스 제공을 위해 어떤 노력을 하는지, 그리고 상점이 더 안전하게 연동하려면 무엇을 하면 좋은지 한 페이지로 정리했어요. 항목마다 자세한 내용을 볼 수 있는 문서를 연결해 두었어요.
한눈에 보기
토스페이먼츠가 보호하는 것
전송 구간 암호화
TLS 1.3을 기본으로 지원해요
토스페이먼츠가 제공하는 API와 서비스는 기본적으로 TLS 1.3을 지원하고, 보안에 취약한 TLS 1.0, 1.1 연결은 받지 않아요. 지원하는 TLS 버전과 Cipher Suite는 방화벽 및 보안 프로토콜에서 확인하세요.
양자내성 키 교환을 지원해요
토스페이먼츠가 제공하는 API와 서비스는 기본적으로 TLS 1.3 연결에서 NIST 표준 ML-KEM을 결합한 하이브리드 키 교환(X25519MLKEM768)을 지원해요.
양자컴퓨터가 실용화되면 지금 널리 쓰이는 공개키 암호는 더 이상 안전하지 않을 수 있어요. 그래서 지금 암호화된 통신을 수집해 두었다가 나중에 양자컴퓨터로 복호화하는 '선수집·후복호화(Harvest Now, Decrypt Later)' 공격이 우려되고 있어요. 결제 정보처럼 오랫동안 보호해야 하는 데이터일수록 미리 대비해야 해요.
양자내성 키 교환을 지원하는 클라이언트는 더 안전한 방식으로 통신하고, 지원하지 않는 클라이언트도 현재 안전하다고 평가받는 기존 암호화 방식으로 통신해요.
- 결제창과 SDK(2026년 10월 기준): Chrome·Edge 131 이상(Android용 Chrome은 133 이상), Firefox 132 이상(Android용은 145 이상), iOS·iPadOS 26과 macOS Tahoe 26 이상의 Safari에서 별도 설정 없이 적용돼요.
- 서버 API(2026년 10월 기준): OpenSSL 3.5 이상을 쓰는 환경(Node.js 22.20·24.5 이상 공식 빌드, python.org 배포판 Python 3.14.6 이상 등), Go 1.24 이상(
go.mod의 go 버전도 1.24 이상), Java 25(25.0.5 이상)와 Java 27 이상에서 코드를 바꾸지 않아도 적용돼요. - 어느 쪽이든 연결에는 영향이 없고, 따로 설정할 것도 없어요.
양자내성암호 전환은 업계 전체가 함께 풀어 가는 과제예요. 토스페이먼츠도 표준과 생태계의 변화에 맞춰 적용 범위를 계속 넓혀 갈게요.
API 키 보호
시크릿 키는 결제 승인·취소·조회를 할 수 있는 키예요. 노출되지 않게 관리하고, 필요할 때 빠르게 바꿀 수 있어야 해요.
- 시크릿 키 재발급: 개발자센터에서 시크릿 키를 직접 다시 발급할 수 있어요. 다시 발급하면 신규 키와 기존 키가 일정 기간 공존해서, 서버 설정을 바꾸는 동안에도 결제가 멈추지 않아요. 서버 설정을 바꾼 뒤 기존 키를 바로 폐기할 수 있고, 폐기하는 것을 잊어도 기존 키는 자동으로 만료돼요. API 키 재발급하기
- 호출 범위 제한: API 키 접근 정책으로 시크릿 키마다 호출을 허용할 IP 주소나 국가를 지정할 수 있어요. API 키 접근 정책
위변조·중복 방지
결제 데이터가 중간에 바뀌거나 같은 요청이 두 번 처리되지 않도록, 결제 요청부터 결과 전달까지 단계마다 확인 수단을 제공해요.
| 단계 | 이렇게 보호해요 |
|---|---|
| 요청 | 상점 서버의 요청은 상점에 발급된 키로 인증해요. |
| 승인 | 승인할 때 주문번호와 결제 금액이 결제 요청 때와 같은지 대조할 수 있어요. 이미 승인된 주문번호로 다시 승인을 요청하면 처리하지 않아요. 결제 정보 검증하기 |
| 결과 전달 | 웹훅 서명을 지원하는 웹훅은 서명을 검증해 토스페이먼츠가 보낸 웹훅인지, 내용이 바뀌지 않았는지 확인할 수 있어요. 키를 교체하는 동안에도 검증이 끊기지 않도록 서명을 여러 개 담아 보내요. 그 밖의 결과는 결제 조회로 다시 확인할 수 있어요. 웹훅 이벤트 |
| 재시도 | 토스페이먼츠 API의 POST 요청에 멱등키(Idempotency-Key)를 담으면, 네트워크 에러 등으로 같은 요청을 다시 보내도 한 번만 처리돼요. 응답을 받지 못했을 때 같은 멱등키로 다시 호출하면 결제나 취소가 중복되지 않아요. 멱등키 헤더 |
가용성과 장애 대응
토스페이먼츠는 복수의 데이터센터를 활용해 서비스를 운영하고, 높은 가용성을 보장하기 위해 노력하고 있어요.
- 결제 API는 여러 진입점으로 나눠 운영해요. 상점 방화벽에는 안내된 IP를 모두 등록해 주세요. 상점 연동 네트워크 요구사항
- Status Page를 구독하면 서비스 상태가 바뀔 때 바로 알림을 받을 수 있어요. 토스페이먼츠 장애와 원천사 장애를 구분해서 볼 수 있어요. 장애 인지 가이드
- 개발자센터에 등록한 웹훅은 전송에 실패하면 일정 간격으로 다시 보내고, 끝내 실패하면 이메일로 알려드려요. 웹훅 연결하기
더 안전하게 연동하는 방법
토스페이먼츠는 위의 보호 조치를 기본으로 운영해요. 아래 내용을 상점이 연동하는 시스템에서 적용하면 서비스를 더욱 안전하게 운영할 수 있어요. 라이브 오픈 전에 한 번 확인해 보세요.
| 구분 | 이렇게 하면 더 안전해요 | 자세히 보기 |
|---|---|---|
| 키 보관 | 시크릿 키 같은 비밀 값을 서버에만 두고, 비밀 저장소(Secrets Manager, KMS 등)에 보관하면 더 안전해요. | 시크릿 키 관리 |
| 키 교체 | 담당자가 바뀌거나 노출이 의심될 때 시크릿 키를 바로 다시 발급하고, 서버 설정을 바꾼 뒤 기존 키를 폐기하면 더 안전해요. | API 키 재발급하기 |
| 호출 범위 | API 키 접근 정책으로 시크릿 키를 쓰는 서버 IP만 허용하면 더 안전해요. | API 키 접근 정책 |
| 금액 검증 | 결제 요청 전에 주문번호와 최종 금액을 서버에 저장해 두고, 승인하기 전에 돌아온 값과 비교하면 더 안전해요. | 결제 정보 검증하기 |
| 결과 확인 | 웹훅이나 결제 결과를 받으면 상품을 제공하기 전에 웹훅 서명을 검증하거나 결제 상태를 다시 조회하면 더 안전해요. | 웹훅 이벤트 |
| 중복 처리 | 주문마다 고유한 주문번호를 쓰고, API를 다시 호출할 때 멱등키를 담고, 같은 통보가 여러 번 와도 한 번만 처리하면 더 안전해요. | 멱등키 헤더 |
| 통신 환경 | 서버의 TLS 라이브러리와 런타임을 최신 버전으로 유지하면 양자내성 키 교환까지 적용돼 더 안전해요. | 상점 연동 네트워크 요구사항 |
| 오픈 전 점검 | 라이브 오픈 전에 보안 체크리스트를 모두 확인하면 더 안전해요. | 보안 체크리스트 |
시크릿 키가 외부에 노출됐다면 바로 재발급하세요. 신규 키와 기존 키가 일정 기간 공존하니 결제를 멈추지 않고 서버 설정을 바꿀 수 있어요. 설정을 바꾼 뒤에는 기존 키를 바로 폐기하세요. 로그 확인과 유출 경로 차단까지 이어지는 전체 순서는 유출 시 대응 절차에서 확인하세요.
보안 취약점 제보
토스페이먼츠는 비바리퍼블리카(토스)의 계열사로, 토스의 주요 계열사들이 함께 운영하는 자체 버그 바운티 프로그램 「토스 버그 바운티 챌린지」에 참여하고 있어요. 보안 취약점을 먼저 발견하고 고쳐 더 안전한 서비스를 만들기 위한 프로그램이에요.
- 제보 방법: bugbounty.toss.im에서 참가 신청과 승인을 거친 뒤, 프로그램 페이지의 제보 양식으로 제출해 주세요.
- 대상과 보상: 제보할 수 있는 대상 서비스, 허용 범위, 보상 기준은 프로그램 페이지를 따라요.
취약점을 확인할 때는 프로그램에서 허용한 범위와 방법 안에서만 테스트해 주세요.
인증 및 컴플라이언스
토스페이먼츠는 결제 서비스를 운영하는 보안 체계를 외부 인증·심사기관에서 정기적으로 심사받고 있어요.
| 인증·준수 확인 | 의미 | 인증 범위 | 유효기간 | 인증·심사기관 |
|---|---|---|---|---|
| ISMS 정보보호 관리체계 인증 | 정보를 보호하기 위한 정책, 조직, 기술적·물리적 보호조치를 체계적으로 갖추고 운영하는지 국가 기준에 따라 심사하는 인증이에요. | 전자지급결제대행(PG), VAN1, 자금관리(CMS)2 서비스(심사받지 않은 물리적 인프라 제외) | 2024-09-27 ~ 2027-09-26 | 금융보안원 |
| PCI DSS v4.0.1 카드 정보 보안 표준 준수 확인 | Visa, Mastercard 등 국제 카드 브랜드가 함께 정한 카드 정보 보안 표준이에요. 카드 정보를 처리하는 서비스 제공자로서 요구사항을 충족하는지 공인 심사기관(QSA)이 매년 확인해요. | 전자지급결제대행(PG), VAN1, 자금관리(CMS)2 서비스 | 준수 확인일 2026-08-31 2027-08-30까지 | BroadBand Security, Inc.(BBSec, PCI SSC 공인 QSA) |
| ISO/IEC 27001:2022 정보보호 관리체계 국제 표준 | 정보보호 위험을 찾아내고 보호 대책을 운영·개선하는 관리체계를 갖췄는지 국제 표준에 따라 심사하는 인증이에요. | 간편결제, 전자지급결제대행(PG), VAN1, 자금관리(CMS)2 서비스 제공과 이를 위한 IT 서비스(기획·개발·유지보수, 정보보호시스템, IDC·DR센터 운영) | 2024-12-21 ~ 2027-12-20 | BSI |
| ISO/IEC 27701:2019 개인정보보호 관리체계 국제 표준 | ISO/IEC 27001을 개인정보 영역으로 확장한 국제 표준이에요. 개인정보를 수집하고 이용하고 파기하는 전 과정을 관리하는 체계를 심사해요. | 간편결제, 전자지급결제대행(PG), VAN1, 자금관리(CMS)2 서비스의 개인정보 처리와 이를 위한 IT 서비스(개인정보 처리자·수탁자 역할) | 2024-12-21 ~ 2027-12-20 | BSI |
1 인증범위의 VAN 서비스는 현재 별도 TOSSVAN 법인으로 분사되어 운영되고 있어요.
2 자금관리(CMS) 서비스는 기업 고객의 자금 이체 업무를 금융기관과 연결해 처리하는 서비스로, 이 문서에서 다루는 결제(PG) 서비스와는 별개의 서비스예요.
인증서나 PCI DSS 준수 확인서(AOC)가 필요하면 techsupport@tosspayments.com으로 요청해 주세요.