“이 앱이 계정에 접근하도록 허용하시겠습니까?” 비슷한 화면을 읽지 않고 ‘허용’부터 누른 적이 있으실 겁니다. 이 화면에는 앱이 내 계정의 무엇에 손댈 수 있는지가 목록으로 적혀 있습니다. 이 글은 구글 계정으로 ‘Google로 로그인’을 하거나 앱을 연결할 때 나오는 권한 화면을 기준으로, 무엇을 어떤 순서로 보면 되는지 정리합니다.
이 화면이 뜨는 이유: 비밀번호 대신 권한을 건네는 방식
어떤 서비스가 내 메일이나 파일을 쓰려 할 때, 비밀번호를 그 서비스에 알려 주는 방식은 위험합니다. 그래서 널리 쓰이는 표준이 OAuth 2.0입니다. 표준 문서(RFC 6749)는 액세스 토큰이 “특정한 범위(scope)와 기간의 접근”을 나타내며, 그것을 허락하는 쪽은 자원의 주인, 곧 사용자라고 설명합니다. 앱은 비밀번호가 아니라 이 토큰을 받아 쓰고, 토큰이 허락한 범위 밖의 일은 서버가 막습니다.
권한 화면은 바로 그 범위를 사람이 읽을 수 있는 문장으로 바꿔 보여 주는 자리입니다. 비밀번호를 넘기는 게 아니라 ‘무엇을 어디까지’를 넘기는 것이라서, 나중에 취소할 수도 있습니다.
한 가지 더 알아 두실 점이 있습니다. RFC 6749 3.3절은 인가 서버가 앱이 요청한 범위를 전부 또는 일부 무시할 수 있고, 실제로 발급한 범위가 요청과 다르면 그 사실을 응답에 알려야 한다고 정해 둡니다. 쉽게 말해 앱이 요구한 것과 내가 실제로 허락한 것은 같지 않을 수 있습니다. 그래서 화면에 보이는 목록을 기준으로 판단하는 것이 맞고, 앱 소개 문구만 믿고 넘어가면 안 됩니다.
화면에서 먼저 볼 세 가지
- 누가 요청하나 — 앱 이름과 만든 곳이 화면 위쪽에 나옵니다. 내가 방금 연 서비스와 같은 이름인지 확인합니다. 다른 이름이 뜨면 잘못 눌렀거나 낯선 앱이 끼어든 것입니다.
- 무엇을 요구하나 — 허용 버튼 위의 목록이 실제 권한입니다. 한 줄씩 끝까지 읽습니다.
- 요구가 앱이 하는 일과 맞나 — 가장 중요한 판단입니다. 사진 편집 앱이 메일 읽기를 요구하면 어울리지 않습니다. 기능과 권한이 맞지 않으면 거기서 멈추는 것이 안전합니다.
권한 문장은 ‘스코프’를 풀어 쓴 것입니다
구글은 API마다 스코프를 주소 모양의 문자열(예: https://www.googleapis.com/auth/gmail.readonly)로 정해 두었고, 공식 스코프 목록 문서에 각각의 설명이 있습니다. 화면의 문장은 이 스코프의 설명이 한국어로 바뀐 것이라고 보시면 됩니다. 스코프 이름 끝의 낱말만 읽어도 힘의 크기가 보입니다. 공식 목록에 적힌 설명 몇 가지를 표로 옮겼습니다.
| 스코프 이름 | 공식 설명(요지) | 읽을 때의 느낌 |
|---|---|---|
userinfo.email | 주 구글 계정 이메일 주소를 본다 | 로그인 확인 정도의 좁은 권한 |
calendar.readonly | 접근 가능한 캘린더를 보고 내려받는다 | 읽기만 가능, 일정 내용은 노출 |
calendar.events | 모든 캘린더의 일정을 보고 수정한다 | readonly보다 한 단계 넓음, 고칠 수 있음 |
gmail.readonly | 이메일 메시지와 설정을 본다 | 읽기만 가능하지만 대상이 메일 전체 |
gmail.send | 내 대신 이메일을 보낸다 | 내 이름으로 발송 가능 |
drive | 드라이브 파일을 보고, 수정하고, 만들고, 삭제한다 | 가장 넓은 쪽, 삭제까지 포함 |
끝 낱말이 readonly면 보기만, 그런 표시가 없으면 고치거나 보낼 수 있는 쪽이라고 의심해 보는 습관이 도움이 됩니다. 다만 이것은 이름을 읽는 요령일 뿐이고, 정확한 뜻은 화면의 문장과 공식 목록의 설명을 기준으로 삼으셔야 합니다. 또 구글 문서는 같은 목적이면 더 좁은 스코프를 쓰는 편이 낫고 스코프가 서로 겹치는 경우가 많다고 안내합니다. 그러니 필요 이상으로 넓은 권한을 요구하는 앱은 그 자체가 신호가 됩니다.
실제로 읽어 보는 예: 가상의 세 앱
아래는 이해를 돕기 위해 제가 만든 가상의 예이고, 실제 앱이 아닙니다. 같은 방식으로 화면을 보시면 됩니다.
| 앱이 하는 일 | 화면에 나온 권한 | 판단 |
|---|---|---|
| 일정 공유 링크 만들기 | 캘린더 일정 보기 | 맞음. 읽기만 하므로 허용해도 무리가 없습니다. |
| 사진 크기 줄이기 | 드라이브 파일 보기·수정·삭제 전체 | 어긋남. 이미지 하나 올리면 되는 일에 전체 삭제권이 필요하지 않습니다. |
| 회의록 정리 도우미 | 메일 읽기 + 메일 보내기 | 보류. 읽기는 이해되나 보내기는 이유를 확인해야 합니다. |
두 번째 줄처럼 ‘하는 일 < 요구하는 권한’으로 어긋나면 허용하지 않고 닫는 것이 좋습니다. 세 번째처럼 애매하면 서비스의 도움말이나 개인정보 처리방침에서 왜 그 권한이 필요한지 찾아본 뒤 결정합니다. 설명을 찾을 수 없다면 허용하지 않는 쪽이 낫습니다.
체크박스가 있으면 일부만 허용할 수 있습니다
구글의 OAuth 문서는 앱이 여러 권한을 한꺼번에 요청할 때 사용자가 그중 일부만 허용할 수 있다고 안내합니다. 앱은 어떤 권한이 실제로 허락됐는지 확인하고, 일부가 거절돼도 가능한 범위에서 동작해야 한다고 개발자에게 요구합니다. 다만 모든 환경에서 나뉘는 것은 아닙니다. 구글 워크스페이스에서 관리자가 신뢰 앱으로 지정했거나 도메인 전체 위임을 쓰는 앱은 이 화면을 건너뛰고, 요청한 권한을 전부 받거나 하나도 받지 못하는 방식이라고 문서에 적혀 있습니다. 회사 계정이라면 내 화면에서는 선택할 수 없을 수도 있습니다.
선택 칸이 보이면 지금 쓰려는 기능에 꼭 필요한 것만 남기고 나머지는 끄는 것이 좋습니다. 없는 기능이 나중에 필요하면 그때 다시 허용하면 됩니다.
‘확인되지 않은 앱’ 경고는 무슨 뜻일까
구글 클라우드 도움말에 따르면 이 화면은 앱이 민감하거나 제한된 범위를 요청하는데 구글의 검증을 마치지 않았을 때 동의 화면 앞에 나타나며, 속이는 앱으로부터 사용자와 데이터를 보호하려고 만든 장치입니다. 검증 문서에도 민감한 범위는 구글이 먼저 검토한 뒤에야 계정들이 허용할 수 있다고 적혀 있습니다.
그러니 “위험한 앱이다”라는 판정이 아니라 “검토를 받지 않았다”는 알림입니다. 내가 직접 만든 스크립트에서 나오면 자연스러운 일이고, 개발자가 개인 용도로 몇 사람과 쓰는 경우에도 이 단계를 넘어가도록 허용된 예외가 있다고 검증 문서가 설명합니다. 하지만 남이 건넨 앱에서 나왔다면 얘기가 달라집니다. 만든 사람이 누구인지, 왜 이 권한이 필요한지 모르면 계속 진행하지 않는 것이 맞습니다. 경고를 지우는 방법을 찾지 말고, “이 앱을 만든 사람을 내가 아는가”라는 질문에 답해 보세요.
특히 조심해서 볼 표현
- 삭제까지 포함된 파일 권한 — 보기만이 아니라 수정과 삭제가 함께 적혀 있으면 실수나 오작동 때 자료가 사라질 수 있습니다.
- 메일 보내기 — 내 이름으로 메일이 나갑니다. 읽기와 보내기가 함께 있으면 더 신중하게 봅니다.
- 오프라인 접근(내가 접속하지 않아도) — 구글 문서에서
access_type=offline은 사용자가 브라우저에 없을 때도 토큰을 갱신하려는 앱이 쓰는 값이며, 이때 갱신 토큰이 발급됩니다. 갱신 토큰은 사용자가 접근을 철회하거나 만료되기 전까지 유효합니다. 알림 앱이나 자동 백업처럼 내가 접속하지 않아도 돌아야 하는 기능이라면 이해되지만, 그렇지 않은데 오프라인 접근이 있다면 이유를 물어볼 만합니다.
필요한 경우도 분명히 있습니다. 다만 왜 필요한지 설명이 없다면 일단 넘기지 않는 편이 낫습니다.
이미 준 권한 확인하고 끊기
구글 계정 도움말은 ‘연결된 앱’ 화면(myaccount.google.com/linkedapps)에서 내 계정에 접근 중인 앱을 언제든 확인할 수 있다고 안내합니다. 목록에서는 접근 유형이 구분되어 나오는데, 이름·이메일·프로필 사진만 쓰는 기본 프로필, 데이터를 보고 복사할 수 있는 접근, 데이터를 고치거나 올리거나 지울 수 있는 관리 접근 등입니다. 이 중 ‘관리’ 접근이 가장 센 쪽이므로 먼저 살펴보세요.
점검 순서는 이렇게 하시면 됩니다.
- 연결된 앱 목록을 열고 이름을 하나씩 훑습니다.
- 지금 쓰는 앱은 남기고, 이름이 낯설거나 1년 넘게 쓰지 않은 앱은 접근을 삭제합니다.
- 정리 후 혹시 멈춘 서비스가 있으면 그 서비스에서 다시 연결하면 됩니다.
주의할 점이 둘 있습니다. 접근을 끊으면 그 앱은 더 이상 내 데이터에 닿을 수 없지만, 이미 가져간 데이터까지 사라지지는 않을 수 있습니다. 삭제가 필요하면 그 앱의 개발자에게 직접 요청해야 한다고 도움말에 적혀 있습니다. 그리고 끊으면 해당 앱의 연동 기능은 멈추므로, 쓰고 있는 앱인지 확인한 뒤 끊으세요.
확인 자료
아래 여섯 문서를 2026년 10월 9일에 열어 확인한 내용을 바탕으로 썼습니다. 공식 문서는 바뀔 수 있으니 실제 화면과 다르면 최신 문서를 기준으로 보세요.