패스키(WebAuthn) 등록이 로컬은 되는데 배포 도메인에선 SecurityError로 실패합니다

Question

로그인에 패스키를 붙이는 중입니다. localhost에서는 navigator.credentials.create() 가 잘 되고 등록도 성공하는데, 실제 서비스 도메인에 올리니까 등록 버튼 누르는 즉시 이 에러가 납니다.

SecurityError: The relying party ID is not a registrable domain suffix of, nor equal to the current domain.

서버에서 rpId를 'app.example.com' 으로 내려주고 프론트는 그걸 그대로 publicKey.rp.id 에 넣습니다. HTTPS 정상이고 인증서도 문제 없어요. 로컬만 되고 배포만 안 되니 뭐가 문젠지 감이 안 옵니다 😅

혹시나 해서 rpId를 'https://app.example.com' 으로도 바꿔봤는데 똑같이 실패합니다.

김영삼 · Accepted Answer

rpId 규칙에 걸린 겁니다. 에러 문구 그대로예요. rpId는 지금 페이지가 떠 있는 origin의 호스트와 같거나, 그 호스트의 '부모 도메인'이어야 합니다. 반대로 자식(더 좁은) 도메인은 안 됩니다. 에러가 '현재 도메인의 registrable suffix가 아니다'라고 나온다는 건, rpId가 지금 접속한 호스트보다 더 구체적(하위)이라는 뜻이에요. 십중팔구 실제 주소창은 example.com 이나 www.example.com 인데 rpId를 app.example.com 으로 주고 있는 상황입니다. www 리다이렉트가 걸려 있어서 사용자가 실제로는 www.example.com 에서 등록을 시도하는 경우가 흔해요. 브라우저 주소창의 실제 호스트를 먼저 확인하세요. 두 가지 더. rpId에는 스킴이나 포트가 절대 들어가면 안 됩니다. 순수 도메인만이에요. 그래서 'https://app.example.com' 으로 바꾼 건 오히려 확실한 실패고요. 그리고 로컬이 무조건 되는 건

passkey_hyun · Answer

범인 찾았습니다. www 리다이렉트가 걸려 있어서 실제로는 www.example.com 에서 등록하는데 rpId를 app.example.com 으로 주고 있었네요. rpId를 example.com 으로 통일하고 서버 expectedRPID도 맞추니까 배포에서도 등록됩니다. 로컬 특례 얘기 안 해주셨으면 계속 헤맬 뻔했어요. 정말 감사합니다!

댓글 0