공지사항

OAuth2 토큰 갱신 보안 개선 안내

작성일 2026.10.27 | 수정일 2026.10.27

안녕하세요, 솔라피입니다.

OAuth2 를 이용한 솔라피 API 연동의 보안을 강화하기 위해 리프레시 토큰으로 액세스 토큰을 다시 발급받을 때 클라이언트 인증을 함께 보내도록 변경될 예정입니다.

시행일 전에 바꾸셔도 지금과 동일하게 동작하므로 미리 적용해 주세요.

시행 예정일

2027년 1월 1일

대상

POST https://api.solapi.com/oauth2/v1/access_token 에 grant_type=refresh_token 으로 토큰을 갱신하는 모든 OAuth2 연동 앱
승인 코드(authorization_code)로 토큰을 처음 받는 요청은 이미 클라이언트 인증을 받고 있어 바뀌지 않습니다.

바뀌는 점

시행일부터 토큰을 갱신할 때 앱의 client_id 와 client_secret 을 함께 보내야 합니다. 빠지면 갱신이 거절됩니다.
리프레시 토큰은 그 토큰을 받은 앱의 클라이언트 인증으로만 쓸 수 있습니다. 다른 앱의 정보로 갱신하거나, 앱이 비활성이거나, 사용자가 앱 연결을 해제한 경우에는 거절됩니다.

변경 방법(둘 중 하나)

POST /oauth2/v1/access_token
Content-Type: application/json

{
  "grant_type": "refresh_token",
  "refresh_token": "{리프레시 토큰}",
  "client_id": "{클라이언트 ID}",
  "client_secret": "{클라이언트 시크릿}"
}

POST /oauth2/v1/access_token
Authorization: Basic base64({클라이언트 ID}:{클라이언트 시크릿})
Content-Type: application/json

{ "grant_type": "refresh_token", "refresh_token": "{리프레시 토큰}" }