SSO 도입 전 도메인 검증이 중요한 이유

B2B SaaS가 기업 고객에게 SSO를 제공하려면 먼저 “이 회사가 해당 도메인을 실제로 소유하고 있는가”를 확인해야 합니다. 도메인 검증은 관리자 이메일을 입력받는 절차보다 훨씬 신뢰도가 높고, 잘못된 테넌트에 SSO 정책이 적용되는 사고를 줄여줍니다.

도메인 검증이 막는 위험

기업 고객은 보통 company.com 같은 업무용 도메인으로 사용자를 식별합니다. 만약 공격자가 유사한 회사명으로 테넌트를 만들고 같은 도메인을 주장할 수 있다면, 초대·자동 가입·SSO 라우팅 과정에서 계정이 엉뚱한 조직에 연결될 수 있습니다.

도메인 검증은 DNS TXT 레코드처럼 도메인 관리자만 설정할 수 있는 증거를 요구합니다. 이 과정을 거치면 SaaS 제공자는 테넌트와 도메인의 소유 관계를 감사 가능한 형태로 기록할 수 있습니다.

SSO 라우팅의 기준점

SSO 로그인에서는 사용자의 이메일 도메인을 기준으로 어떤 IdP 설정을 사용할지 결정하는 경우가 많습니다. 도메인 검증이 없으면 @example.com 사용자가 어느 테넌트로 이동해야 하는지 확신하기 어렵습니다.

검증된 도메인은 SAML Entity ID, OIDC Client, 허용된 리다이렉트 URL, 자동 프로비저닝 정책을 연결하는 기준점이 됩니다. 특히 여러 고객사가 하나의 SaaS를 함께 쓰는 멀티 테넌트 환경에서는 이 기준이 명확해야 운영 실수가 줄어듭니다.

운영 체크리스트

검증 절차

• 테넌트별 고유 TXT 토큰을 발급합니다.
• DNS 조회 결과와 토큰을 비교합니다.
• 검증 성공 시점, 요청자, 도메인을 감사 로그에 남깁니다.

검증 이후

도메인 소유권은 시간이 지나며 바뀔 수 있습니다. 따라서 중요 고객은 주기적으로 재검증하고, 도메인 변경 요청은 관리자 승인과 감사 로그를 함께 남기는 것이 안전합니다. SSO 설정 삭제나 테넌트 정지 시 연결된 도메인도 즉시 비활성화해야 합니다.

AxiPass는 테넌트별 도메인 검증, SSO 앱 연결, 감사 로그를 한 흐름으로 관리할 수 있도록 돕습니다. 지금 무료로 시작해 보세요.