비밀번호에 공백과 한글을 써도 되나요?

지침은 둘 다 허용해야 한다고 적습니다

답부터 적으면 NIST SP 800-63B-4 는 검증자가 출력 가능한 모든 ASCII 문자와 공백 문자를 허용해야 한다고 적고, 유니코드 문자도 허용해야 한다고 적습니다. 공백과 한글을 쓰는 것이 금지 대상이 아니라, 받아 주는 것이 검증자의 요건입니다.

왜 허용이 요건으로 올라갔는가

길이가 기준이 되면 사용자는 외우기 쉬운 긴 값을 찾습니다. 문장형이 그 답이고, 문장형에는 공백이 들어갑니다. 공백을 막으면 문장형이 어려워지고 사용자는 다시 짧고 기계적인 값으로 돌아갑니다. 즉 허용 요건은 길이 요건을 실제로 작동하게 만드는 장치입니다.

최대 길이 요건과 함께 봅니다

같은 문서는 검증자가 최대 길이를 64자 이상 허용해야 한다고 적습니다. 문장형은 길어지기 쉬우므로 이 요건이 함께 필요합니다. 공백은 허용하는데 최대 길이가 16자라면 문장형을 쓸 수 없습니다. 두 요건은 한 쌍으로 작동합니다.

현실의 제약을 먼저 확인합니다

요건은 검증자에게 부과되지만 실제 서비스가 전부 따르지는 않습니다. 공백을 거부하는 서비스, 한글 입력을 받지 않는 서비스, 최대 길이를 짧게 제한하는 서비스가 있습니다. 그래서 문장형을 쓰기로 정했다면 서비스별로 받아 주는지 먼저 확인하고, 안 되는 곳은 다른 방식을 씁니다.

입력 환경도 함께 고려합니다

한글을 쓰면 입력기 상태에 따라 값이 달라질 수 있고, 다른 기기나 외국어 자판에서 입력이 어려울 수 있습니다. 공백은 앞뒤에 붙으면 보이지 않아 실수가 생깁니다. 지침이 허용을 요구한다는 사실과, 내 환경에서 안정적으로 입력된다는 사실은 다릅니다. 두 번째는 직접 확인해야 합니다.

사례: 서비스 12개에 문장형을 적용해 보기

상황은 개인이 쓰는 주요 서비스 12개입니다. 입력값은 확인일 2026년 10월 19일, 공백을 받아 주는 서비스 9개, 거부 2개, 최대 길이가 16자로 제한된 서비스 1개, 한글 입력을 받는 서비스는 확인 대상 12개 중 7개입니다. 계산은 조건별로 나누는 것입니다. 공백을 받고 길이 제한이 없는 9개에는 문장형을 그대로 적용할 수 있습니다. 공백 거부 2개는 공백 대신 다른 구분자를 쓰거나 관리자가 만든 무작위 값을 씁니다. 최대 16자 제한 1개는 15자 기준을 겨우 채우므로 다중 인증을 적용해 8자 기준으로 내려오는 쪽을 택합니다. 최종 결과는 문장형 적용 9개, 대체 방식 2개, 다중 인증으로 전환 1개입니다. 결과를 바꾸는 예외는 공백 거부 2개 중 하나가 유니코드는 받는 경우로, 그때는 공백 없이 한글 단어를 이어 붙이는 방식이 가능합니다. 다음 행동은 서비스 12개에 공백 허용과 최대 길이 두 열을 적는 것입니다.

복구 수단을 함께 확인하는 이유

문장형이든 무작위든 긴 값을 쓰면 외우지 못하는 계정이 생깁니다. 그래서 값을 바꾸기 전에 복구 수단이 살아 있는지 확인합니다. CISA 의 Secure Our World 는 기본 습관으로 다중 인증과 비밀번호 관리자 사용을 함께 적습니다. 긴 값을 쓰기로 한 결정과 관리자를 쓰는 결정은 같이 가는 쪽이 자연스럽습니다.

지침의 요건과 현실의 제약