앱에 카카오 로그인 버튼 하나만 넣어 달라고 요청했는데, 돌아온 견적서에 'Apple로 로그인' 항목이 같이 적혀 있는 경우가 있습니다. 개발사가 일을 늘린 것처럼 보입니다. 버튼 하나와 버튼 두 개가 그렇게 큰 차이인지 의심이 먼저 듭니다.
그런데 이것은 개발사의 제안이 아니라 애플 앱스토어 심사 가이드라인 4.8 조항이 만드는 구조입니다. 조항을 그대로 읽어 보면, 추가 작업이 로그인 버튼 하나로 끝나지 않는 이유까지 같이 드러납니다.
애플이 요구하는 것은 '애플 로그인'이 아니라 '동등한 로그인'입니다
2026년 10월 16일 갱신된 가이드라인 4.8(Login Services)의 구조는 이렇습니다. 제3자 또는 소셜 로그인 서비스로 사용자의 주 계정을 만들거나 인증하는 앱은, 동등한 선택지로 아래 세 가지 특성을 갖춘 다른 로그인 서비스를 함께 제공해야 합니다.
- 수집 항목이 사용자의 이름과 이메일 주소로 제한될 것
- 계정을 만드는 과정에서 사용자가 이메일 주소를 비공개로 유지할 수 있을 것
- 동의 없이 앱 내 활동을 광고 목적으로 수집하지 않을 것
조항 어디에도 'Sign in with Apple'이라는 말은 없습니다. 애플이 자기 로그인을 쓰라고 지정한 것이 아니라, 조건을 제시하고 그것을 만족하는 로그인을 하나 넣으라고 한 것입니다. 이 차이가 뒤에서 중요해집니다.
주 계정은 "사용자가 자신을 식별하고, 로그인하고, 앱의 기능과 연결 서비스를 이용하기 위해 앱에 만드는 계정"으로 정의됩니다. 로그인해서 쓰는 앱이면 사실상 전부 해당된다고 보시면 됩니다.
세 조건 중 '이메일 숨기기'에서 전부 걸립니다
첫 번째와 세 번째 조건은 국내 로그인 서비스도 맞출 여지가 있습니다. 카카오 로그인은 개발사가 동의 항목을 고를 수 있어서, 이름과 이메일만 받도록 설정하는 것이 가능합니다.
문제는 두 번째입니다. 가입 과정에서 사용자가 실제 이메일 주소를 공개하지 않고도 계정을 만들 수 있어야 한다는 조건인데, 애플은 전달용 주소를 대신 발급하는 방식으로 이것을 구현해 두었습니다. 카카오·네이버·구글 로그인에는 이에 대응하는 기능이 없습니다.
조항은 '동등한 로그인'을 요구하지만, 그 조건을 채우는 국내 서비스가 없어서 결과적으로 애플 로그인을 넣는 것이 유일한 답이 됩니다.
이 마지막 문장은 저희 판단입니다. 조항 자체는 애플을 지목하지 않으니, 쓰려는 로그인 서비스가 세 조건을 충족한다고 보신다면 심사 회신으로 그 근거를 설명하는 방법도 남아 있습니다.
자체 회원가입을 같이 제공해도 면제되지 않습니다
가장 비싸게 치르는 오해가 여기에 있습니다. 면제 조항의 첫 번째는 "앱이 회사의 자체 계정 생성·로그인 시스템만을 배타적으로 사용하는 경우"입니다.
배타적이라는 단어가 핵심입니다. 이메일과 비밀번호로 가입하는 자체 회원가입을 갖춘 앱이라도, 거기에 카카오 로그인 하나를 추가하면 면제 대상에서 빠집니다. 자체 로그인이 있다는 사실이 4.8을 상쇄해 주지 않습니다.
반대로 읽으면, 소셜 로그인을 전부 빼고 자체 회원가입만 남기는 것도 4.8을 피하는 적법한 방법입니다. 가입 전환율과 개발 비용 중 무엇이 더 급한지에 따라 실제로 저울질할 수 있는 선택지입니다.
면제되는 경우는 다섯 가지로 정해져 있습니다
조항은 다른 로그인 서비스가 필요하지 않은 경우를 다섯 가지로 열거합니다. 열거된 것 외에는 없다고 보는 편이 안전합니다.
- 자체 계정 시스템만 배타적으로 사용하는 앱
- 대체 앱 마켓플레이스, 또는 그 마켓에서 배포되며 마켓 전용 로그인을 쓰는 앱
- 기존 교육용·기업용 계정으로 로그인해야 하는 교육·기업·업무용 앱
- 정부 또는 업계가 지원하는 시민 신분증 체계나 전자 ID로 인증하는 앱
- 특정 제3자 서비스의 클라이언트로서, 사용자가 메일·소셜미디어 계정에 직접 로그인해 자기 콘텐츠를 보는 앱
사내 업무 앱을 회사 계정으로만 로그인시키는 경우가 세 번째에 해당합니다. 네 번째 항목이 국내 본인인증 수단에 적용되는지는 확인되지 않았습니다. 심사자 판단에 맡겨지는 영역이니 이것을 전제로 일정을 잡지는 마세요.
숨긴 이메일로 메일을 보내려면 도메인과 SPF를 등록해야 합니다
애플 로그인을 붙이면 사용자 일부는 실제 주소 대신 애플이 만들어 준 전달용 주소를 남깁니다. 가입 확인 메일이나 비밀번호 재설정 메일은 그 주소를 거쳐 가야 합니다.
애플 문서의 요구는 구체적입니다. 발신 도메인을 개발자 계정에 등록하고, 등록한 모든 도메인에 SPF DNS TXT 레코드를 만들어야 전달 서비스를 통과합니다. 등록할 수 있는 발신 소스는 개인 자격 가입이 32개, 법인 가입이 100개입니다.
등록하지 않은 주소에서 보낸 메일은 반송됩니다. 즉 코드 작업이 아니라 DNS 설정과 메일 발송 인프라 작업이 따라붙습니다. 외부 메일 발송 업체를 쓰고 발신자 도메인이 그 업체 것이면 DKIM 서명까지 맞춰야 합니다.
회원 탈퇴 기능과 토큰 폐기가 함께 따라옵니다
가이드라인 5.1.1(v)은 계정 생성을 지원하는 앱이라면 앱 안에서 탈퇴를 시작할 수 있게 하라고 요구합니다. 애플 안내 문서는 계정 기록 전체와 관련 개인정보를 삭제해야 하며, 일시 정지나 비활성화만 제공하는 것은 불충분하다고 명시합니다.
여기에 애플 로그인이 얹히면 한 가지가 더 생깁니다. 같은 문서는 애플 로그인을 지원하는 앱이라면 Sign in with Apple REST API로 사용자 토큰을 폐기해야 한다고 안내하고, 계정 변경을 처리하기 위해 서버 간 알림 엔드포인트를 쓰라고 적습니다.
실무에서는 이 두 줄이 전부 백엔드 작업입니다. 탈퇴 화면을 만드는 일, 탈퇴 시 애플 쪽 토큰을 끊는 서버 호출, 애플이 보내는 알림을 받는 수신 엔드포인트가 각각 별개 항목입니다.
안드로이드와 웹이 있으면 작업이 한 번 더 늘어납니다
iOS에서 애플 계정으로 가입한 사용자는 같은 서비스의 안드로이드 앱이나 웹에서도 같은 계정으로 들어와야 합니다. 안 되면 고객 입장에서는 계정이 사라진 것입니다.
애플은 네이티브 iOS 외의 환경을 위해 'Sign in with Apple JS'라는 자바스크립트 구현을 개발자 문서에 두고 있습니다. 그래서 iOS 전용 앱의 애플 로그인 추가와, iOS·안드로이드·웹을 함께 운영하는 서비스의 애플 로그인 추가는 작업 범위가 다릅니다. 견적을 받을 때 어느 플랫폼까지 포함된 금액인지 먼저 확인하세요.
견적서와 일정에 넣어야 하는 항목입니다
'애플 로그인'이 한 줄로만 적힌 견적서는 대개 iOS 버튼 작업만 계산한 것입니다. 아래 항목이 빠져 있으면 출시 직전에 일정이 밀립니다.
- 애플 개발자 계정에서 Sign in with Apple 기능 설정
- iOS 로그인 버튼과 인증 처리
- 기존 카카오·네이버 계정과 애플 계정의 통합 규칙 결정
- 전달용 이메일 주소를 받는 회원 테이블과 메일 발송 로직 수정
- 발신 도메인 등록과 SPF·DKIM DNS 설정
- 앱 내 회원 탈퇴 화면과 계정 기록 삭제 처리
- 탈퇴 시 애플 토큰 폐기 호출과 서버 간 알림 수신 엔드포인트
- 안드로이드·웹용 Sign in with Apple JS 연동(해당하는 경우)
일정에서 특히 조심할 것은 다섯 번째 항목입니다. 도메인 관리 주체가 고객사 전산팀이나 외부 대행사라면 개발사 혼자 끝낼 수 없고, 요청과 승인에 며칠이 그대로 쌓입니다.
이럴 때는 애플 로그인을 넣지 않는 편이 낫습니다
iOS 출시 계획이 없다면 지금 넣을 이유가 없습니다. 4.8은 앱스토어 심사 규정이라 안드로이드 전용 앱이나 웹 서비스에는 적용되지 않습니다. 나중에 iOS를 낼 계획이라면 계정 테이블에 외부 인증 수단을 추가할 자리만 미리 열어 두시면 됩니다.
출시 일정이 급한 초기 앱도 보류가 맞습니다. 소셜 로그인을 모두 빼고 자체 회원가입만으로 출시하면 4.8이 아예 발생하지 않습니다. 소셜 로그인은 2차 업데이트로 미루고 그때 애플 로그인과 한 번에 붙이는 편이 총비용이 적습니다. 다만 이미 소셜 로그인으로 운영 중인 앱이라면 미루는 쪽이 더 비쌉니다. 쌓인 회원 데이터에 애플 계정을 나중에 이어 붙이는 작업은 처음부터 설계하는 것보다 손이 많이 갑니다.
조항 원문은 App Store Review Guidelines의 4.8 항목에서, 숨긴 이메일 관련 설정은 Configure private email relay service 문서에서 직접 확인하실 수 있습니다. 비슷한 개발 견적·일정 이야기는 실무 가이드에 모아 두었고, 진행 중인 프로젝트 문의는 Codeforest로 주시면 됩니다.
결론: 로그인 버튼 개수가 아니라 계정 구조를 먼저 정하세요
카카오 로그인 하나를 추가하는 결정은 버튼을 하나 늘리는 결정이 아닙니다. 4.8이 켜지면서 애플 로그인, 숨긴 이메일 처리, 메일 발송 도메인 등록, 앱 내 탈퇴와 토큰 폐기가 한 묶음으로 따라옵니다. 견적서에 '소셜 로그인'만 한 줄 적혀 있다면 그 묶음이 빠져 있다는 뜻입니다.
그래서 순서를 바꾸는 편이 낫습니다. 어떤 로그인을 넣을지 고르기 전에, 자체 계정만으로 갈지 소셜을 함께 쓸지를 먼저 결정하세요. 자체 계정만 쓰기로 하면 이 작업은 아예 생기지 않고, 소셜을 쓰기로 하면 위 여덟 항목을 처음부터 일정에 넣는 것이 가장 싼 길입니다.