Smart-ID API: RP API v3 개발자 가이드

최종 검토: 2026년 10월 5일 · 법률 자문 아님

이 글은 코드 중심의 Smart-ID API 가이드입니다. 엔드포인트, 세션, 응답 검증, 데모 테스트, 법적 지위를 다룹니다. 국가별 계약과 AML 규정은 Smart-ID 연동 가이드를 참고하십시오.

Smart-ID 한눈에 보기

Smart-ID는 SK ID Solutions AS의 모바일 앱입니다. 서비스는 SK의 신뢰 당사자 API를 통해 이 앱으로 사용자를 로그인시키거나 서명을 받습니다.^[13] 각 키의 일부는 SK 서버에 보관되며, 에스토니아 정보시스템청(RIA)은 이를 "Smart-ID 키 관리 서버 서비스"라고 부릅니다.^[4]

도입 현황: 사용자와 거래

smart-id.com의 실시간 카운터에 따르면 2026년 10월 5일 기준 Smart-ID 최대 시장은 사용자 1,857,471명의 리투아니아입니다. 그다음은 1,198,463명의 라트비아, 797,395명의 에스토니아입니다.^[1] SK는 "매월 거의 1억 건의 거래"가 이루어진다고 밝히고 있습니다.^[2]

ERR News에 따르면 에스토니아에서 Smart-ID는 인증 "시장 점유율이 거의 60퍼센트"에 달합니다. 카운터는 총계만 제공합니다. 각국 성인 인구 중 Smart-ID 사용 비율을 제시하는 1차 출처는 없습니다(2026년 10월 5일 기준).

사용자에게 보이는 화면

RP API v3는 세 가지 방식으로 앱에 연결됩니다. 기기 간 동적 QR 코드, 같은 휴대폰에서의 Web2App 또는 App2App 링크, 또는 푸시 알림입니다.^[12] SK는 QR 및 앱 간 연동 경험을 Smart-ID+로 홍보하며, 이 방식은 "더 이상 웹사이트에 개인 식별 코드를 입력할 필요가 없다"고 설명합니다.^[8]

Smart-ID API v3 작동 방식

API는 UTF-8 JSON을 사용하는 HTTPS 기반 REST입니다.^[19] 네 가지 POST 엔드포인트 계열이 세션을 열고 sessionID를 반환하며, 하나의 GET이 결과를 반환합니다.^[13]

SK 개요에 따른 RP API v3 엔드포인트 계열.^[13]

기기 링크를 이용한 교차 기기 로그인의 간략한 흐름.^[12][18]

주의할 점:

• 모든 v3 최초 요청에는 귀사가 생성한 무작위 rpChallenge가 포함됩니다. 이 값은 재전송 공격 방지를 위해 v2의 nonce를 대체했습니다.^[20]
• sessionSecret은 절대 프런트엔드에 전달되어서는 안 됩니다. 또한 QR 코드와 링크를 함께 표시하더라도 하나의 흐름에는 하나의 세션 요청만 사용합니다.^[18]
• 알림 흐름에서는 rpChallenge의 SHA-256 값으로 4자리 코드를 계산합니다.^[17]
• SK는 출발지 IP와 relyingPartyUUID로 귀사를 인증하며, HTTPS 키 피닝을 요구합니다.^[19]
• SK 문서에 따르면 계정이 없는 사용자에 대해서는 HTTP 404가 반환됩니다. SK는 계정 열거 공격을 막기 위해 모든 오류 사례에 하나의 메시지를 표시하도록 요청합니다.^[19]

기업이 Smart-ID API로부터 받는 정보

완료된 세션은 state, result.endResult, cert에 담긴 사용자 인증서, signature 객체를 반환합니다. 주체의 serialNumber에는 신원 코드가 들어 있습니다. 예를 들어 PNOEE-30001010004이며, 접두사가 국가를 나타냅니다.^[15]

SK의 응답 검증 요건은 다음과 같습니다.^[15]

• state가 COMPLETE인지, endResult가 OK인지, 프로토콜이 ACSP_V2(로그인) 또는 RAW_DIGEST_SIGNATURE인지 확인합니다.
• OCSP 또는 CRL을 사용해 SK의 CA에 대해서만 인증서 체인을 검증합니다.
• 모든 Smart-ID 정책 식별자를 요구하여 다른 SK 인증서는 실패하도록 합니다.
• certificateLevel을 귀사가 요구하는 수준과 비교합니다.
• 서명된 페이로드를 재구성하고 서명을 검증합니다.
• 동일 기기 흐름에서는 콜백 URL 값을 검증합니다.

보증 수준과 법적 지위

Smart-ID는 EU의 통보된 eID 체계 목록에 없습니다. 에스토니아의 통보된 체계(높음(High), 2018년 11월 7일)는 ID 카드와 Mobile-ID를 대상으로 합니다.^[6]

주의: e-레지던트는 "거주자와 구별되지 않습니다".^[5]

에스토니아 AML 고객확인(CDD)

에스토니아의 자금세탁 및 테러자금조달 방지법(RahaPTS)은 § 31(3)에서 비대면 경로를 정합니다.^[23]

§ 31(3)RahaPTS (에스토니아)

"1) e-identimise süsteemi, millest on teatatud ... (EL) nr 910/2014 ... artikli 9 kohaselt ja mis vastab ... artikli 8 lõike 2 punktis b või c sätestatud usaldusväärsuse tasemele" 또는 "2) kvalifitseeritud usaldusteenust"

출처: Riigi Teataja, RahaPTS^[23]

영어로 옮기면: 상당(substantial) 또는 높음(High) 수준으로 통보된 eID 체계, 또는 적격 신뢰 서비스입니다. 경로 1은 해당하지 않습니다. Smart-ID의 적격 인증서가 경로 2에 해당하는지에 대해서는 2026년 10월 5일 기준 공식 입장이 없습니다. Finantsinspektsioon 또는 법률 자문에 문의하십시오. 리투아니아 AML법(제11조)과 라트비아 내각 규칙 제392호(7.1호)는 여러 비대면 경로 중 하나로 적격 전자서명 또는 보안 전자서명을 열거합니다.^[28][29]

2027년부터: AMLR 제22조(6)

자금세탁방지규정(AMLR)은 2027년 7월 10일부터 적용됩니다. 제22조(6)(b)는 "보증 수준 '상당(substantial)' 또는 '높음(high)'에 관하여 Regulation (EU) No 910/2014의 요건을 충족하는 전자식별수단 및 관련 적격 신뢰 서비스"를 인정합니다.^[30] 자금세탁방지청(AMLA)의 2026년 9월 30일자 최종 기준안은 아직 법적 효력이 없으며, 상당 또는 높음(High) 수준의 eID를 "제9조에 따라 통지되었는지 여부와 관계없이" 인정합니다.^[31] eIDAS 2 일정은 EUDI Wallet 페이지에서 다룹니다.

기업의 연결 방법: SK와 직접 RP 계약 또는 브로커 이용

SK의 절차는 다음과 같습니다. 무료로 테스트하고, 보안 조치를 선택하고, IP 주소와 서비스명을 보내고, 계약에 서명하고, RP UUID를 받은 뒤 "첫 문의 후 며칠 안에" 서비스를 개시합니다.^[21] 인증된 브로커도 Smart-ID를 재판매하며, 에스토니아 공공기관은 RIA의 TARA 게이트웨이를 이용할 수 있습니다.^[5]

Smart-ID에 연결하는 세 가지 방법.^[21][5]

SK의 가격표(2026년 6월 1일부터 적용)는 "Smart-ID 인증 또는 서명 요청"마다 요금을 부과합니다. 요청당 €0.109이며 월 최저 요금은 €60입니다. 3백만 건 요금제에서는 €0.0106까지 내려가고, 5백만 건을 넘으면 개별 계약이 적용됩니다.^[11] SK는 기존 RP에게 Smart-ID+가 "추가 비용 없이 제공된다"고 밝히고 있습니다.^[7]

데모 환경에서 테스트하기

데모: https://sid.demo.sk.ee/smart-id-rp/v3/, relyingPartyUUID 00000000-0000-4000-8000-000000000000, 이름 DEMO. 운영 환경: https://rp-api.smart-id.com/v3/.^[14] 결과별 테스트 계정:^[16]

활용 사례와 업종별 규정

• KYC 및 AML 온보딩. 서명된 이름과 개인 식별 코드를 제공합니다. AML 요건 충족 여부는 국가마다 다릅니다.^[23][28][29]
• 도박과 연령. 에스토니아 도박법은 21세 미만의 사행성 게임 참여를 금지하고(§ 34(2)), 원격 운영자에게 모든 플레이어를 확인하고 개인 식별 코드를 등록하도록 요구합니다(§ 53(1)).^[24] API에서 연령만 확인하는 클레임은 찾지 못했습니다.
• 서명. 적격 계정은 v3/signature로 서명합니다. "2025년에 리투아니아인 10명 중 4명이 적격 전자서명을 사용했습니다".^[13][33]
• 통신. SIM 등록에 Smart-ID를 명시한 발트 3국 규정은 없습니다(2026년 10월 5일 기준).

한계와 대체 수단

"에스토니아와 라트비아에서 Smart-ID는 현재 에스토니아 또는 라트비아 국가 신분 번호를 가진 사람으로 제한됩니다". 리투아니아 비거주자는 2개 은행에서 Smart-ID Basic을 발급받을 수 있습니다.^[22] Smart-ID 자체에는 연령 제한이 없지만 등록 경로에는 있습니다(라트비아 신분증은 14세부터). 18세 미만 계정은 부모의 승인이 필요합니다.^[32]

2026년 10월 5일 기준으로 문서화된 장애 사례는 찾지 못했습니다. 위험 요소는 피싱입니다. ERR News에 따르면 2025년에 PIN 사기로 에스토니아 은행 계좌에서 €23 million 가까이 도난당했습니다. 2026년 4월 29일부터 에스토니아 등록 절차는 카드 리더기 대신 NFC로 신분증을 읽습니다.^[34]

전자신분증을 먼저, 신분증 문서 인증을 대체 수단으로 사용하고, 각 대체 수단이 필요했던 이유를 기록합니다.^[31]

Smart-ID API 구현 체크리스트

먼저 SK의 무료 데모로 개발하면 코드가 작동한 뒤에 계약을 진행할 수 있습니다.^[21] 작업의 핵심은 응답 검증입니다.^[15]

• 데모 URL과 공개된 테스트 계정으로 개발합니다.^[14][16]
• 디바이스 링크 플로우를 우선 사용하고, 알림 방식은 알려진 기기에서만 허용합니다.^[13]
• 로그인마다 새로운 무작위 rpChallenge를 생성합니다.^[20]
• SK의 HTTPS 키를 고정(pinning)하고 sessionSecret은 서버에 보관합니다.^[19][18]
• SK의 응답 검증 단계를 모두 수행합니다.^[15]
• SK에 IP와 서비스 이름을 보낸 뒤 계약에 서명합니다.^[21]
• 국가별로 AML 용도의 법적 근거를 문서화합니다.^[23]
• Smart-ID가 없는 사용자를 위해 신분증 문서 인증 경로를 추가하십시오.

Didit의 Smart-ID 지원 방식

Smart-ID는 에스토니아, 라트비아, 리투아니아, 벨기에에서 Didit의 eID 인증에 적용되어 운영 중입니다. Smart-ID 연결은 Didit이 대신 처리하므로 RP 계약, IP 허용 목록, 인증서 관련 코드 작업이 필요 없습니다.

콘솔에서 Workflows, ID Verification 단계, Countries로 이동하여 국가를 선택한 뒤 "Wallets accepted"에서 Smart-ID를 체크하십시오. API로는 methods.EST.wallet을 설정하고 세션을 생성한 다음 GET /v3/session/{id}/decision/ 또는 웹훅을 확인합니다. eID 연동 문서에 따르면 verification_method 값은 "wallet"이며 wallet_verification 객체가 함께 제공됩니다.^[35] 사용자는 Smart-ID 앱에서 확인 코드를 승인합니다. Didit은 PIN을 절대 요구하지 않습니다.

제공되는 정보는 전체 이름, 생년월일, 발트 개인 식별 코드, 보증 수준(High로 표시), 서명 검증 결과입니다. 주소와 얼굴 사진은 제공되지 않습니다. Smart-ID가 없는 사용자는 신분증 인증으로 대체됩니다. 여기에는 NFC 칩 판독($0.15), 라이브니스, 얼굴 대조가 포함됩니다. 전체 KYC는 $0.33, AML 스크리닝은 $0.20입니다. 완료된 eID 로그인만 과금됩니다. 완료된 Smart-ID 인증 1건의 비용은 $0.20입니다(요금 페이지). 모든 eID는 eID 연동 페이지에서 확인할 수 있습니다.

자주 묻는 질문

출처

1. Smart-ID 홈페이지, 실시간 사용자 수 카운터, SK ID Solutions, 2026년 10월 5일 열람.
2. 2025년: 국경을 넘어 디지털 신뢰를 발전시키다, SK ID Solutions, 2026년 1월 19일.
3. 유럽 디지털 신원 분야의 신뢰와 경쟁, e-Estonia, 2026년.
4. 전자 신원(eID), 정보시스템청(RIA).
5. TARA 기술 사양, RIA.
6. eIDAS에 따른 사전 통보 및 통보된 eID 체계 개요, 유럽연합 집행위원회, 2026년 10월 5일 열람.
7. Smart-ID+, SK ID Solutions.
8. 새 Smart-ID는 사기로부터 나를 어떻게 보호합니까, Smart-ID FAQ.
9. 에스토니아 정부, 보안 강화를 위해 Smart-ID+ 도입, SK ID Solutions, 2026년 1월 28일.
10. 확인 코드가 어떤 때는 1개, 어떤 때는 3개 표시되는 이유, Smart-ID FAQ.
11. 가격표, SK ID Solutions, 2026년 6월 1일부터 유효.
12. Relying Party API: 소개, SK ID Solutions, 버전 3.2.3.
13. Relying Party API: API 엔드포인트 개요, SK ID Solutions.
14. 환경 기술 파라미터, SK ID Solutions.
15. Relying Party API: 응답 검증, SK ID Solutions.
16. 자동화 테스트용 테스트 계정, SK ID Solutions.
17. Relying Party API: 알림 기반 플로우, SK ID Solutions.
18. Relying Party API: 디바이스 링크 플로우, SK ID Solutions.
19. Relying Party API: API 기술 설명, SK ID Solutions.
20. Relying Party API: 변경 이력, SK ID Solutions.
21. 전자 서비스 제공자를 위한 연동 절차, Smart-ID.
22. 외국인과 비거주자도 Smart-ID를 사용할 수 있는가, Smart-ID FAQ.
23. Rahapesu ja terrorismi rahastamise tõkestamise seadus (RahaPTS), § 31, Riigi Teataja.
24. Hasartmänguseadus (도박법), Riigi Teataja.
25. Elektroniskā identifikācija, 라트비아 국방부.
26. Smart-ID, 라트비아에서 인증용 국내 적격 지위 획득, SK ID Solutions, 2023년 5월 29일.
27. Smart-ID와 Mobile-ID, 리투아니아에서 국가 승인 수단으로 인정, SK ID Solutions, 2024년 12월 19일.
28. 자금세탁 및 테러자금조달 방지법 제11조, 리투아니아, INFOLEX 통합본.
29. 내각 규정 제392호, 라트비아, likumi.lv.
30. 규정 (EU) 2024/1624 (AMLR), EUR-Lex, 2024년 6월 19일자 관보.
31. 최종 보고서, AMLR 제28(1)조에 따른 RTS 초안, AMLA, 2026년 9월 30일.
32. Smart-ID 사용 연령 제한, Smart-ID FAQ.
33. SK ID Solutions, 2025년 리투아니아에서 인증서 거의 삼백만 건 발급, SK ID Solutions, 2026년 5월 7일.
34. 이제 NFC로 에스토니아 신분증을 이용한 Smart-ID 등록 가능, Smart-ID, 2026년 4월 29일.
35. eID 연동, Didit 문서.
36. Relying Party API: 인터랙션, SK ID Solutions.

Smart-ID는 Didit의 eID 인증에서 현재 제공되는 5개 eID 중 하나입니다. eID 인증이란 무엇인지와 BankID 스웨덴 API 가이드도 참고하십시오.