Flexible Authentication: Airbnb 수백만 사용자 인증 재설계

Airbnb는 비정기적으로 로그인하는 게스트와 호스트까지 원활하게 지원하기 위해 인증 시스템을 전면 재설계했다. 소셜 로그인, Email OTP, 전화번호 인증 등이 10년에 걸쳐 추가되면서 복잡해진 기존 흐름을 Flexible Authentication이라는 새로운 패러다임으로 통합했다.

핵심은 Identify first then Challenge 모델이다. 사용자가 먼저 이메일, 전화번호, 소셜 로그인 등으로 계정을 식별하면, 서버의 정책 엔진이 사용자·계정·지역·플랫폼·과거 인증 이력 등을 바탕으로 성공 가능성이 가장 높은 인증 방식을 선택한다.

• 브라질의 전화번호 가입자에게는 SMS보다 WhatsApp OTP를 우선 제시
• 한국의 재방문 호스트에게는 Google ID보다 Naver 로그인을 우선 제시
• 기본 인증 방식과 함께 성공 가능성이 높은 대체 방식도 제공

인증 방식을 결정하는 역할은 클라이언트가 아니라 서버가 맡는다. 클라이언트는 서버가 전달한 화면을 렌더링하므로, Airbnb는 앱 업데이트 없이 지역별 인증 전략을 조정하고 실험할 수 있다.

모든 인증 화면에는 Try another way 옵션도 제공된다. 사용자가 비밀번호를 잊었거나 SMS를 받지 못해도 흐름을 처음부터 다시 시작하지 않고, 계정에 등록된 다른 인증 수단으로 전환할 수 있도록 Challenge Picker라는 서버 주도 컴포넌트를 구축했다.

또한 인증 경험을 서버 주도 방식으로 전환해 클라이언트 출시 주기에 묶이지 않고 로그인 개선안을 실험할 수 있는 기반을 마련했다.