[문의] 내 스토어 애플리케이션에 Quota limit(GW.QUOTA_LIMIT)이 적용되어 전체 API 호출이 차단됩니다

[handuscorp]

[문의] 내 스토어 애플리케이션에 Quota limit(GW.QUOTA_LIMIT)이 적용되어 전체 API 호출이 차단됩니다

현상

2026-08-20 11:00(KST)경부터 보유한 내 스토어 애플리케이션 전부에서
모든 API 호출이 아래 응답으로 차단되고 있습니다.

HTTP 429
{
  "code": "GW.QUOTA_LIMIT",
  "message": "할당된 시간당 요청량을 초과하였습니다.",
  "timestamp": "2026-08-20T11:45:49.393+09:00"
}

특정 API만이 아니라 GET /v1/seller/channels 같은 최소 조회까지 모두 429입니다.

1. 문서 및 공식 답변과 배치됩니다

• Discussion #6 (최종수정 2026-06-04)

  "커머스API센터에서 발급한 '내 스토어 애플리케이션'은 Quota limit이 적용되지 않습니다"

• Discussion #3734 (2026-08-19, 담당자 답변)

  "내스토어 애플리케이션"은 2RPS로 고정
  Quota limit은 "커머스솔루션 및 API대행사 애플리케이션"에 추가 적용

저희 애플리케이션은 모두 커머스API센터의 내 스토어 애플리케이션이며(type=SELF),
발급 이후 인증 방식을 변경한 적이 없습니다.

2. 실제 응답 헤더

gncp-gw-quota-period: HOURS
gncp-gw-quota-limit: 1
gncp-gw-quota-remaining: 0
gncp-gw-ratelimit-replenish-rate: 1
gncp-gw-ratelimit-burst-capacity: 2
gncp-gw-ratelimit-remaining: 1

문서와 다른 점이 두 가지입니다.

1. Quota limit 미적용 대상인데 gncp-gw-quota-* 헤더가 내려오고 GW.QUOTA_LIMIT으로 차단됩니다.
   또한 문서상 Quota limit은 "1초당" 기준인데 실제 헤더는 quota-period: HOURS입니다.
2. 문서·답변상 2RPS인데 replenish-rate가 1로 내려옵니다.

3. 사용량 통계상 타임라인 (동일 애플리케이션, 2026-08-20)

시각	API	호출수	결과
01:00	POST /v1/products/search	82	전부 200 OK
09:00	GET /v2/products/channel-products/{no}	1	200 OK
10:02	(애플리케이션 최근 수정 — 수정 회원: SYSTEM)	-	-
10:20	POST /v1/pay-order/seller/product-orders/query	1	200 OK
11:00	DELETE /v2/products/channel-products/{no}	6	5건 429
11:00	POST /v1/pay-order/seller/product-orders/query	5	5건 429
11:20	GET /v1/pay-order/.../last-changed-statuses	12	11건 429
11:40	전 API	-	전부 429

• 같은 날 01:00에는 20분 동안 82회 호출이 전부 성공했습니다.
  즉 시간당 허용량이 정상 동작하고 있었습니다.
• 11:00 이후로는 4회 내외 호출만으로 소진되어 전체가 차단됩니다.
• 애플리케이션 상세의 최근 수정일이 2026-08-20 10:02, 최근 수정 회원이 SYSTEM으로 기록되어 있습니다.
  저희가 수정한 것이 아닙니다.

또한 오늘 호출 이력이 전혀 없던 별도 애플리케이션도, 최초 4회 호출 직후 동일하게
GW.QUOTA_LIMIT으로 전면 차단되는 것을 확인했습니다.
누적 사용량에 따른 소진으로 보기 어렵습니다.

4. traceId

AaAZEnVNfYCanWnWjSY7Aw^1787127034372^4993307   (11:05:46)
AaAYldrOeNqAVYIW_pgOSA^1787118868337^6067299   (11:30:09)
AaAYlkBsfUaXMAWmvWamgw^1787118894419^6114596   (11:37:37)
AaAYljAQeIWcuW1G2lcAtw^1787118890380^6185644   (11:45:49)

문의사항

1. 내 스토어 애플리케이션에 Quota limit을 적용하도록 정책이 변경되었습니까?
   변경이라면 공지 위치를, 변경이 아니라면 설정 오류인지 확인 부탁드립니다.
2. replenish-rate가 문서상 2RPS와 달리 1로 내려오는 것이 정상입니까?
3. 2026-08-20 10:02에 SYSTEM 주체로 애플리케이션이 수정된 이력이 있는데,
   어떤 변경이 반영된 것인지 확인 가능할까요?

애플리케이션 ID는 공개 게시가 부적절하여 생략했습니다. 필요하시면 비공개로 전달드리겠습니다.

[commerce-api-naver]

안녕하세요. 커머스API 김태익입니다.

오류 원인

'[인증] 인증 토큰 발급 요청' API 호출 내용이 OAuth 2.0 표준 규약을 준수하지 않아 커머스API 이용이 제어된 상태이므로 GW.QUOTA_LIMIT 오류가 반환되었습니다.
호출 이력을 확인한 결과 보유하신 2개 애플리케이션 모두 비표준 호출로 확인됩니다. 호출 허용량 제한은 애플리케이션별로 적용됩니다.
지난 2024년부터 기술 규격 변경에 대해 공지사항 및 개별 이메일을 통해 안내드린 바 있으며 기술 규격을 준수하지 않은 경우 호출 허용량이 제한됩니다.

• 인증 토큰 발급 요청 규격 강화 안내
  -공지사항: https://notice.naver.com/notices/cac/15832
  • 인증 토큰 발급 요청 규격 강화 안내 #2573

해결 방법

커머스API Docs를 참고하여 '[인증] 인증 토큰 발급 요청' API가 OAuth 2.0 표준 및 API 기술 규격을 준수하도록 연동 내용을 수정해주시기 바랍니다.
아래 사항을 함께 점검해주시기 바랍니다.

• API에서 요구하는 필수 요청 파라미터는 Request body(payload)에 모두 포함되어야 합니다.
• HTTP Request header의 Content-Type과 body(payload) 데이터 형식은 x-www-form-urlencoded 형식으로 구성되어야 합니다.
  • [Header] Content-Type: application/x-www-form-urlencoded
  • [Payload] client_id=XXXXX&timestamp=1706671059230&grant_type=client_credentials&...
• type 파라미터 값에 따라 account_id 파라미터 포함 여부가 결정되어야 합니다.
  • [type=SELF] account_id 파라미터는 요청에 포함되어선 안됨
  • [type=SELLER] 올바른 스토어 계정 ID/UID가 account_id 파라미터 값에 포함되어야 함
• grant_type 파라미터 값은 "client_credentials" 값으로 꼭 포함하여야 합니다.

API 연동을 수정하신 후 기술 규격을 준수하여 호출하면 빠르면 익일 늦어도 2주 이내에 정상 수준으로 호출 허용량이 회복될 예정입니다.
단, 호출 허용량 회복을 위해서는 전일 비표준 호출이 단 한 건도 발생하지 않아야 하므로 모든 호출이 규격을 준수하고 있는지 반드시 확인해주시기 바랍니다.

감사합니다.

[handuscorp]

답변 감사합니다.

안내해주신 내용을 근거로 저희 연동 코드를 전수 점검한 결과, 지적하신 비표준 호출이
맞다는 것을 확인했습니다. 토큰 발급 요청에서 필수 파라미터를 Request body가 아닌
URL 쿼리스트링으로 전달하고 있었습니다.

# 기존 (잘못된 방식) - Content-Type 헤더만 선언하고 body는 비어 있었음
url = f"{BASE_URL}/v1/oauth2/token?{urlencode(params)}"
requests.post(url, headers={"Content-Type": "application/x-www-form-urlencoded"})

# 수정 후
requests.post(f"{BASE_URL}/v1/oauth2/token",
              headers={"Content-Type": "application/x-www-form-urlencoded"},
              data=params)

수정 방식으로 토큰이 정상 발급되고 API 호출도 정상 동작하는 것까지 확인했으며,
현재 모든 호출 경로에 동일하게 반영하고 있습니다.

다만 "비표준 호출이 혼용되고 있다", "모든 호출 경로에서 규격을 준수하는지 재확인"
이라는 안내와 관련하여, 저희가 파악하지 못한 호출 경로가 남아 있을 가능성이 있어
확인을 요청드립니다.

발생한 429 응답의 traceId

아래는 2026-08-20에 GW.QUOTA_LIMIT으로 차단된 요청의 traceId입니다.
애플리케이션 4곳에서 수집했으며, 애플리케이션 구분은 A~D로 표기했습니다.

애플리케이션 A

AaAZEnVNfYCanWnWjSY7Aw^1787127034372^4993307   11:05:46.685  DELETE /v2/products/channel-products/{no}
AaAYljAQeIWcuW1G2lcAtw^1787118890380^6185644   11:45:49.393  GET    /v1/seller/channels
AaAYlkBsfUaXMAWmvWamgw^1787118894419^6160428   11:45:49.484  GET    /v2/products/channel-products/{no}
AaAYldrOeNqAVYIW_pgOSA^1787118868337^6154216   11:45:49.567  GET    /v1/pay-order/seller/product-orders/last-changed-statuses
AaAYljAQeIWcuW1G2lcAtw^1787118890380^6185668   11:45:49.609  POST   /v1/products/search

애플리케이션 B

AaAYlkURdt-pnMTBtzPkiw^1787118895419^6100771   11:45:49.796  GET    /v1/seller/channels
AaAYlkURdt-pnMTBtzPkiw^1787118895419^6100779   11:45:49.839  GET    /v2/products/channel-products/{no}
AaAYldrOeNqAVYIW_pgOSA^1787118868337^6154239   11:45:49.922  GET    /v1/pay-order/seller/product-orders/last-changed-statuses
AaAYlkURdt-pnMTBtzPkiw^1787118895419^6100789   11:45:49.989  POST   /v1/products/search

애플리케이션 C

AaAYljVddEmBVLX8eTkDZg^1787118891744^6264174   11:45:50.155  GET    /v1/seller/channels
AaAYlkBsfUaXMAWmvWamgw^1787118894419^6160500   11:45:50.229  GET    /v2/products/channel-products/{no}
AaAYldrOeNqAVYIW_pgOSA^1787118868337^6154266   11:45:50.270  GET    /v1/pay-order/seller/product-orders/last-changed-statuses
AaAYljVddEmBVLX8eTkDZg^1787118891744^6264191   11:45:50.310  POST   /v1/products/search

애플리케이션 D

AaAYljAQeIWcuW1G2lcAtw^1787118890380^6185747   11:45:50.487  GET    /v1/seller/channels
AaAYlkURdt-pnMTBtzPkiw^1787118895419^6100833   11:45:50.645  GET    /v2/products/channel-products/{no}
AaAYljAQeIWcuW1G2lcAtw^1787118890380^6185762   11:45:50.739  GET    /v1/pay-order/seller/product-orders/last-changed-statuses
AaAYljAQeIWcuW1G2lcAtw^1787118890380^6185771   11:45:50.776  POST   /v1/products/search

공통 응답 헤더

gncp-gw-quota-period: HOURS
gncp-gw-quota-limit: 1
gncp-gw-quota-remaining: 0
gncp-gw-ratelimit-replenish-rate: 1
gncp-gw-ratelimit-burst-capacity: 2

1. 비표준 호출이 발생한 정확한 시각을 알려주실 수 있을까요

다른 문의(#3739, #3740)에서는 2026-08-19T13:14:31.596 과 같이 구체적인 요청 시각을
안내해주신 것을 확인했습니다.

위 traceId로 식별되는 애플리케이션들에 대해, 최근 비표준 토큰 발급 호출이 발생한 시각을
애플리케이션별로 몇 건씩 알려주시면 감사하겠습니다. 해당 시각을 저희 배치 스케줄 실행
이력과 대조하여 어느 프로그램에서 발생한 호출인지 특정하려고 합니다.

저희가 확인한 것만 20개 애플리케이션에 걸쳐 21개의 호출 경로가 있어, 시각 정보 없이는
"전일 기준 비표준 호출 단 한 건도 없음"을 충족했는지 저희 쪽에서 확인할 방법이 없습니다.

2. quota 헤더 유무로 제한 적용 여부를 판단해도 되는지 확인 부탁드립니다

저희가 운영 중인 애플리케이션 20개의 응답 헤더를 확인한 결과, 9개에서만
gncp-gw-quota-* 헤더가 반환되고 나머지 11개에서는 반환되지 않습니다.

• 헤더 반환됨 (9개): gncp-gw-quota-limit: 1, gncp-gw-quota-period: HOURS
• 헤더 없음 (11개): quota 관련 헤더 미반환

이 헤더 유무를 제한 적용 여부의 판단 기준으로 삼아도 되겠습니까.
또한 11개는 아직 비표준 호출이 감지되지 않은 것일 뿐 동일한 코드를 사용하므로,
잠재적으로 동일한 상태로 보아야 하는지도 함께 알려주시면 감사하겠습니다.

3. 수정 후 규격 준수 여부를 직접 확인할 방법이 있을까요

수정 완료 후 모든 호출이 규격을 준수하고 있는지를 저희 쪽에서 확인할 수 있는 방법
(응답 헤더 항목, API 사용통계상 표시 등)이 있다면 안내 부탁드립니다.
매번 문의드리지 않고 자체 검증이 가능하면 좋겠습니다.

감사합니다.

[commerce-api-naver]

안녕하세요. 커머스API 김태익입니다.

1. 확인된 애플리케이션별 최근 비표준 호출 시각은 아래와 같습니다.

A: 2026-08-20T15:35:05 (정상 호출 이후 동일 IP 대역에서 비표준 호출 확인)
B: 2026-08-20T11:45:49
C: 2026-08-20T11:45:50
D: 2026-08-20T15:40:58 (정상 호출 이후 동일 IP 대역에서 비표준 호출 확인)

2. 네, 맞습니다. gncp-gw-quota-period: HOURS 헤더 반환 여부로 호출 허용량 제한이 걸려있는지 여부를 판단하실 수 있습니다. 현재 헤더가 반환되지 않는 11개 애플리케이션은 아직 제한이 적용되지 않은 상태이나 동일한 코드를 사용하고 계신다면 점진적으로 적용될 수 있으므로 미리 전체 호출 경로를 점검하시고 규격을 준수하도록 수정해주시기 바랍니다.
3. 규격 준수 여부를 직접 확인할 수 있는 별도 방법은 제공하지 않습니다. 비표준 호출 시에도 인증 토큰은 정상 발급되나 호출 허용량이 제한됩니다. gncp-gw-quota-period: HOURS 헤더로는 현재 호출 허용량 제한 여부만 확인 가능하며 인증 토큰 발급이 표준 규약을 준수하고 있는지는 확인이 어렵습니다.

감사합니다.