[문의] 8/20 10:02경부터 Quota limit(GW.QUOTA_LIMIT, 시간당 1회)이 적용되어 주문 조회 계열 API가 차단됩니다

[namjug-kim]

1. 현상

2026-08-20 10:02(KST)경부터 연동 중인 전체 애플리케이션 중 16%**에서 주문 조회 계열 API 호출이 일제히 아래 응답으로 차단되고 있습니다.
나머지는 동일한 연동 코드·동일한 호출 IP에서 정상 호출 중입니다.

HTTP/1.1 429
{
  "code": "GW.QUOTA_LIMIT",
  "message": "할당된 시간당 요청량을 초과하였습니다."
}

실제 응답 헤더:

gncp-gw-trace-id: AaAZEmfFfFqg6Nf3i9nAAA^1787127030999^5219611
gncp-gw-quota-period: HOURS
gncp-gw-quota-limit: 1
gncp-gw-quota-remaining: 0

quota-limit: 1 / period: HOURS — 시간당 1회로 제한되어 사실상 전면 차단 상태입니다.

2. 차단 범위

API	결과
GET /v1/pay-order/seller/product-orders/last-changed-statuses	429 GW.QUOTA_LIMIT
POST /v1/pay-order/seller/product-orders/query	429 GW.QUOTA_LIMIT
POST /v1/pay-order/seller/product-orders/confirm	429 GW.QUOTA_LIMIT
POST /v1/pay-order/seller/product-orders/dispatch	429 GW.QUOTA_LIMIT

3. 인증 토큰 발급 규격 준수 확인 내용

유사 사례에 대한 공식 답변("인증 토큰 발급 요청이 OAuth 2.0 표준 미준수 시 호출 허용량 제한" — 공지 15832, Discussion #2573)을 확인하고 저희 토큰 발급 요청 전체를 점검했습니다.
저희 시스템에서 토큰 발급은 단일 모듈로만 수행되며, 아래와 같이 규격을 준수하고 있습니다.

POST https://api.commerce.naver.com/external/v1/oauth2/token
Content-Type: application/x-www-form-urlencoded

client_id={id}&timestamp={ms}&grant_type=client_credentials&client_secret_sign={bcrypt+base64}&type=SELF

• 필수 요청 파라미터는 모두 Request body(x-www-form-urlencoded)에 포함
• grant_type=client_credentials 포함
• type=SELF이며 account_id는 요청에 포함하지 않음

동일 호출에서 일부 애프리케이션만 영향을 받고 있습니다.

4. traceId

AaAZEmfFfFqg6Nf3i9nAAA^1787127030999^5288771   (2026-08-20 11:48:43 KST, product-orders/confirm)
AaAZEoWbeNGtRA_qeEJ7EQ^1787127038484^5155050   (2026-08-20 11:48:20 KST, channel-products 조회)
AaAZEmu1fCiKHd1qk0vPag^1787127032037^5826346   (2026-08-20 13:25:38 KST, product-orders/query)
AaAZEmlHcaGbQmHrChZnwQ^1787127031408^5787143   (2026-08-20 13:24:19 KST, last-changed-statuses)
AaAZEmfFfFqg6Nf3i9nAAA^1787127030999^5219611   (응답 헤더 캡처 건)

[commerce-api-naver]

안녕하세요. 커머스API 김태익입니다.

호출 이력을 확인한 결과 보유하신 3개 애플리케이션 모두 비표준 호출로 확인됩니다. 호출 허용량 제한은 애플리케이션별로 적용됩니다.

오류 원인

'[인증] 인증 토큰 발급 요청' API 호출 내용이 OAuth 2.0 표준 규약을 준수하지 않아 커머스API 이용이 제어된 상태이므로 GW.QUOTA_LIMIT 오류가 반환되었습니다.
지난 2024년부터 기술 규격 변경에 대해 공지사항 및 개별 이메일을 통해 안내드린 바 있으며 기술 규격을 준수하지 않은 경우 호출 허용량이 제한됩니다.

• 인증 토큰 발급 요청 규격 강화 안내
  -공지사항: https://notice.naver.com/notices/cac/15832
  • 인증 토큰 발급 요청 규격 강화 안내 #2573

해결 방법

커머스API Docs를 참고하여 '[인증] 인증 토큰 발급 요청' API가 OAuth 2.0 표준 및 API 기술 규격을 준수하도록 연동 내용을 수정해주시기 바랍니다.
아래 사항을 함께 점검해주시기 바랍니다.

• API에서 요구하는 필수 요청 파라미터는 Request body(payload)에 모두 포함되어야 합니다.
• HTTP Request header의 Content-Type과 body(payload) 데이터 형식은 x-www-form-urlencoded 형식으로 구성되어야 합니다.
  • [Header] Content-Type: application/x-www-form-urlencoded
  • [Payload] client_id=XXXXX&timestamp=1706671059230&grant_type=client_credentials&...
• type 파라미터 값에 따라 account_id 파라미터 포함 여부가 결정되어야 합니다.
  • [type=SELF] account_id 파라미터는 요청에 포함되어선 안됨
  • [type=SELLER] 올바른 스토어 계정 ID/UID가 account_id 파라미터 값에 포함되어야 함
• grant_type 파라미터 값은 "client_credentials" 값으로 꼭 포함하여야 합니다.

API 연동을 수정하신 후 기술 규격을 준수하여 호출하면 빠르면 익일 늦어도 2주 이내에 정상 수준으로 호출 허용량이 회복될 예정입니다.
단, 호출 허용량 회복을 위해서는 전일 비표준 호출이 단 한 건도 발생하지 않아야 하므로 모든 호출이 규격을 준수하고 있는지 반드시 확인해주시기 바랍니다.

감사합니다.

[namjug-kim]

해당 traceId가 비표준인지 확인 가능할까요?
저희호출에 문제인지 확인이 필요한 상황입니다.

수백개의 애플리케이션에 호출을 진행중이고 16% 일부 에플리케이션에서만 해당 문제가 발생하고있습니다.

[commerce-api-naver]

안녕하세요. 커머스API 김태익입니다.

앞서 안내드린 것과 같이 전달해주신 traceId 5개에 해당하는 3개 애플리케이션 모두 비표준 호출로 확인됩니다.
요청중 한개를 예시로 말씀드리면 2026-08-19T13:14:31.596 요청에서 필수 요청 파라미터가 요청 본문이 아닌 URL에 포함되어 전달되는 비표준 호출이 확인됩니다.

호출 허용량 회복을 위해서는 전일 기준 비표준 호출이 단 한 건도 발생하지 않아야 하므로 모든 호출이 규격을 준수하고 있는지 반드시 확인해주시기 바랍니다.

감사합니다.

[namjug-kim]

확인 감사합니다.
어떤 IP에서 비표준 호출이 왔는지 확인 가능할까요?

[commerce-api-naver]

안녕하세요. 커머스API 김태익입니다.

비표준 호출이 확인된 IP는 아래와 같습니다.

3.39.xxx.xxx
222.104.xxx.xxx
13.124.xxx.xxx
211.49.xxx.xxx

해당 IP에서의 호출이 모두 규격을 준수하고 있는지 확인해주시기 바랍니다.

감사합니다.