WinSCP 다운로드·SFTP 사용법｜호스트 키 확인부터 안전한 업로드까지

WinSCP는 Windows에서 SFTP 서버의 파일을 주고받는 도구입니다. 설치보다 중요한 단계는 공식 배포본 사용, 서버 호스트 키 지문 확인, 원격 경로·권한 기록, 덮어쓰기 전 백업, 전송 후 검증입니다. 접속 창이 열린다고 올바른 서버와 안전하게 연결됐다는 뜻은 아닙니다.

이 글은 운영 서버에 처음 접속하는 사용자가 실수로 다른 서버를 신뢰하거나 파일을 덮어쓰지 않도록, 준비부터 원복까지 순서대로 설명합니다. 예시 호스트명·지문·계정은 실제 접속 정보가 아니며 자신의 관리자 또는 호스팅 업체가 제공한 값을 사용해야 합니다.

설치 전에 받아야 할 정보

SFTP와 FTP·FTPS는 서로 다른 프로토콜입니다. ‘파일 전송’이라는 이유로 임의로 바꾸지 말고 서버가 지정한 프로토콜과 포트를 그대로 사용하세요. 비밀번호와 개인 키는 글, 화면 캡처, 문의 게시판에 노출하지 않습니다.

1단계: 공식 WinSCP 설치 파일을 받습니다

1. WinSCP 공식 다운로드 페이지를 엽니다.
2. 일반 사용자는 설치 패키지를 선택합니다.
3. 설치 파일의 출처와 Windows가 표시하는 게시자를 확인합니다.
4. 기본 설치라면 Typical installation을 선택할 수 있습니다.
5. 파일 탐색기와 비슷한 화면이 익숙하면 Explorer 인터페이스를 선택합니다.

검색 광고나 파일 공유 사이트의 재포장 설치 파일은 사용하지 마세요. WinSCP 공식 문서에는 Microsoft Store 배포도 안내돼 있지만, 스토어판과 공식 사이트의 제공 조건은 확인 시점에 다를 수 있으므로 필요한 배포 방식을 직접 비교합니다.

휴대용 실행 파일은 INI 설정을 사용할 수 있지만 이동식 저장장치에 접속 정보가 남을 수 있습니다. 일반 사용자는 설치판으로 시작하고, 휴대용 방식은 설정 저장 위치와 보호 방법을 이해할 때만 사용하세요.

2단계: 새 SFTP 세션을 입력합니다

WinSCP의 새 사이트 화면에서 다음 순서로 입력합니다.

1. 파일 프로토콜을 SFTP로 선택합니다.
2. 관리자에게 받은 호스트 이름과 포트를 입력합니다.
3. 사용자 이름을 입력합니다.
4. 비밀번호 또는 고급 설정의 개인 키를 지정합니다.
5. 세션 이름에 운영·개발 서버를 구분할 수 있는 설명을 붙입니다.

공용 PC에서는 비밀번호를 저장하지 마세요. 개인 키를 사용한다면 키 파일 자체와 암호를 함께 노출하지 않고, 키 분실·유출 시 폐기하는 절차를 관리자에게 확인합니다.

3단계: 첫 연결의 호스트 키를 반드시 확인합니다

처음 SFTP 서버에 연결하면 WinSCP는 서버의 SSH 호스트 키 지문을 보여줍니다. 이는 단순한 약관 창이 아니라, 지금 연결한 서버가 관리자가 안내한 서버와 같은지 확인하는 절차입니다.

다음 중 하나의 별도 신뢰 경로로 지문을 받습니다.

• 호스팅·클라우드 관리 화면
• 서버 관리자와의 전화 또는 사내 메신저
• 이미 검증한 관리자의 기록
• 서버 콘솔에서 관리자가 직접 확인한 값

접속하려는 같은 네트워크에서 표시된 값만 다시 복사해 비교하면 중간자 공격을 분리하지 못할 수 있습니다. SHA-256 지문을 문자 단위로 대조하고, 0과 O, 1과 I·l처럼 비슷한 문자를 주의합니다.

WinSCP는 승인한 호스트 키를 저장하고 이후 연결에서 비교합니다. 서버 재설치나 키 교체로 값이 바뀔 수도 있지만, 공격과 정상 변경을 화면만 보고 구분할 수 없으므로 반드시 외부 확인이 필요합니다.

4단계: 업로드 전에 원격 경로와 백업을 확인합니다

운영 서버에 연결한 뒤 바로 끌어 놓지 마세요.

1. 현재 원격 경로가 운영·개발 중 어디인지 확인합니다.
2. 변경할 파일의 이름, 크기, 수정 시각과 권한을 기록합니다.
3. 기존 원격 파일을 로컬 백업 폴더로 먼저 다운로드합니다.
4. 백업 파일이 열리는지 확인합니다.
5. 서버에 배포·복원 절차가 따로 있으면 그 절차를 우선합니다.

데이터베이스와 함께 동작하는 CMS는 파일 한 개를 되돌리는 것만으로 복구되지 않을 수 있습니다. WordPress 플러그인·테마 업데이트는 가능하면 관리자 기능과 호스팅 백업을 사용하고, WinSCP는 공식 복구 절차에서 필요한 파일 범위에만 사용하세요.

5단계: 파일 한 개로 전송을 시험합니다

처음부터 폴더 전체를 동기화하지 말고 영향이 작은 파일 하나로 시험합니다.

• 로컬에서 원격으로 끌면 업로드, 원격에서 로컬로 끌면 다운로드입니다.
• 같은 이름이 있으면 덮어쓰기·이름 변경·취소 메시지를 읽습니다.
• 전송 대기열에 실패나 보류 항목이 없는지 확인합니다.
• 전송 후 원격 파일의 크기와 수정 시각을 비교합니다.
• 웹 파일이라면 실제 페이지·로그·관련 기능을 확인합니다.

파일 크기와 수정 시각이 같아도 내용이 반드시 같다고 단정할 수는 없습니다. 중요한 배포는 서버가 지원할 때 체크섬 비교나 배포 도구의 검증 절차를 사용합니다.

6단계: 연결 중단과 임시 파일을 이해합니다

WinSCP 공식 문서에 따르면 SFTP와 FTP는 중단된 전송을 재개할 수 있으며, 전송 완료 전 임시 이름을 사용하고 완료 후 대상 이름으로 바꾸는 방식도 지원합니다. 이는 불완전한 파일이 완성본처럼 보이는 위험을 줄이는 데 도움이 됩니다.

그러나 다른 버전의 원본으로 잘못 재개하면 대상 파일이 손상될 수 있습니다. 중단 후 다시 시작할 때는 같은 원본 파일인지 확인하고, 운영 파일이면 자동 재개만 믿지 말고 백업과 최종 결과를 검증하세요. SCP와 WebDAV 등 프로토콜에 따라 재개 지원이 다릅니다.

7단계: 동기화는 미리 보기부터 확인합니다

동기화는 여러 파일을 한 번에 생성·수정·삭제할 수 있으므로 첫 사용에서 가장 위험한 기능 중 하나입니다.

1. 동기화 방향이 로컬→원격인지 원격→로컬인지 확인합니다.
2. Preview changes를 켜 변경 예정 목록을 봅니다.
3. 삭제 항목이 포함됐는지 별도로 확인합니다.
4. 수정 시각·크기·체크섬 중 어떤 비교 기준을 쓰는지 확인합니다.
5. 서버와 로컬 시간대 차이도 점검합니다.

WinSCP 문서상 체크섬 비교는 서버의 체크섬 계산 지원이 필요하며, 수정 시각과 다른 비교 조건을 함께 선택하면 수정 시각이 우선할 수 있습니다. 동기화를 단순 백업으로 가정하지 말고 실제 변화 목록을 검토하세요.

접속 오류를 메시지별로 나눕니다

오류를 문의할 때는 비밀번호·개인 키를 제외하고 발생 시각, 프로토콜, 포트, 오류 문구, 대상 경로를 전달합니다. IP·사용자 이름·내부 경로는 공개 게시물에서 마스킹하세요.

안전하게 종료하고 기록합니다

작업 후에는 전송 대기열이 비었는지 확인하고 세션을 종료합니다. 다음 내용을 작업 기록에 남기면 문제 발생 시 원복이 쉽습니다.

• 접속한 서버 구분과 작업 시각
• 변경한 원격 경로와 파일명
• 변경 전 백업 위치
• 전송 성공 확인 방법
• 서비스·웹 페이지 검증 결과
• 원복 여부와 담당자

저장한 세션이 더 이상 필요하지 않으면 삭제하고, 공용 PC나 임시 장비에서는 WinSCP 설정과 인증 정보가 남지 않았는지 확인합니다.

공식 참고 자료

• WinSCP 공식 다운로드
• WinSCP: 다운로드와 설치 안내
• WinSCP: SSH 호스트 키 검증
• WinSCP: 호스트 키 지문을 얻는 방법
• WinSCP: 전송 재개
• WinSCP: 동기화 대화상자

검증 범위: 설치, 호스트 키, 전송 재개와 동기화 설명은 2026년 9월 WinSCP 공식 문서와 대조했습니다. 실제 서버 접속 정보·지문·권한·전송 속도는 환경마다 다르므로 예시 값을 실제 값처럼 제시하지 않습니다.