점검 항목
코드보안은 8가지 영역을 점검합니다. 핵심은 ‘설정이 있는지’가 아니라 ‘실제로 뚫리는지’까지 소유권 인증 후 직접 검증한다는 점입니다.
Supabase·Firebase·Neon 등 BaaS에서 로그인 없이 회원 데이터가 조회되는지 점검합니다.
AI 앱 최대 사고 유형입니다. RLS(행 수준 보안)를 켜지 않으면 브라우저에 노출된 anon 키만으로 users 테이블 전체가 반환됩니다. 실제로 한 앱이 3일 만에 475만 건을 노출했습니다.
소유권 인증 후, 익명 신분으로 실제 SELECT 요청을 보내 데이터가 반환되는지 직접 검증합니다. ‘설정이 있는지’가 아니라 ‘정말 뚫리는지’를 확인합니다.
브라우저로 내려가는 코드에 Stripe·AWS·OpenAI 등 시크릿 키가 섞여 있는지 스캔합니다.
시크릿이 프론트엔드에 노출되면 번들 파일에 그대로 남습니다. 유출된 키는 자동 스캐너에 의해 60초 안에 악용돼 요금 폭탄·데이터 탈취로 이어집니다.
페이지와 번들에서 알려진 키 패턴(sk_live, AKIA 등)과 고엔트로피 문자열을 탐지하고, Supabase anon 키 사용 여부를 함께 식별합니다.
개인정보처리방침의 존재와 필수 기재 항목, 전송 구간 암호화(HTTPS)를 현행법 기준으로 점검합니다.
이메일 하나만 받아도 개보법 대상입니다. 처리방침 미공개는 그 자체로 과태료 1천만원 이하, 안전조치 위반은 3천만원 이하 대상입니다. 글로벌 보안 도구가 다루지 않는 한국 특화 영역입니다.
처리방침 페이지를 크롤링해 보호책임자 연락처·보유기간·제3자 제공 등 필수 항목 누락을 점검하고, 자가진단 체크리스트를 제공합니다.
관리자 페이지 노출, 권한 상승, 알려진 미들웨어 우회 결함을 점검합니다.
권한 검증을 클라이언트에만 두거나 Next.js 미들웨어 우회(CVE-2025-29927) 같은 결함을 방치하면, 헤더 하나로 관리자 영역이 열릴 수 있습니다.
노출된 관리자 경로를 탐지하고, 소유권 인증 후 인증 우회 패턴과 IDOR(다른 사용자 리소스 접근) 가능성을 읽기 전용으로 점검합니다.
사용 중인 프레임워크·라이브러리의 버전을 식별해 알려진 취약점(CVE)을 대조합니다.
코드를 한 줄도 바꾸지 않아도, 쓰던 라이브러리에 새 취약점이 공개되면 그 순간 위험해집니다. 외부 위협은 내가 가만히 있어도 늘어납니다.
응답 헤더·번들 지문으로 스택과 버전을 탐지하고 CVE 데이터베이스와 대조합니다. 지킴 구독에서는 새 CVE가 뜰 때마다 알려드립니다.
S3·GCS 등 버킷이 공개돼 업로드 파일·백업이 노출되는지 확인합니다.
버킷 권한을 ‘전체 공개’로 열어두면 사용자가 올린 파일, DB 백업, 내부 문서가 검색·다운로드될 수 있습니다.
페이지에서 참조되는 스토리지 주소를 식별하고, 공개 접근 가능 여부를 비침습적으로 점검합니다.
HTTPS 강제, HSTS, CSP, 쿠키 플래그, CORS 설정 등 전송·브라우저 보안을 점검합니다.
보안 헤더가 없으면 XSS·클릭재킹·중간자 공격에 노출됩니다. 쿠키 플래그가 빠지면 세션이 탈취될 수 있습니다.
응답 헤더와 쿠키 속성, TLS 인증서 만료·CORS 오설정을 점검하고 비개발자 언어로 위험을 설명합니다.
도메인에 SPF·DMARC 레코드가 있는지 확인해 사칭 메일 위험을 점검합니다.
SPF·DMARC가 없으면 누구나 내 도메인 이름을 달고 피싱 메일을 보낼 수 있습니다. 고객이 사칭 메일에 속으면 브랜드 신뢰가 무너집니다.
도메인의 DNS 레코드를 조회해 SPF·DMARC 설정 여부와 정책 수준을 점검합니다.
보안 위험은 아니지만, 방치하면 손해가 되는 것들 — 무료 진단에 함께 포함됩니다.
개발 중 걸어둔 noindex 설정을 운영에 그대로 남겨, 구글·네이버에 사이트가 아예 안 뜨는 경우를 잡아냅니다.
제목이 비었거나 ‘Vite App’ 같은 프레임워크 기본값이 남아, 아직 배포 전처럼 보이는 상태를 알려줍니다.
robots.txt·sitemap.xml이 오히려 관리자·내부 경로를 외부에 알려주고 있지는 않은지 점검합니다.