웹 앱 보안, 쉽게 설명합니다

Content-Security-Policy (CSP): 무엇이고 어떻게 추가하나요

주입된 스크립트의 실행을 막아 주는 헤더.

HTTP Strict Transport Security (HSTS) 설명

모든 연결이 — 첫 연결까지 — HTTPS를 사용하도록 강제하세요.

클릭재킹과 X-Frame-Options: 페이지를 iframe 밖으로

헤더 하나로 공격자가 앱을 iframe 안에 겹치는 것을 막으세요.

MIME 스니핑과 X-Content-Type-Options: nosniff 설명

브라우저가 콘텐츠 유형을 추측하고 업로드된 파일을 스크립트로 실행하는 것을 막는 헤더.

설정 오류

.env 파일 노출: 공격자가 시크릿을 찾아내는 방법

접근 가능한 .env 하나가 전체 스택을 넘겨줄 수 있습니다.

CORS 설정 오류: 와일드카드와 반사의 함정

모든 origin을 허용하면 어떤 사이트든 API를 읽을 수 있습니다.

프로덕션의 source map은 소스 코드를 유출합니다

배포된 .map 파일은 원본 소스를 넘겨줍니다.

노출된 .git 디렉터리: 눈앞에 숨어 있는 소스 코드 유출

접근 가능한 /.git은 전체 코드베이스와 커밋 히스토리를 그대로 넘겨줍니다.

노출된 데이터베이스 백업: /backup.sql에 접근할 수 있으면 벌어지는 일

접근 가능한 .sql 덤프는 데이터베이스 전체를 그대로 넘겨주는 것과 같습니다.

노출된 시크릿

클라이언트 측 JavaScript에 노출된 API 키

번들에 든 것은 모두 공개입니다. 그렇게 취급하세요.

DNS 및 이메일 보안

서브도메인 탈취: 어떻게 일어나고 어떻게 막나

dangling CNAME은 도메인에 열려 있는 문입니다.

SPF와 DMARC: 도메인 이메일 스푸핑을 막으세요

공격자가 여러분인 척 전 세계에 이메일을 보내는 것을 막으세요.

쿠키 보안

Secure, HttpOnly, SameSite 쿠키 플래그

세션 쿠키를 도난당하지 않게 지키는 세 가지 플래그.

리디렉션 체인

사이트에 HTTP→HTTPS 리디렉션이 필요한 이유

안전하지 않은 문을 열어 두지 마세요.

데이터베이스 보안

Supabase Row Level Security(RLS): 테이블을 확실하게 잠그기

anon 키는 공개되어 있습니다. 그것과 데이터 사이에 있는 것은 RLS뿐입니다.

Firebase Security Rules: 데이터베이스를 열어 두지 마세요

Firebase config는 원래 공개됩니다. 누가 데이터를 볼지는 규칙이 결정합니다.

파일·경로·리소스 처리

열린 디렉터리 인덱스: 파일 서버가 모든 것을 나열할 때

내용을 나열하는 파일 서버는 공격자에게 무료 목록을 건네주는 것과 같습니다.

오류 처리 및 복원력

프로덕션의 상세한 오류 페이지와 스택 트레이스

스택 트레이스는 공격자에게 어디를 노려야 하는지 정확히 알려 줍니다.

API 보안

공개된 GraphQL 인트로스펙션: 문제가 되는 이유와 끄는 방법

쿼리 한 번으로 전체 스키마가 반환됩니다. 프로덕션에서는 끄세요.

HTTP 프로토콜 및 서버 측 요청