# 웹사이트 보안 검사 1분이면 끝납니다.

웹사이트 보안 검사는 소규모 사업체 사이트를 위한 도구입니다. HTTPS, 보안 헤더, 이메일 설정, 추적기를 확인하고 수정 방법을 PDF로 받으세요.

## 웹사이트 보안 검사는 무엇을 확인하나요?

스캔은 홈페이지에서 28개 항목을 점검합니다. HTTPS와 리디렉션, 보안 헤더, 쿠키, 이메일 및 DNS 레코드, 외부 스크립트, 추적기, 오래된 라이브러리를 다룹니다. 결과마다 고칠 점, 살펴볼 점, 확인하지 못한 점을 알려 드립니다.

### HTTPS 연결

웹사이트가 암호화된 연결로 응답하고 브라우저가 계속 HTTPS를 쓰도록 요청하나요?

### 브라우저 보호

사이트가 원치 않는 스크립트를 막고, 다른 사이트의 삽입을 막고, 브라우저가 파일 형식을 추측하지 못하게 할 수 있나요?

### 쿠키, 추적기, 소프트웨어

쿠키 설정, 방문자가 동의하기 전에 불러오는 추적기, 오래된 JavaScript 라이브러리, 사이트가 드러내는 소프트웨어 버전을 확인합니다.

## 웹사이트 보안 검사 활용하기

### 웹사이트 보안 검사로 알 수 있는 것

웹사이트 보안 검사는 홈페이지가 모든 방문자에게 보내는 설정을 보여 줍니다. HTTPS, 보안 헤더, 쿠키, 이메일 설정, 추적기, 사이트가 드러내는 소프트웨어를 확인합니다. 웹사이트 보안 검사 결과로 개발자에게 물어볼 내용을 정리하고, 변경 전 상태를 날짜와 함께 남겨 두세요.

### 웹사이트 보안 검사 결과 읽기

웹사이트 보안 검사는 결과를 호스팅 업체가 급히 볼 항목, 고쳐야 할 설정, 사이트 운영 방식에 따라 판단할 항목으로 나눕니다. 선택 헤더가 없다고 해서 공격의 신호는 아닙니다. 웹사이트 보안 검사 점수는 0부터 100까지이며 통과한 점검 비율을 나타냅니다. 색을 보면 무엇부터 볼지 알 수 있습니다.

### 웹사이트 보안 검사 전후에 할 일

호스팅이나 보안 설정을 바꾸기 전에 웹사이트 보안 검사를 해서 비교 기준을 남기세요. 규칙을 강화하기 전에 결제 페이지, 로그인, 삽입된 서비스를 확인하세요. 변경 후에는 웹사이트 보안 검사를 다시 하고 이전 보고서와 비교한 뒤 실제 브라우저에서 사이트를 확인하세요. 소프트웨어 업데이트와 계정 보안은 평소 관리에 포함하세요.

### 웹사이트 보안 검사 결과를 개발자와 공유하기

웹사이트 보안 검사는 작업할 사람이 결과를 볼 수 있을 때 실행하기 쉬워집니다. PDF를 내려받거나 보고서 링크를 개발자에게 보내세요. 각 보고서에는 스캔 시각이 표시됩니다. 웹사이트 소유자는 사이트를 관리하고 있음을 증명한 뒤 보고서를 공개할 수도 있습니다.

## 웹사이트 보안에 관한 질문

### 웹사이트 보안 검사는 사이트의 안전을 증명하나요?

아니요. 일부 공개 설정만 확인합니다. 모든 취약점, 악성코드, 코드 오류, 탈취된 계정을 찾을 수는 없습니다. 전체 보안 감사는 훨씬 더 많은 것을 살펴봅니다.

### 웹사이트 보안 검사가 사이트에 영향을 주나요?

거의 영향이 없습니다. 스캔은 DNS 레코드를 조회하고, HTTPS와 일반 HTTP로 홈페이지를 요청하고, 리디렉션을 최대 다섯 번 따라가고, security.txt를 읽고, 클라우드 브라우저에서 홈페이지를 한 번 불러옵니다. 다른 페이지를 열거나 양식을 제출하거나 로그인하거나 공격을 시도하지 않습니다. 사이트가 스캔을 차단하면 결과가 불완전해집니다.

### 웹사이트 보안 검사가 하루 두 번으로 제한되는 이유는 무엇인가요?

이 제한 덕분에 도구를 무료로 유지하고 웹사이트에 불필요한 트래픽을 보내지 않습니다.

### 웹사이트 보안 검사 색상은 무엇을 의미하나요?

빨간색은 알려진 심각한 결함이 있는 오래된 PHP처럼 호스팅 업체가 급히 확인해야 할 항목입니다. 주황색은 고쳐야 할 설정입니다. 파란색은 자세히 볼 만한 항목입니다. 초록색은 통과한 항목입니다. 회색은 확인하지 못한 항목입니다. 어떤 색도 사이트가 해킹되었다는 뜻은 아닙니다.

### 웹사이트 보안 검사로 PHP2Shell을 탐지할 수 있나요?

수정된 릴리스보다 오래된 PHP 버전을 알려 줄 수 있습니다. 버전 헤더는 틀리거나 숨겨지거나 바뀌어 있을 수 있고, 오래된 버전에 패치를 적용하는 호스팅 업체도 있습니다. 설치된 PHP 버전과 패치 상태를 호스팅 업체에 확인하세요. 공격 요청은 절대 보내지 않습니다. PHP 헤더가 없다고 해서 PHP가 없거나 패치되었다는 뜻은 아닙니다.

### 웹사이트 보안 검사가 소프트웨어 헤더를 표시하는 이유는 무엇인가요?

버전 정보가 있으면 취약한 소프트웨어를 쓰는 사이트를 찾기 쉬워집니다. 가능한 곳에서는 지우세요. 숨겨도 고쳐지는 것은 없으니 소프트웨어 자체를 최신으로 유지하세요.

### 웹사이트 보안 검사 후 무엇을 해야 하나요?

빨간 항목부터 시작한 다음, 주황 항목을 개발자나 호스팅 업체와 함께 살펴보세요. 엄격한 규칙은 결제, 양식, 삽입된 콘텐츠를 망가뜨릴 수 있으니 헤더 변경은 반영 전에 테스트하세요. 결과를 공유하려면 PDF를 내려받으세요. Mecanik Dev가 알맞은 수정을 고르고 작업까지 도와드립니다.

### 웹사이트 보안 검사 결과는 공개되나요?

아니요. 스캔은 비공개입니다. 웹사이트 소유자만 DNS 레코드 또는 파일로 사이트를 관리하고 있음을 증명한 뒤 보고서를 공개할 수 있습니다. 비공개 링크나 PDF는 계속 공유할 수 있습니다. 계정이나 이메일은 필요하지 않습니다.

## 보고서에 포함된 검사

### 암호화된 연결

HTTPS는 사이트와 방문자 사이의 데이터를 암호화합니다. 스캐너가 안전하게 연결되었다는 뜻입니다. 사이트의 나머지 부분은 테스트하지 않았습니다.

### 일반 HTTP를 HTTPS로 리디렉션

https:// 없이 주소를 입력한 방문자는 곧바로 안전한 사이트로 이동해야 합니다. 그다음 HSTS가 브라우저를 HTTPS에 머물게 합니다.

### HTTPS 연결 유지

Strict-Transport-Security를 max-age 6개월 이상으로 설정하세요. includeSubDomains나 preload를 추가하기 전에 하위 도메인을 확인하세요.

### 실행 가능한 콘텐츠 제어

Content-Security-Policy는 페이지가 불러올 수 있는 스크립트와 콘텐츠를 정합니다. 알맞은 규칙은 사이트마다 다르며, 정책이 없다는 것만으로 취약점은 아닙니다. 페이지가 HTML에서 정책을 설정하면 브라우저 점검이 이를 읽습니다. report-only 정책은 아무것도 차단하지 않습니다.

### 기만적인 프레임 삽입 방지

CSP frame-ancestors나 X-Frame-Options를 쓰고, 정말 삽입이 필요한 사이트만 허용하세요.

### 파일 유형 추측 방지

X-Content-Type-Options를 nosniff로 설정하면 브라우저가 각 파일을 서버가 알려 준 형식으로 처리합니다.

### 외부 사이트에 공유하는 정보 제한

Referrer-Policy를 명시하면 동작이 분명해집니다. 최신 브라우저는 기본적으로 이를 제한하므로, 헤더가 없다고 데이터가 새는 것은 아닙니다.

### 민감한 브라우저 기능 제한

Permissions-Policy로 사이트의 카메라, 마이크, 위치 기능을 끌 수 있습니다. 알맞은 설정은 사이트가 하는 일에 따라 다릅니다.

### X-Powered-By 정보 노출

가능한 곳에서는 실행 환경 정보를 지우세요. 사이트를 알아보기 어려워지지만, 업데이트는 여전히 필요합니다.

### 서버 버전 노출

버전 번호를 숨기고 서버를 최신으로 유지해 달라고 호스팅 업체에 요청하세요. 버전 없는 서버 이름은 괜찮습니다.

### PHP 패치 검토

PHP2Shell은 PHP 자체에 있는 두 가지 치명적인 결함을 부르는 이름입니다. 헤더는 버전만 알려 주며, 틀리거나 호스팅 업체가 적용한 수정이 빠져 있을 수 있습니다. 설치된 버전을 최신 PHP 보안 공지와 비교해 달라고 요청하세요. 헤더를 숨겨도 고쳐지는 것은 없습니다.

### HTTPS 전용 쿠키

Secure는 쿠키를 HTTPS로만 보낸다는 뜻입니다. 홈페이지 응답에서 설정된 쿠키만 볼 수 있습니다. 로그인 후나 스크립트가 설정한 쿠키는 포함되지 않으며, 쿠키 값은 보고서에 절대 나오지 않습니다.

### 세션 쿠키 보호

HttpOnly는 페이지의 스크립트가 쿠키를 읽지 못하게 합니다. 세션 쿠키는 이름으로 추정하므로 개발자에게 확인하세요.

### 사이트 간 쿠키 규칙

SameSite는 다른 사이트에서 오는 요청에 쿠키를 언제 보낼지 정합니다. 일부 연동에는 None이 맞을 수 있고, 값이 없으면 브라우저가 기본값을 씁니다.

### 다른 출처의 접근

CORS는 API와 공유 파일에 자주 필요합니다. 와일드카드만으로 비공개 데이터가 드러나지는 않습니다. 이 홈페이지 점검으로는 API가 모든 출처를 신뢰하는지 알 수 없습니다.

### 브라우저 창 격리

COOP는 다른 사이트가 연 창과 페이지를 분리합니다. 결제나 로그인 팝업에는 더 느슨한 설정이 필요할 수 있습니다. COOP가 없다는 것만으로 사이트가 공격받을 수 있는 것은 아닙니다.

### 리소스 삽입 규칙

Cross-Origin-Resource-Policy는 어떤 사이트가 내 파일을 삽입할 수 있는지 정합니다. 공개 이미지와 공유 파일은 열어 두어야 할 수 있습니다. 대부분의 페이지에는 필요하지 않습니다.

### 이메일 발신 정책(SPF)

SPF는 메일 서버가 내 도메인을 사칭한 가짜 이메일을 거부하도록 돕습니다. 이메일을 보내지 않는 도메인이라면 v=spf1 -all을 게시하세요. 기본 도메인에서 확인합니다.

### 이메일 위조 방지 정책(DMARC)

DMARC는 SPF와 DKIM을 통과하지 못한 이메일을 어떻게 처리할지 메일 서버에 알려 줍니다. 모니터링 모드로 시작해 보고서를 읽은 다음 quarantine이나 reject로 바꾸세요.

### 인증 기관 규칙(CAA)

CAA 레코드는 이 도메인의 인증서를 발급할 수 있는 인증 기관을 적어 둡니다. 인증서가 실수로 발급될 위험을 줄여 줍니다. 사용하는 모든 업체를 포함하세요.

### 서명된 DNS(DNSSEC)

DNSSEC를 쓰면 리졸버가 가짜 DNS 응답을 알아챌 수 있습니다. 설정이 잘못되면 도메인이 끊길 수 있으니 DNS 업체와 등록기관에서 함께 켜세요.

### 보안 연락처(security.txt)

Contact와 Expires가 들어간 /.well-known/security.txt를 게시해, 문제를 발견한 사람이 연락할 방법을 알 수 있게 하세요.

### 안전하지 않은 페이지 리소스

안전하지 않은 파일은 전송 중에 바뀔 수 있고, 브라우저가 차단하면 페이지가 깨질 수 있습니다. 이 주소들을 HTTPS로 바꾸세요. 홈페이지만 확인했습니다.

### 외부 서비스

외부 스크립트와 서비스는 모두 방문자를 볼 수 있고 페이지를 바꿀 수 있습니다. 목록을 짧게 유지하고, 더 이상 쓰지 않는 것은 지우고, 각 업체가 무엇을 받는지 확인하세요. 외부 서비스를 쓰는 것 자체는 취약점이 아닙니다.

### 동의 전 추적

GDPR 같은 개인정보 보호법은 보통 필수적이지 않은 추적 전에 동의를 요구합니다. 스캐너는 당사 서버에서 페이지를 한 번 불러오며 아무것도 수락하지 않습니다. 동의 도구는 국가에 따라 다르게 동작할 수 있으니 직접 설정도 확인하세요.

### 오래된 JavaScript 라이브러리

jQuery, jQuery UI, Bootstrap, AngularJS, Lodash, Moment.js가 버전을 드러내면 알아볼 수 있습니다. 해당 라이브러리나 이를 포함한 테마 또는 플러그인을 업데이트한 뒤 사이트를 테스트하세요.

### 스크립트 무결성 검사

Subresource Integrity를 쓰면 브라우저가 바뀐 스크립트 파일을 거부할 수 있습니다. CDN의 버전 고정 파일에 알맞습니다. 태그 관리자처럼 일부러 바뀌는 스크립트에는 맞지 않습니다.

### 웹사이트 플랫폼 버전

버전 번호가 들어간 generator 태그는 자동화된 공격의 표적이 되기 쉽게 만듭니다. 가능하면 지우고 플랫폼, 테마, 플러그인을 최신으로 유지하세요. 버전을 숨겨도 고쳐지는 것은 없습니다.

## 개인정보 안내

Mecanik Dev Ltd는 악용을 막고 불만이나 법적 요청에 답하기 위해 모든 스캔의 기록을 보관합니다. 기록에는 웹사이트, 시각, 안내문 버전, 고객님의 IP 주소, 브라우저와 기기 정보, IP 주소로 추정한 대략적인 위치가 들어 있습니다. 이 기록은 30일 동안 보관한 뒤 삭제합니다. 마케팅에는 사용하지 않으며 법률에서 요구할 때만 공유합니다.

호스팅 및 보안 제공업체는 서비스와 봇 방지 확인을 운영하기 위해 IP 주소를 처리하며, 자체 로그를 보관합니다. 스캔에 동의한 것이 마케팅에 동의한 것은 아닙니다. PDF는 사용 중인 브라우저가 직접 만듭니다.

관리자 연락처, 데이터 권리, 서비스 제공자 정보는 기본 개인정보 처리방침을 확인하세요.

보고서를 공개하면 도메인, 스캔 시각, 결과를 최대 90일 동안 보관합니다. 공개 목록에는 웹사이트마다 최신 보고서가 표시됩니다. 비공개 스캔은 그곳에 저장되지 않습니다. 이전 공개 보고서는 만료되거나 삭제될 때까지 유지됩니다. 공개 보고서에는 방문자의 IP 주소, 브라우저 정보, 허가 기록, 쿠키 값이 절대 포함되지 않습니다.

테마 선택은 이 브라우저에 저장됩니다. 언어 변경 시 재검사가 필요하지 않도록 현재 보고서는 이 탭의 세션 저장소에 유지됩니다. 저장된 설정과 결과를 지우려면 브라우저 저장소를 삭제하세요.