Security Blog
보안 블로그
서비스를 만드는 사람을 위한 실무 보안 이야기. 취약점이 생기는 이유와 막는 방법을 정리합니다.
로그인 보안 체크리스트: 출시 전 확인할 12가지
로그인 보안 체크리스트 12가지를 정리했습니다. 계정 존재 여부 노출, 무차별 대입 제한, 재설정 토큰 재사용, 세션·JWT 만료, 소셜 로그인 계정 연결을 출시 전에 직접 점검하는 방법과 수정 코드를 함께 담았습니다.
개인정보 유출 신고 절차: 발견부터 72시간 대응 타임라인
개인정보 유출 신고를 언제, 어디에, 어떤 내용으로 해야 하는지 정리했습니다. 2026년 9월 개정법의 유출 가능성 통지까지 반영해 스타트업이 사고 당일부터 따라 할 수 있는 72시간 타임라인과 통지 문안을 담았습니다.
파일 업로드 취약점: 확장자 검사로 부족한 이유와 안전한 설계
파일 업로드 취약점을 저장 위치·파일명·Content-Type·실행 권한·다운로드 응답 다섯 단계로 나눠 설명합니다. 단계별 서버 검증 코드와 S3 presigned URL에서 놓치기 쉬운 점도 함께 다룹니다.
Next.js 보안 가이드: 미들웨어 인증만 믿으면 생기는 함정
Next.js 보안의 핵심인 인증·인가 위치를 정리합니다. 미들웨어(Proxy)만 믿는 패턴, Server Action·Route Handler 검증 누락, NEXT_PUBLIC_ 환경변수 노출을 취약한 코드와 고친 코드로 비교합니다.
개인정보 안전성 확보조치 기준, 개발자가 구현할 항목
개인정보 안전성 확보조치 기준의 접근권한, 접속기록, 암호화, 인증 조항을 DB 스키마, 로그 설계, 키 관리 같은 개발 작업으로 옮겨 정리했습니다. 작은 팀에도 적용되는지와 실무 체크리스트를 함께 담았습니다.
관리자 페이지 보안 체크리스트: 출시 전 점검 15가지
관리자 페이지 보안을 출시 전에 직접 점검하는 15가지 항목입니다. 접근 경로 제한, 2FA·세션, 메뉴별 권한 분리, 개인정보 조회 로그, 엑셀 내보내기 통제를 항목마다 확인 방법과 통과 기준으로 정리했습니다.
모의해킹과 취약점 진단 차이: 우리 서비스엔 무엇이 맞을까
모의해킹과 취약점 진단의 차이를 범위, 방식, 결과물로 비교합니다. 출시 전, 고객사 요구, ISMS-P 준비 단계별로 어떤 점검을 고르면 되는지, 견적 요청 때 확인할 체크리스트까지 정리했습니다.
Supabase RLS 보안 가이드: anon 키 노출 전제의 정책 설정
Supabase RLS를 켜는 법부터 느슨한 정책, service_role 키 오용 같은 흔한 설정 실수와 고친 코드, 바로 돌려볼 수 있는 점검 SQL과 체크리스트까지 정리했습니다.
결제 금액 변조 취약점: PG 연동 단계별 서버 검증 설계
결제 금액 변조가 주문 생성·결제 승인·검증 중 어디서 일어나는지 PG 연동 흐름을 따라 살펴봅니다. 서버에서 금액을 대조하는 코드, 멱등성 처리 패턴, 실무 체크리스트를 함께 정리했습니다.
IDOR 취약점이란? 주문·예약 API로 보는 원인과 방어법
IDOR 취약점이 주문 조회·예약 취소·파일 다운로드 API에서 생기는 원리를 취약한 코드와 고친 코드로 비교하고, UUID만으로 부족한 이유와 수동 점검 체크리스트까지 정리했습니다.