보안 헤더 점검
Security Header Scan
사이트의 HSTS·CSP·프레임·리퍼러·권한 헤더를 채점하고 무엇을 추가해야 할지 알려 줍니다.
사이트를 단단하게 만드는 헤더는 대개 설정 한 줄이면 되는데, 아무도 확인하지 않아서 대부분의 사이트에 없습니다. 이 도구는 주소를 가져와 돌아온 응답을 채점합니다. HSTS·CSP·프레임·리퍼러·권한 정책을 보고, 빠진 항목마다 넣을 한 줄을 알려 줍니다.
이 도구는 우리 서버가 대신 요청합니다. 입력한 URL만 서버로 전송되고, 브라우저의 쿠키나 로그인 정보는 함께 가지 않습니다. 서버는 공인 주소에만 접속하며 사설망·내부 주소로의 요청은 거부합니다.
사용 방법
주소를 입력합니다
실제로 방문하는 주소를 넣으십시오. 최상위 도메인과 `www`, HTML 문서와 다른 계층이 제공하는 정적 자원 사이에서 헤더가 다른 경우가 잦습니다.
프레임과 전송 관련 헤더를 먼저 고칩니다
`Strict-Transport-Security`와 `frame-ancestors` 지시어는 비용이 없고 화면에 영향도 주지 않으면서 두 종류의 공격을 통째로 막습니다. 여기서 시작하십시오.
CSP는 따로 다룹니다
콘텐츠 보안 정책은 리포트에서 베껴 붙이는 것이 아니라 페이지가 실제로 불러오는 것에 맞춰 만들어야 합니다. 그 일은 CSP 생성 도구가 합니다.
자주 묻는 질문
점수가 좋으면 안전한 사이트인가요?
아닙니다. 응답 헤더 몇 가지가 있다는 뜻일 뿐입니다. 인증·주입 취약점·접근 제어, 그 주소 뒤에서 돌아가는 것에 대해서는 아무 말도 하지 않습니다. 사이트 보안의 알맹이는 여기서 보이지 않습니다.
헤더를 넣었는데 감지되지 않습니다.
실제로 채점된 응답을 확인하십시오. `http`에서 `https`로, 최상위에서 `www`로 가는 리다이렉트가 가져와졌을 수 있습니다. 앞단의 CDN이나 WAF가 원본 설정 뒤에 헤더를 지우거나 더하기도 합니다.
HSTS preload를 켜야 하나요?
현재와 앞으로의 모든 하위 도메인이 HTTPS를 제공할 수 있을 때만 켜십시오. preload는 브라우저에 박히고 해제까지 몇 달이 걸립니다. 먼저 `max-age`를 짧게 두고 확신이 서면 올리십시오.
이 도구로 이어지는 것
HTTP 헤더 확인
HTTP Header Inspector
URL을 요청해 전체 응답 헤더·리다이렉트 경로·소요 시간·사용된 압축 방식을 보여 줍니다.
SSL 인증서 점검
SSL Certificate Checker
호스트에 접속해 인증서 체인·만료일·프로토콜·암호 지원을 보여 주고 체인 누락을 알려 줍니다.
SRI 해시 생성
Subresource Integrity Hash
붙여넣거나 올린 스크립트·스타일시트의 Subresource Integrity 속성(sha256/384/512)을 계산합니다.
CSP 정책 생성
CSP Builder
안내 양식이나 위반 리포트를 바탕으로 CSP를 만들고 각 지시어의 의미를 설명합니다.
다음 단계
이 도구의 결과를 그대로 받을 수 있는 도구들입니다.
CORS 점검
CORS Tester
지정한 출처에서 브라우저가 보낼 프리플라이트와 Origin을 실은 GET 요청을 보내고, Fetch 표준 규칙으로 어떤 헤더 때문에 막혔는지 짚어 줍니다.
CSP 정책 생성
CSP Builder
안내 양식이나 위반 리포트를 바탕으로 CSP를 만들고 각 지시어의 의미를 설명합니다.
HTTP 헤더 확인
HTTP Header Inspector
URL을 요청해 전체 응답 헤더·리다이렉트 경로·소요 시간·사용된 압축 방식을 보여 줍니다.
SSL 인증서 점검
SSL Certificate Checker
호스트에 접속해 인증서 체인·만료일·프로토콜·암호 지원을 보여 주고 체인 누락을 알려 줍니다.
CSV 정리
CSV Cleaner
셀 공백을 정리하고 헤더를 통일하며 숫자·날짜 형식을 고치고 열 수가 어긋난 행을 알려 줍니다.
CSV 결합 (VLOOKUP)
CSV Join
키 열을 기준으로 두 표를 내부·왼쪽·오른쪽·외부 결합하고 짝이 없는 행을 보여 줍니다.