헤더 몇 줄로
막히는 공격이 있습니다

개발할 때 편하려고 잠깐 다 열어 둔 설정이 그대로 배포되는 일, 생각보다 흔해요. 소유가 확인된 주소에 평범한 요청을 한 번 보내 돌아온 헤더를 읽고, 권장 설정과 나란히 놓고 비교합니다.

점검 대상

소유 확인이 끝난 배포 주소

받게 되는 것

누락 · 오설정 목록 + 고치는 자리

포함 플랜

무료 플랜

무엇을 확인하나요

아무 출처나 그대로 되돌려 주면서 쿠키까지 허용하는 CORS — 로그인해 둔 사용자가 남의 사이트에 들르기만 해도, 그 사이트가 사용자 이름으로 우리 API를 부를 수 있는 상태입니다. 가짜 출처를 실제로 보내 되돌아오는 것만 올립니다
Content-Security-Policy · X-Frame-Options · HSTS · X-Content-Type-Options 누락
설정은 있는데 유효 기간이 하루도 안 되는 HSTS
서버 · 프레임워크 버전을 알려 주는 X-Powered-By 같은 헤더

헤더 점검 (예시)

배포된 주소로 평범한 조회 요청을 보내 응답 헤더를 읽습니다.

권장 설정과 맞춰 무엇이 없고 무엇이 잘못됐는지 정리합니다.

쓰고 있는 호스팅에 맞는 설정 자리(vercel.json · _headers · next.config)를 리포트에 적습니다.

모든 출처 허용(*)이면 위험한 건가요?: 그 자체로는 아닙니다. 브라우저가 *와 쿠키를 같이 쓰지 못하게 막기 때문입니다. 그래서 가짜 출처를 실제로 보내 그게 그대로 되돌아오는 경우만 높음으로 올립니다. 이 구분이 없으면 멀쩡한 사이트가 전부 취약으로 찍힙니다.
헤더 설정도 대신 고쳐 주나요?: 아니요. 코드를 대신 고쳐 올려 주는 요청(PR, pull request)은 코드 결함 · 시크릿 · 의존성에만 만듭니다. 헤더는 어디에 무엇을 넣어야 하는지 리포트에 적어 드리고, 반영은 직접 하십니다.

무료 플랜은 카드 등록 없이 시작합니다.