네 가지 일을
하나가 이어서 합니다
보안 도구를 네 개 붙이면 결과도 네 갈래로 흩어집니다. 투멘은 찾고, 설명하고, 고치고, 정말 닫혔는지 확인하는 과정을 한 줄기로 이어 하나의 리포트로 돌려드립니다.
01 — 코드 스캔 · 자세히 보기 →
저장소 안을 읽습니다
언어에 맞는 엔진과 자체 룰셋이 같은 코드를 겹쳐 읽고, 여러 도구가 같은 문제를 잡으면 하나로 합칩니다. 받는 것은 도구별 원문이 아니라 한국어로 정리된 한 장입니다.
- SAST 정적 분석 · 시크릿 라이브 검증 · 오픈소스 취약점(SCA)
- SBOM 자재명세서 · 노후 런타임(EOL)
- 읽는 범위는 저장소 최신 코드 — 커밋 이력은 훑지 않습니다
코드 스캔에 들어가는 것
| SAST 정적 분석 | 언어별 엔진 + 자체 룰셋 |
| 시크릿 | 살아 있는 키만 치명으로 |
| 오픈소스 취약점 | 락파일 전체를 CVE와 대조 |
| SBOM · 노후 스택 | 자재명세서 + 지원 종료 확인 |
02 — 클라우드 점검 · 자세히 보기 →
설정이 열려 있는지 봅니다
사고 대부분은 코드가 아니라 설정에서 납니다. 레포 안의 IaC·설정 파일을 37개 룰로 정적 점검하고, 소유 확인이 끝난 배포 주소는 밖에서 실제로 열리는지 확인합니다.
- 행 수준 보안(RLS)이 꺼진 Supabase 테이블
- 인증 없이 읽히는 데이터베이스와 스토리지
- CORS·보안 헤더·소스맵 노출
두 갈래로 봅니다
| 레포 안 | IaC·설정 파일 37룰 정적 점검 |
| 배포된 주소 | 밖에서 실제 읽기 요청으로 확인 |
| 자격증명 | 클라우드 계정 키는 받지 않습니다 |
03 — 공격 실증 · 자세히 보기 →
정말 열리는지 확인합니다
경고가 쌓이기만 하면 아무도 움직이지 않습니다. 소유 확인과 동의가 끝난 범위 안에서 실제로 문을 두드려 보고, 열린 것만 증거와 함께 보고합니다.
- 자체 프로브 59개 — 만들어지는 요청은 GET·HEAD뿐입니다
- 푸시가 들어오면 다시 점검하고, 지난번 대비 새로 생긴 것만 올립니다
- 프로 플랜에서 제공합니다
실행 조건
| 도메인 소유 확인 | 끝난 자산만 |
| 동의 기록 | 스캔마다 남깁니다 |
| 되돌릴 수 없는 행동 | 코드에서 봉인 |
04 — 대응 · 방어 · 자세히 보기 →
찾는 데서 끝내지 않습니다
수정안을 만들어 격리된 곳에서 다시 스캔하고, 문제가 사라졌을 때만 PR을 올립니다. 승인하고 배포하기까지의 시간은 앱에 넣는 미들웨어가 대신 버팁니다.
- main·master 직접 푸시는 코드에서 차단 — 항상 새 브랜치와 PR로만
- 실시간 방어는 기본이 관찰 모드입니다. 확인한 뒤 차단으로 바꿉니다
- 자동 수정 PR과 인앱 방화벽은 베이직 플랜부터입니다
대응 순서
| 수정안 생성 | 한 번에 한 파일 |
| 격리 재검증 | 문제가 사라졌을 때만 PR |
| 사람 승인 | 코드 수정 PR은 자동 머지 없음 |
| 그 사이 | 인앱 방화벽이 요청을 막습니다 |
먼저 내 저장소부터
확인해 보세요
무료 플랜은 카드 등록 없이 시작합니다.