도구
웹사이트 보안 점검
웹사이트가 공개 인터넷에 노출하는 정보를 안전한 수동형 방식으로 점검합니다.
점검 항목
전송 보안
- HTTPS 사용 가능 여부
- HTTP → HTTPS 리디렉션
보안 헤더
- Strict-Transport-Security (HSTS)
- Content-Security-Policy
- X-Content-Type-Options
- 클릭재킹 방어
- Referrer-Policy
- Permissions-Policy
정보 노출
- PHP 버전 노출
- 서버 소프트웨어 정보 노출
쿠키
- 쿠키 보안 속성
노출된 파일
- Git 저장소 메타데이터 (/.git/) — /.git/HEAD
- 환경 설정 파일 (/.env) — /.env
- phpinfo() 페이지 — /phpinfo.php, /info.php
- 워드프레스 설정 백업 파일 — /wp-config.php.bak, /wp-config.php~
- 워드프레스 디버그 로그 — /wp-content/debug.log
- Apache server-status 페이지 — /server-status
- macOS .DS_Store 파일 — /.DS_Store
취약점 신고 정책
- security.txt
절대 하지 않는 것
- 취약점 악용 또는 공격 페이로드 전송
- 비밀번호 추측 또는 로그인 폼 테스트
- 사이트 크롤링, 포트 스캔, 경로 퍼징
- POST 요청 전송 또는 서버 내용 변경
- 점검 결과 저장
내장된 안전 장치
표준 포트를 사용하는 공개 도메인만 점검할 수 있습니다. DNS 응답과 모든 리디렉션을 검증하여 사설 네트워크를 대상으로 삼을 수 없게 하며, 각 점검에는 엄격한 시간 제한과 응답 크기 제한이 적용됩니다.