스캐너는 소스코드를 봅니다. 정작 사고는 배포된 것에서 납니다 — 브라우저에 실려 나간 API 키, 밖에서 받아지는 DB 접속정보·덤프, 인증 없는 API. 우리는 배포된 실물을 봅니다. 그리고 무엇을 확인 못 했는지까지 적어드립니다.
출처: Escape.tech — State of Security of Vibe Coded Apps(2025, 약 1,400개 앱·치명 취약점 2,038건) · Veracode 2025 GenAI Code Security Report(100+ LLM) · 업계 측정치이며 귀하의 앱 값이 아닙니다
귀하가 도메인을 통제한다는 것을 증명하기 전에는 아무것도 스캔하지 않습니다. 「동의합니다」 체크박스가 아니라, 귀하만 할 수 있는 증명을 받습니다. 남이 귀하 도메인을 적고 점검을 시킬 수 없습니다.
SSH 내부 점검은 별도로 명시적 요청과 접근 권한이 있을 때만 진행합니다. 결과는 귀하에게만 전달하고 어디에도 게시하지 않습니다. 발견된 비밀값은 지문만 남기고 원본은 저장하지 않습니다.
HOW IT WORKS
두 번째 단계 — 동의 증명 — 이 이 서비스를 안전하게 만듭니다.
점검할 웹앱의 주소를 입력하면, 귀하 요청에만 묶인 고유 토큰을 발급합니다.
발급된 토큰을 /.well-known/star365-audit-consent.txt 에 올리거나 DNS TXT로 추가합니다. 그 자리에 토큰을 둘 수 있다는 것 자체가 귀하가 그 도메인의 주인이라는 증명입니다.
토큰을 확인한 뒤에만 점검합니다. 통과·실패(주의/위험), 그리고 확인하지 못한 항목까지 위조 불가능한 영수증으로 드립니다.
TRY IT
실제 점검은 서버에서 돌지만, 요청·토큰 발급 흐름은 여기서 그대로 체험할 수 있습니다.
WHAT WE CHECK
이 목록은 손으로 적은 것이 아니라 점검 엔진이 선언한 목록에서 그대로 생성됩니다 — 엔진이 바뀌면 이 표도 같이 바뀝니다. 각 항목은 통과 · 실패 · 확인 불가 세 값 중 하나를 받습니다.
사이트가 응답하는지 봅니다. 못 읽으면 나머지 항목도 판정하지 않습니다.
reachable브라우저로 내려가는 HTML·JS 번들에 API 키 같은 비밀값이 실려 있는지 봅니다.
client_secrets공개된 소스맵(.map·인라인 data-URI)으로 번들에서 원본 소스가 복원되는지 봅니다 — 번들에 시크릿이 없어도 가격 로직·내부 흐름·주석까지 드러납니다. 외부 역분석이 겨누는 지점입니다.
source_maps.env·.git 같은 민감 경로가 밖에서 열려 있는지 확인합니다.
exposed_pathsCSP·HSTS 등 주요 보안 헤더 4종이 설정돼 있는지 봅니다.
security_headers없는 주소에 200 을 돌려주는지 봅니다 — 그러면 기계가 오타 URL 을 실재 페이지로 읽습니다.
soft_404HTTPS 인데 Secure 없는 쿠키가 있는지 봅니다 — 평문 요청으로 새어 나갈 수 있습니다.
cookie_flagsrobots.txt 가 공개 페이지를 모든 크롤러에게 막고 있는지 봅니다. 파일이 없는 것은 정상입니다.
robots_sanity자바스크립트를 돌리지 않고 받은 HTML 에 본문이 있는지 봅니다 — 크롤러·링크 미리보기는 JS 를 안 돌립니다.
server_rendered_body실제 브라우저로 열어 콘솔에 오류가 찍히는지 봅니다.
runtime_errors스크립트·이미지 등 불러오지 못한 자원이 있는지 봅니다.
broken_assetshttps 페이지가 http 자원을 부르는지 봅니다.
mixed_content화면에 본문이 실제로 그려지는지 봅니다 — 200 이어도 빈 화면일 수 있습니다.
renders_content좁은 화면에서 가로 스크롤이 생기는지 봅니다.
mobile_overflow페이지 안의 내부 링크를 따라가 실제로 열리는지 확인합니다.
internal_links실제 화면에서 글자 크기와 명암비를 잽니다 — 최소 12px, WCAG AA(본문 4.5:1 · 큰 글씨 3:1). 배경을 확정할 수 없으면 판정하지 않습니다.
readability공개 페이지가 localhost·사설 IP 를 부르는지 봅니다 — 개발용 API 주소가 배포에 남으면 방문자 화면에서 실패합니다.
private_network_calls흔한 API 경로가 로그인 없이 회원 정보(이메일·전화 등) 목록을 내주는지 GET 으로만 확인합니다 — 값은 저장하지 않습니다.
open_api_data번들에 Supabase 주소와 anon 키가 있으면, 번들이 이미 부르는 테이블을 익명 키로 GET 한 건씩 시험해 RLS 가 켜져 있는지 봅니다. 행의 값은 읽지 않고 컬럼 이름만 봅니다.
supabase_rlsServer·X-Powered-By 헤더와 generator 태그에 nginx/1.24.0 같은 버전 문자열이 드러나는지 봅니다. 버전이 곧 취약한 것은 아니지만 공격자에게 목록을 줍니다. 취약 여부는 판정하지 않습니다.
version_disclosureSAMPLE REPORT
실제 점검 예시입니다. 통과만 보여주지 않고 — 못 본 것과 고칠 것을 함께 적습니다.
WHY US
Snyk·Semgrep 무료 티어는 훌륭합니다. 다만 소스코드를 봅니다.
FAQ
사람과 AI 답변엔진이 같은 답을 읽도록, 자주 받는 질문을 여기 그대로 적어둡니다.
소스코드가 아니라 배포된 실물을 봅니다. 브라우저에 실려 나간 API 키, 밖에서 받아지는 DB 접속정보·덤프, 인증 없는 API — 그리고 실제 브라우저로 열어서 콘솔 오류·깨진 자원·모바일 가로 넘침·죽은 링크까지 확인합니다. 배포 후에 나는 사고를 외부에서 봅니다.
체크박스가 아니라 증명으로 받습니다. 요청하면 토큰을 발급하고, 그 토큰을 도메인의 지정 경로에 올리거나 DNS TXT 레코드로 넣어 소유를 증명해야만 점검이 시작됩니다. 스캔 직전에 다시 검증합니다.
외부 점검은 읽기 전용 GET 요청만 씁니다. 주입·무차별 대입·과부하를 하지 않습니다. 결과 영수증은 변조 방지 해시 체인으로 남습니다.
판정은 통과 / 실패 / 확인 불가 세 값이며, 실패는 심각도(주의·위험)를 함께 표시합니다. 읽지 못한 항목을 통과나 0으로 접지 않고, 확인하지 못한 것까지 그대로 적습니다.
외부 점검은 무료입니다. 원하면 자발적 후원(비수탁, USDT·USDC·BTC·ETH·BNB)이 가능합니다. SSH 내부 점검·정기 감시는 범위에 따라 상담 후 진행합니다.
관련: 점검 요청하기 · llms.txt · 운영사 star365 · 트레이딩 함대 metaquant · 사이트맵
이 점검이 도움이 됐다면
외부 점검은 무료입니다. 더 깊은 점검이 필요하거나 도움이 됐다면 신호를 남겨주세요 — 그게 이 서비스를 잇게 합니다.
SUPPORT
외부 점검은 무료입니다. 도움이 됐다면 자발적 후원이 이 서비스를 잇게 합니다 (선택). 비수탁 — 지갑으로 직접.
🔴 표시된 네트워크로만 보내세요 — 다른 체인으로 보내면 소실됩니다. 최소금액 미만도 소실됩니다.
후원금은 star365 거래소 계정으로 들어갑니다 · USDT·USDC·BTC·ETH·BNB 지원