AI 웹앱 배포 전 보안 체크리스트

1. API 키가 브라우저 번들에 실려 있지 않나요?

브라우저 개발자도구 → Network·Sources 에서 sk-, AKIA, Bearer 같은 문자열을 찾아보세요. 프론트에 둔 키는 누구나 봅니다. 서버(엣지 함수·백엔드)로 옮기세요. — 우리 점검은 실제 서빙되는 번들에서 키 후보를 지문으로 찾습니다.

2. 데이터베이스가 밖에서 열려 있지 않나요?

Supabase 등을 쓴다면 Row Level Security(RLS)가 켜져 있는지, 익명 키로 테이블 전체가 읽히지 않는지 확인하세요. 많은 vibe-coded 앱이 RLS 없이 배포됩니다. — 우리는 밖에서 민감 경로·공개 표면을 읽기 전용으로 확인합니다.

3. 인증 없이 열린 API·경로가 있나요?

/api/*, /admin, /.env, /.git 같은 경로를 로그아웃 상태로 열어보세요. 200 이 뜨면 문제입니다. — 우리는 이런 흔한 경로를 밖에서 점검하고, 확인 못 한 것은 «확인 불가»로 남깁니다.

4. 보안 헤더와 TLS가 설정됐나요?

HTTPS 강제, 유효한 인증서, 그리고 CSP·HSTS·X-Content-Type-Options 같은 헤더를 확인하세요. 없어도 앱은 «돌지만» 공격면이 넓어집니다. — 우리 영수증은 헤더·TLS 상태를 항목으로 적습니다.

5. 스스로 확인 못 하는 것은 어떻게 하나요?

위를 다 해도, 배포 실물 전체를 혼자 훑기는 어렵습니다. 우리는 동의 기반·읽기 전용으로 밖에서 점검하고, 판정은 통과/실패/확인 불가 세 값으로 «못 본 것까지» 정직하게 적어 드립니다 — 무료입니다.

관련: 점검 요청하기 · llms.txt · 운영사 star365 · 트레이딩 함대 metaquant · 사이트맵