설계부터 보안

게시하기 전에, 근거부터 봅니다.

프로젝트는 서로 떨어뜨려 둡니다. 열쇠는 코드 밖에 둡니다. 브라우저로 직접 열어 보고 검사합니다. 그리고 승인은 실제로 올라갈 그 결과물에 묶어 둡니다.

게시 전 검사 보기보안 문의
게시 게이트검사 9종
  • 비밀값
  • DB 접근
  • 권한 DB 함수
  • 인증
  • 브라우저 저장소
  • 주소 이동
  • 커넥터
  • 의존성
  • 결과물 검사

검사 결과와 근거는 그 결과물의 지문에 그대로 붙어 있습니다.

보증 범위

배지 대신 근거를 봅니다.

여기 적은 건 지금 설명할 수 있고 검사할 수 있는 것뿐입니다. SOC 2, ISO, 데이터 보관 지역, “학습에 절대 쓰지 않습니다” 같은 배지는 계약과 운영 기록이 실제로 있을 때만 답니다. 규제받는 데이터를 넣기 전에, 그 배포에 어떤 AI 서버와 어느 지역이 걸려 있는지 먼저 확인해 주세요.

제품 통제

작업하는 내내 보이는 경계 네 가지.

01

신원과 테넌트 경계

소유자·관리자·편집자·뷰어 권한은 서버가 프로젝트와 워크스페이스 단위로 확인합니다. 만들어진 DB는 자기 역할과 행 단위 접근 규칙을 스스로 선언합니다. 템플릿이 익명 방문자에게 관리자 권한을 주는 일은 없습니다.

02

넣을 수만 있는 프로젝트 비밀값

외부 서비스와 AI 서버의 열쇠는 로그인한 경로로만 들어갑니다. 플랫폼 경계에서 암호화되고, 워크스페이스에서 다시 꺼내 볼 수 없습니다. 만들어진 소스에도, 기록에도, 브라우저에도, 내보내기 파일에도 담기지 않습니다.

03

지문에 묶인 게시

소스를 검사하면 지문이 하나 나옵니다. 치명·높음 결함이 남아 있으면 게시를 막습니다. 실제로 켜지는 것은 요청하신 그 판과 그 결과물 검사에 묶입니다 — 검사를 통과한 다른 빌드로 대신하지 않습니다.

04

복구와 절차를 거친 삭제

저장 지점은 소스와 지원되는 데이터를 함께 지킵니다. 되돌리기 전에는 안전 지점을 먼저 만듭니다. 삭제하면 바로 지우지 않고 삭제 표시로 들어간 뒤 범위를 정해 정리합니다. 일반 앱 경로로는 이 절차를 건너뛸 수 없습니다.

보안 센터

게시 전에 아홉 가지를 검사합니다.

검사마다 단계와 상태, 근거, 그리고 다음에 하실 일을 알려 드립니다. 게시 여부는 화면의 체크박스가 아니라 서버가 정합니다.

  1. 01
    비밀값

    소스와 최종 빌드 결과물에 열쇠처럼 생긴 값이 남았는지 찾습니다.

  2. 02
    DB 접근

    행 단위 접근 규칙과 프로젝트별 데이터 경계를 살펴봅니다.

  3. 03
    권한 DB 함수

    다른 사용자 영역까지 넘어가는 DB 함수 호출을 짚어 냅니다.

  4. 04
    인증

    로그인이 필요한 경로에 정리되지 않은 인증 표시가 남았는지 봅니다.

  5. 05
    브라우저 저장소

    브라우저에 오래 남는 저장소에 민감한 값이 들어갔는지 찾습니다.

  6. 06
    주소 이동

    리다이렉트와 iframe, 브라우저에서 코드가 실행되는 자리를 살펴봅니다.

  7. 07
    커넥터

    연결이 덜 끝나 그대로 쓸 수 없는 커넥터 표시를 짚어 냅니다.

  8. 08
    의존성

    패키지와 잠금 파일은 플랫폼이 관리하는 경계 안에서 씁니다. 내려받은 저장소의 취약점 점검은 여전히 출시·CI 쪽 몫입니다.

  9. 09
    결과물 검사

    켜기 직전에, 실제로 올라갈 그 결과물을 한 번 더 검사합니다.

데이터와 외부 서비스

책임이 나뉘는 선을 알아 두세요.

플랫폼이 맡는 것

워크스페이스 권한 확인, 격리된 빌드 공간 준비, 암호화된 프로젝트 비밀값 처리, 게시 전 검사, 판 전환, 백업, 수명 주기 정리입니다.

직접 맡으시는 것

앱에 넣는 데이터, 최종 사용자 역할과 행 단위 접근 규칙, 커넥터가 보낼 대상, 법정 표기, 보관 기간 요건입니다. 게시 전에 그냥 두기로 하신 결함도 여기 들어갑니다.

쓰일 수 있는 하위 처리자

설정에 따라 프로젝트가 Amazon Web Services, Supabase, Anthropic 또는 Z.AI를 씁니다. 여기에 직접 고르신 결제·메시지·지도·배송·사업자 정보 커넥터가 더해집니다. 어디까지가 그 경계인지는 프로젝트 출시 체크리스트가 알려 드립니다. 템플릿 화면만 보고 외부 서비스가 이미 연결돼 있다고 보시면 안 됩니다.

프리뷰의 한계

날짜가 박힌 운영 하위 처리자 목록, 독립 감사 보고서, 공개 장애 이력, 문서로 정한 사고 대응 SLA, 데이터 보관 지역 표는 정식 출시 때 갖출 것들입니다. 이 프리뷰 페이지가 지금 약속하는 내용이 아닙니다.

취약점 제보

재현 경로를 보내 주세요. 진짜 비밀값은 보내지 마세요.

문제가 난 경로, 원래 막혀야 하는 경계, 실제로 나온 결과, 안전하게 확인할 수 있는 예시를 적어 주세요. 인증 정보나 개인정보, 데이터를 망가뜨리는 코드는 보내지 마세요.

보안 문의개인정보처리방침 보기