보안 컨설팅

데이터 노출 진단 + API 보안 컨설팅

최근 유출은 방침이나 HTTPS가 아니라 API 과다 노출과 권한 검증 미흡에서 났습니다. 자동으로 볼 수 있는 곳은 자동으로, 자동으로 확정할 수 없는 곳은 서면 동의 후 사람이 확인합니다.

보안 컨설팅 문의 무료 진단 먼저 해 보기

무료 자동 진단

무료

누구나 · 로그인 불필요

HTTPS·처리방침 100점 진단에 더해 데이터 노출 자동 탐지 결과를 요약 등급으로 보여 드립니다.

점검 내용

숨은 필드 노출·응답 과다 노출
로그인 없이 개인정보를 돌려주는 API
서명·토큰 파일 다운로드 URL(링크는 열지 않음)
클라이언트 코드 시크릿·쿠키 보안 속성
제3자 URL 개인정보·순차 ID(정보성)·소스맵

제공물

노출 등급(A~F·판정 보류)발견 항목 요약자동으로 못 본 것 안내

소유 인증 심층 점검(준비 중)

가격 협의

도메인 소유가 확인된 사업자

소유 인증 뒤 보수적인 능동 점검을 더하고, 항목별 근거와 조치 가이드를 드립니다. 자동 점검은 준비 중이며 지금은 컨설팅으로 진행합니다.

점검 내용

민감 경로 고정 소목록 확인(.env·.git 등 — 퍼징 아님)
CORS 반사 확인(외부 Origin preflight)
인증 유무에 따른 응답 차이 비교

제공물

전체 근거(마스킹 예시·필드 경로)항목별 조치 가이드재점검 1회

전문가 API 보안 컨설팅

가격 협의

서면 동의·범위 합의 후 사람이 수행

자동으로 확정할 수 없는 권한 검증·대량 수집 가능성·위탁 관리를 전문가가 직접 확인합니다.

점검 내용

권한 검증(BOLA/IDOR) — 테스트 계정으로 타인 자료 접근 여부 실검증
로그인 후 응답까지 필드 단위 과다 노출 점검
레이트리밋·안티스크래핑(사전 합의 범위 내)
위탁·재위탁·국외이전 계약 검토
서버 기능별 로그인·권한 검증 누락 전수 점검
파일 다운로드 URL 발급 인가·만료·1회성
사고 시 전체 세션(자동 로그인) 일괄 무효화 체계
유출 대응 체계·외부 접근 로그 분석 가능성(보관기간·필드)
취약점 제보 절차(security.txt·창구) 수립

제공물

진단 보고서·위험 우선순위조치 로드맵재점검 1회(선택) 개발팀 브리핑

정기 관리

가격 협의

월·연 구독

주기적으로 다시 재고, 바뀐 것을 알리고, 분기마다 사람이 검토합니다.

점검 내용

주기적 자동 재점검
변경 감지 알림
분기 수동 리뷰
법령 변경 반영

제공물

대시보드변경 이력정기 리포트

단계별 제공 범위

유료 단계 가격은 범위에 따라 협의

항목	무료 자동 진단	소유 인증 심층 점검(준비 중)	전문가 API 보안 컨설팅	정기 관리
자동 노출 탐지 11종	요약	상세	상세	상세+추이
권한 검증 전수 점검·세션 일괄 무효화·접근 로그 분석	✗	안내	✓	✓
상세 근거·마스킹 예시	✗	✓	✓	✓
능동 점검(경로·CORS·쿠키 없는 요청)	✗	✓ 인증 후	✓	✓
BOLA·권한 우회 실검증	✗	✗	✓ 서면 동의	✓
레이트리밋·위탁·유출 대응	✗	안내	✓	✓
재점검·알림	✗	1회	1회	상시
가격	무료	협의	협의	협의

자동과 수동의 경계

코드와 문서로 함께 지킵니다

자동(수동적 관찰)

익명 브라우저가 페이지를 여는 동안 실제로 받은 응답만 분석합니다.
경로 추측·파라미터 퍼징·ID 열거·인증 시도·권한 우회·추가 요청을 하지 않습니다.
원본 개인정보 값을 저장·표시하지 않습니다. 필드 위치·종류·건수·마스킹 예시만 남기고 응답 본문은 버립니다.

소유 인증 후

도메인 소유(DNS TXT 또는 /.well-known 파일)가 확인된 뒤에만 보수적인 능동 점검을 합니다.

전문가(서면 동의)

권한 우회(BOLA/IDOR)와 부하를 주는 점검은 테스트 계정과 서면 위임이 있을 때만 사람이 수행합니다.

전문가 점검에 필요한 서류

점검 동의서

점검 범위·기간·대상 시스템을 명시합니다.

테스트 계정 2개 이상

서로 다른 사용자로 타인 자료 접근 여부를 확인하는 데 씁니다.

테스트 범위·제외 대상 합의서

운영 영향이 있는 기능·시간대를 미리 제외합니다.

담당자 지정

점검 중 연락·중단 결정을 할 담당자를 정합니다.

권한 우회·부하를 주는 점검은 서면 동의 없이는 수행하지 않습니다.

진행 절차

기간은 범위에 따라 협의

1
무료 자동 진단
첫 화면에서 주소를 넣어 요약 등급을 확인합니다.
2
문의·범위 협의
대상 시스템·필요한 점검·일정과 비용을 협의합니다.
3
소유 인증·서류
도메인 소유를 확인하고 동의서·테스트 계정·범위 합의서를 받습니다.
4
점검 수행
합의한 범위 안에서 자동·수동 점검을 진행합니다.
5
보고서·조치 로드맵
위험 우선순위와 조치 방법을 전달하고, 필요하면 개발팀에 설명합니다.
6
재점검·정기 관리
조치 후 다시 확인하고, 원하면 정기 관리로 이어갑니다.

자동으로 확인 못 하는 항목 — 컨설팅에서 점검합니다

전문가 점검API 객체 권한 검증(BOLA/IDOR)

소유 인증 후응답 필드 최소화(과다 노출)

소유 인증 후인증 유무에 따른 응답 차이

전문가 점검레이트리밋·안티스크래핑

소유 인증 후CORS 반사(Origin reflection) 확인

소유 인증 후민감 경로 노출(.env·.git·백업)

전문가 점검수탁·재위탁 관리(위탁업체 점검)

전문가 점검유출 대응 체계·통지 절차

전문가 점검접속기록 보관·점검

전문가 점검서버 기능별 로그인·권한 검증 누락 전수 점검

소유 인증 후파일 다운로드 URL 발급 인가·만료·1회성

전문가 점검사고 시 전체 세션(자동 로그인) 일괄 무효화 체계

전문가 점검외부 접근 로그 분석 가능성(보관기간·필드)

전문가 점검취약점 제보 절차 수립

자주 묻는 질문

무료 진단이 우리 사이트에 부담을 주나요?

아닙니다. 일반 방문자처럼 페이지를 한 번 열고, 그때 브라우저가 받은 응답만 분석합니다. 추가 요청·경로 추측·로그인 시도를 하지 않습니다.

진단 중에 본 개인정보를 저장하나요?

원문을 저장하지 않습니다. 필드 위치·데이터 종류·건수와 가린 예시만 남기고, 응답 본문은 분석이 끝나면 버립니다.

무료 진단에서 A 등급이면 안전한가요?

익명 방문자에게 보이는 범위에서 뚜렷한 노출이 없다는 뜻입니다. 로그인 후 API·권한 검증·대량 수집 방지는 자동으로 확인할 수 없어 컨설팅에서 점검합니다.

권한 우회(BOLA) 점검을 자동으로 해 줄 수 있나요?

하지 않습니다. 남의 자료에 접근을 시도하는 점검이라 테스트 계정과 서면 동의가 있을 때만 사람이 수행합니다.

법 준수 점수와 노출 등급은 어떻게 다른가요?

100점 점수는 HTTPS·처리방침 등 법정 의무 이행을 봅니다. 노출 등급은 API 응답에 개인정보가 새는지를 보는 별도 축이라 합산하지 않습니다.

비용은 얼마인가요?

무료 자동 진단 외 유료 점검은 대상 시스템과 범위에 따라 협의로 정합니다.

우리 서비스의 API, 한 번 확인해 볼까요?

대상 시스템과 원하는 범위를 알려 주시면 점검 방법과 비용을 협의합니다.

보안 컨설팅 문의 무료 진단

공개된 페이지만 읽는 참고 자료이며 법률 자문이 아닙니다.