심화 보안 진단

내 사이트에 정해진 요청을 직접 보내, 공개 코드에 비밀 키가 새는지와 로그와 알림이 이를 잡아내는지 확인합니다.

겉으로 보이는 설정만 보는 기본 진단은 웹 보안 진단에 있습니다.

  1. 도메인 소유 확인이미 했다면 건너뜁니다
  2. 점검 범위 정하고 요청30초에서 1분 걸립니다
  3. 메일로 보고서 받기링크는 90일 동안 열립니다
  4. 로그 확인하고 답하기보고서에서 찾았는지만 고릅니다

도메인 소유를 아직 확인하지 않았다면 소유권 확인부터 하세요.

사이트에 보내는 요청은 최대 22건입니다

  • 비밀 키 점검 요청은 한국 측정 지점 A에서 보냅니다. 확인한 도메인과 그 하위 도메인 밖으로는 보내지 않습니다.
  • 확인용 요청 2건은 Cloudflare 엣지에서 보냅니다. /certdesk-canary-<값>은 접근 로그에 남는지, /.env?certdesk-canary=<값>은 민감 파일을 찾는 모양이라 알림이 오는지 봅니다.
  • User-Agent에 certdesk-active와 진단 번호가 들어 있어 로그에서 이 요청만 골라낼 수 있습니다.

로그인 시도, 공격 문자열, 데이터를 바꾸는 요청은 보내지 않습니다. 고른 속도를 넘지 않고, 찾은 키는 앞 6자와 길이만 남깁니다.

점검 항목 4개 보기

비밀 키 노출

  • 공개 코드에 새는 비밀 키
  • 원본 코드 지도(소스맵) 공개

로그와 알림

  • 테스트 요청이 로그에 남는지
  • 의심 요청에 알림이 오는지

로그인한 상태로 하는 점검(세션 수명, 로그아웃 처리)은 다음 단계에서 엽니다. 인젝션과 원격 코드 실행 점검은 이 진단에 없습니다.

내 사이트
  • 소유권 확인 때 쓴 이메일과 도메인을 그대로 넣습니다. 둘이 짝이 맞아야 진단합니다.
  • 보고서 링크는 이 이메일로만 갑니다.
  • 같은 이메일로는 30분에 한 번, 하루 3번까지 진단할 수 있습니다.
점검 범위
무엇을 볼까요
어느 서버인가요
점검해도 되는 시간

최대 7일. 이 시간 밖에는 요청하지 않습니다.

요청 속도 (초당)

2건이면 대부분 사이트에 부담이 없습니다. 방화벽이 예민하면 1로 낮추세요.

한 줄에 하나씩, /로 시작합니다.

누가 승인하나요

점검 중 문제가 생기면 연락드릴 곳입니다. 점검 기록에만 남고 보고서에는 나오지 않습니다.

수집 이메일, 도메인, 승인자 이름, 연락받을 곳. 목적 심화 진단 실행, 보고서 발송, 점검 승인 기록. 보관 보고서와 승인 기록은 90일 보관 후 자동 삭제, 요청하면 즉시 삭제. 입력을 거부할 수 있지만 그러면 진단할 수 없습니다. 개인정보 처리방침

JWT 토큰 점검

  • 붙여 넣은 토큰은 이 브라우저 안에서만 읽습니다. 서버로 보내지 않습니다.
  • 실제 사용 중인 토큰 대신 만료된 토큰이나 테스트 계정 토큰을 쓰세요.
  • 서명이 진짜인지는 검사하지 않습니다. 비밀 키가 있어야 하기 때문입니다.

소유권 확인 없이 바로 쓸 수 있습니다. 서명 방식, 만료 시각, 외부 키 주소, 토큰에 담긴 개인정보를 봅니다.