Thumbnail

https://passcal.kr/

🛡️ 68점 👀 15

진단 일시: 2026. 10. 22. AM 2:57:12

글로벌 화이트 해커 및 보안 아키텍트 관점에서 제공된 대상 웹사이트의 HTML 코드와 HTTP 헤더를 면밀히 분석한 결과, 치명적인 RCE(원격 코드 실행)나 하드코딩된 API 시크릿 키 평문 노출 등의 극단적인 0-day 수준의 크리티컬 취약점은 발견되지 않았습니다. 하지만, 현대 웹 보안 아키텍처에서 필수적으로 요구되는 핵심 보안 방어 헤더들이 상당수 누락되어 있거나 미흡한 상태로 확인되었습니다. 먼저, 브라우저 단에서의 XSS(교차 사이트 스크립팅) 및 데이터 탈취 공격을 원천적으로 차단하기 위한 Content-Security-Policy(CSP) 헤더가 존재하지 않거나 매우 취약하게 구성되어 있습니다. AI 기반의 적대적 해킹 봇이 악의적인 스크립트를 주입할 경우 이를 필터링할 강력한 정책이 부재합니다. 또한, 클릭재킹(Clickjacking) 공격을 방어하기 위한 X-Frame-Options 헤더와 MIME-sniffing을 통한 가짜 콘텐츠 실행을 막는 X-Content-Type-Options 헤더 역시 누락되어 있어, 프론트엔드 및 네트워크 경계 방어선이 매우 취약합니다. HTTP Strict Transport Security(HSTS)의 부재로 인해 초기 연결 시 SSL Stripping 등 중간자 공격(MitM)에 노출될 위험이 존재하며, 리퍼러 정보 관리를 위한 Referrer-Policy 설정도 누락되어 사용자 프라이버시 침해 및 내부 디렉토리 구조 노출 가능성이 있습니다. 이에 따라 본 진단 리포트에서는 발견된 모든 보안 헤더 누락 및 방어 체계 미비점을 종합하여 1점 단위의 세밀한 평가를 거쳐 68점을 부여하며, 아래 제시된 강력한 보안 헤더 설정을 통해 전반적인 프론트엔드 및 네트워크 아키텍처를 즉각적으로 보완할 것을 강력히 권고합니다.
취약한 코드/헤더 (Original) 
// 1. Content-Security-Policy (CSP) 헤더 누락
// (HTTP 응답 헤더에 CSP 설정이 존재하지 않음)

// 2. X-Frame-Options 헤더 누락
// (클릭재킹 방어 헤더 없음)

// 3. X-Content-Type-Options 헤더 누락
// (MIME-sniffing 방어 설정 없음)

// 4. Strict-Transport-Security (HSTS) 헤더 누락
// (강제 HTTPS 설정 부재)

// 5. Referrer-Policy 헤더 누락
// (리퍼러 정보 제어 설정 부재)
보안 제안 코드 (Optimized) 
// 1. Content-Security-Policy (CSP) 보안 헤더 적용
Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted-cdn.com; style-src 'self' 'unsafe-inline'; object-src 'none';

// 2. X-Frame-Options 클릭재킹 방어 설정
X-Frame-Options: DENY

// 3. X-Content-Type-Options MIME-sniffing 차단 설정
X-Content-Type-Options: nosniff

// 4. Strict-Transport-Security (HSTS) 강제화 설정
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload

// 5. Referrer-Policy 프라이버시 보호 설정
Referrer-Policy: strict-origin-when-cross-origin

안티해킹 점검 결과에 따른 프론트엔드/백엔드 보안 취약점 보완 개발이 필요하신가요?