설정 화면에 그 항목이
아예 없습니다

02WHAT IT LEANS ON

쿠키가 기대는 것

쿠키 속성은 혼자 서지 않습니다. 암호화된 연결에서만 보내라는 표시는 그 연결이 실제로 암호화될 때만 뜻이 있습니다.

★ 주소창에 http 로 한 번 들어오는 그 첫 요청이 문제입니다. 사이트가 곧바로 https 로 돌려보내도 그 한 번에 쿠키가 평문으로 실립니다. 쿠키의 Secure 표시는 그 한 번을 막고, HSTS 는 그 한 번 자체가 일어나지 않게 합니다 — 같은 구멍을 다른 쪽에서 막습니다.

그런데 위 표에서 보시듯 돌려보내는 쪽은 대개 되어 있고 기억시키는 쪽은 아닙니다. 자물쇠 이야기는 HTTPS 착시에 이어서 적었습니다.

04WHERE TO START

무엇부터 하면 되나

어디서 굽는지부터 셉니다. 그것을 모르면 무엇을 고칠지 정할 수 없습니다.

1. 01
   지금 나가는 쿠키를 셉니다

   브라우저 개발자 도구의 저장소 탭에 이름과 속성이 그대로 보입니다. 몇 개가 어디서 오는지가 첫 그림입니다.

2. 02
   세션 쿠키부터 고칩니다

   로그인 상태를 담은 쿠키가 가장 값이 큽니다. 대개 한 곳에서 굽고, 그 한 줄이 가장 많이 막습니다.

3. 03
   Secure 와 HttpOnly 를 먼저 붙입니다

   이 둘은 켜서 깨지는 경우가 드뭅니다. 스크립트가 그 쿠키를 읽고 있었다면 그때 드러나는데, 읽고 있었다는 사실 자체가 볼 거리입니다.

4. 04
   SameSite 는 왕복을 확인하고 조입니다

   결제·소셜 로그인처럼 다른 사이트를 다녀오는 길이 있으면 먼저 그 길을 확인합니다. 조이는 단계가 여럿이라 한 번에 가장 센 값으로 가지 않습니다.

항목마다 무엇을 보는지는 항목 설명에 적어 두었습니다 — 진단 항목 전체 보기.

08FAQ

자주 묻는 질문

쿠키 보안 속성이 무엇인가요?

브라우저에게 이 쿠키를 어떻게 다루라고 함께 보내는 표시입니다. 암호화된 연결에서만 보내라(Secure), 스크립트가 읽지 못하게 하라(HttpOnly), 다른 사이트에서 온 요청에는 싣지 말라(SameSite) 세 가지가 기본입니다. 셋 다 쿠키를 굽는 쪽에서 한 번에 정합니다.

왜 헤더보다 고치기 어려운가요?

보안 헤더는 웹서버 설정에 한 줄이면 되지만 쿠키는 그것을 굽는 코드가 정하기 때문입니다. 대부분은 CMS나 플러그인, 로그인 모듈이 굽고 있어서 어디서 굽는지부터 찾아야 합니다. 설정 화면에 그 항목이 아예 없는 경우도 많습니다.

Secure를 붙이면 무엇이 달라지나요?

그 쿠키가 암호화되지 않은 연결로는 아예 나가지 않습니다. https를 쓰고 있어도 방문자가 주소창에 http로 한 번 들어오면 그 첫 요청에 쿠키가 평문으로 실립니다. Secure는 그 한 번을 막고, HSTS는 그 한 번 자체가 일어나지 않게 합니다. 둘은 같은 구멍을 다른 쪽에서 막습니다.

쿠키를 안 쓰면 이 항목은 어떻게 되나요?

판정하지 않습니다. 통과도 실패도 아니고 그냥 해당이 없습니다. 그래서 이 표의 분모는 다른 항목보다 작습니다 — 쿠키를 굽는 사이트들 중에서 센 값이라는 뜻입니다.

이 표의 수치는 국내 사이트 전체의 통계인가요?

아닙니다. 저희 무료 진단을 받은 사이트들의 집계이고, 저희 진단을 눌러 보신 곳이라는 점에서 표본 자체가 한쪽으로 치우쳐 있습니다. 표본 수와 집계 시점을 항상 함께 적고, 표본이 모자라는 항목은 수를 내지 않습니다.