한 줄이면 되는 것부터
안 되어 있습니다

02NOT ONE LINE

한 줄로 안 되는 것

콘텐츠 보안 정책(CSP)은 어디서 온 스크립트를 실행할지를 사이트가 직접 적는 헤더입니다. 값이 정해져 있지 않습니다 — 그 사이트가 무엇을 쓰는지 세어야 쓸 수 있습니다.

이 수가 다른 넷과 같은 이야기를 하지 않습니다. 앞의 셋은 값을 알면 끝나지만 CSP 는 외부 스크립트 · 폰트 · 이미지 · 광고 태그를 전부 세어 정책으로 적어야 하고, 하나를 빠뜨리면 화면 일부가 조용히 멈춥니다. 깨지는 쪽이 눈에 보이므로 대부분 시작하지 않습니다.

그래서 보고만 하는 단계가 따로 있습니다. 위반을 막지 않고 기록만 남기는 설정으로 켜서 무엇이 걸리는지 며칠 보고, 목록이 안정되면 막는 단계로 올립니다. 저희 진단은 그 중간 단계를 실패가 아니라 주의로 적습니다 — 정상적인 도입 과정이기 때문입니다.

04WHERE TO START

무엇부터 하면 되나

순서가 있습니다. 되돌릴 수 있는 것부터입니다 — 헤더 중에는 한 번 켜면 방문자 쪽에 기억이 남는 것이 있습니다.

1. 01
   형식 추측과 주소 전달을 먼저 막습니다

   값이 하나뿐이라 고민할 것이 없고 부작용도 사실상 없습니다. 이 둘이 안 되어 있으면 나머지도 대개 안 되어 있습니다.

2. 02
   프레임 차단을 켭니다

   결제나 로그인 화면이 남의 페이지 안에 덮여 뜨는 것을 막습니다. 자사 화면을 프레임으로 쓰고 있다면 그것만 예외로 둡니다.

3. 03
   HSTS는 짧게 시작합니다

   브라우저가 기간만큼 기억하므로 되돌리기 어렵습니다. 짧게 켜고 무사한 것을 본 다음 늘립니다.

4. 04
   CSP는 보고만 하는 단계로 켭니다

   막지 않고 위반만 기록하는 설정이 있습니다. 며칠 기록을 보고 목록이 안정되면 막는 단계로 올립니다.

항목마다 무엇을 보는지와 붙여 쓸 설정은 항목 설명에 적어 두었습니다 — 진단 항목 전체 보기. 자물쇠는 켰는데 왜 아직 부족한지는 HTTPS 착시에 이어서 적었습니다.

08FAQ

자주 묻는 질문

보안 헤더는 무엇인가요?

브라우저에게 이 사이트를 어떻게 다루라고 지시하는 응답 헤더입니다. 화면에는 보이지 않고 페이지 내용도 바꾸지 않습니다. 대신 프레임에 넣기, 형식 추측, 주소 전달, 외부 스크립트 실행 같은 동작의 허용 범위를 정합니다. 대부분 웹서버 설정 파일에 한 줄을 더하는 일입니다.

안 넣으면 지금 당장 문제가 생기나요?

대개 아무 일도 안 생깁니다. 그래서 안 되어 있는 것입니다. 이 헤더들은 공격이 실제로 왔을 때 피해를 줄이는 장치라, 없어도 화면은 멀쩡하고 아무도 불편하지 않습니다. 없다는 사실이 드러나는 순간은 대개 사고가 난 뒤입니다.

CSP만 유독 안 되어 있는 이유는 무엇인가요?

나머지는 값이 정해진 한 줄이지만 CSP는 그 사이트가 무엇을 쓰는지를 알아야 쓸 수 있습니다. 외부 스크립트, 폰트, 이미지, 광고 태그를 전부 세어 정책으로 적어야 하고, 빠뜨리면 화면 일부가 조용히 멈춥니다. 그래서 보고만 하는 단계로 먼저 켜고 위반 기록을 보며 좁혀 갑니다.

HSTS는 왜 신중하게 올리라고 하나요?

브라우저가 그 기간 동안 https 만 쓰겠다고 기억하기 때문입니다. 인증서가 끊기거나 http 로 돌아가야 할 일이 생겨도 방문자는 우회할 수 없습니다. 그래서 짧은 기간으로 시작해서 무사한 것을 보고 늘립니다. 저희 사이트도 지금 그 단계이고 저희 진단에서 주의를 받고 있습니다.

이 표의 수치는 국내 사이트 전체의 통계인가요?

아닙니다. 저희 무료 진단을 받은 사이트들의 집계이고, 저희 진단을 눌러 보신 곳이라는 점에서 표본 자체가 한쪽으로 치우쳐 있습니다. 표본 수와 집계 시점을 항상 함께 적고, 표본이 모자라는 항목은 수를 내지 않습니다.