자물쇠는 켜졌습니다
그 자물쇠가 지키지 않는 것이 남습니다

03WHY

왜 여기서 갈리나

자물쇠는 남이 켜 줍니다. 자물쇠 바깥은 우리가 켜야 합니다. 두 무리의 값이 갈리는 이유는 그것 하나입니다.

1. 01
   인증서는 호스팅이 켜 준다

   무료 인증서가 자동으로 발급되고 갱신됩니다. 사이트를 만든 사람이 아무것도 안 해도 되는 자리라 값이 높습니다.

2. 02
   나머지는 아무도 안 켜 준다

   HSTS · 쿠키 속성 · 프레임 차단은 기본값이 없습니다. 누군가 한 번 설정하지 않으면 영원히 없습니다.

3. 03
   그리고 안 켜도 아무 일이 안 일어난다

   화면이 깨지지도 느려지지도 않습니다. 고칠 이유가 화면에 나타나지 않는 항목이라 목록에서 늘 뒤로 밀립니다.

4. 04
   자물쇠가 다 된 것처럼 보인다

   주소창에 자물쇠가 뜨면 끝난 것으로 읽힙니다. 이 착시가 나머지를 덮습니다 — 이 글의 제목이 그것입니다.

07FAQ

자주 묻는 질문

HTTPS만 켜면 보안은 끝나는 것 아닌가요?

아닙니다. HTTPS 는 브라우저와 서버 사이에서 오가는 내용을 남이 못 읽게 합니다. 그 연결 밖에서 생기는 일은 막지 못합니다. 첫 요청이 http 로 나가는 것, 쿠키가 암호화되지 않은 연결로 딸려 가는 것, 우리 화면이 남의 페이지 안에 덮여 뜨는 것은 전부 자물쇠가 켜진 상태에서도 그대로 일어납니다.

첫 요청이 http로 나간다는 것이 무슨 뜻인가요?

주소창에 도메인만 치면 브라우저는 http 로 먼저 갑니다. 서버가 https 로 넘겨 주더라도 그 한 번의 왕복은 암호화되지 않습니다. 같은 네트워크에 있는 사람이 그 순간을 가로챌 수 있습니다. HSTS 는 브라우저에게 "다음부터는 묻지 말고 https 로 오라"고 기억시켜 그 한 번을 없앱니다.

쿠키 설정은 왜 따로 봐야 하나요?

쿠키에 Secure 가 없으면 브라우저는 그 쿠키를 http 요청에도 실어 보냅니다. 로그인 상태를 들고 있는 쿠키라면 그 순간 세션이 통째로 노출됩니다. HttpOnly 가 없으면 페이지에서 도는 스크립트가 쿠키를 읽을 수 있어서, 스크립트 하나가 끼어드는 순간 같은 일이 일어납니다.

쿠키 항목의 표본이 왜 다른 항목보다 적나요?

쿠키를 하나도 굽지 않는 사이트에서는 판정할 것이 없어서 세지 않습니다. 저희는 판정된 것만 분모에 넣고 분모를 항상 함께 적습니다. 표본이 적은 항목을 큰 수처럼 말하지 않기 위해서입니다.

인증서만 자동으로 갱신되면 되는 것 아닌가요?

갱신은 필요조건입니다. 갱신이 도는지 아무도 안 보고 있으면 끊긴 다음에 압니다. 특히 HSTS 를 길게 걸어 둔 상태에서 인증서가 끊기면 방문자는 우회할 방법이 없습니다. 저희는 만료 30일 전부터 주의를 띄우고, 저희 사이트에서도 같은 감시를 돌립니다.