보안 진단은 어떤 순서로 진행되나
01FOUR STEPS
걸음마다 기다리는 것이 다릅니다
진행 걸음 자체는 상품 페이지에 넷으로 적혀 있습니다. 여기서는 그 걸음들이 각자 무엇을 기다리는지만 갈라 놓았습니다 — 기다리는 대상이 다르면 빨리 가는 방법도 다릅니다.
★ 02 만 고객사 손에 있습니다. 나머지 셋은 확인이 끝나면 저희 쪽에서 이어지고, 손님이 하실 일은 없습니다. 그래서 「언제 결과를 받나요」의 답은 대개 「확인이 언제 끝났나」에 달려 있습니다.
☆ 상품에 적힌 3일 은 03 부터 04 까지를 셉니다. 확인을 기다린 날은 그 수에 들어 있지 않습니다 — 문서 제작 일정에서 적은 것과 같은 종류의 구별입니다.
02PROVE IT IS YOURS
첫 걸음 — 소유 확인
저희는 남의 사이트를 진단하지 않습니다. 동의 없는 제3자 사이트 점검은 접근 방식에 따라 법적 문제가 되고, 그 약속을 지키는 장치가 이 걸음입니다. 신청하시면 확인용 값 두 벌을 보내 드리고, 둘 중 하나만 넣으시면 됩니다.
☆ 위 <보내 드린 값> 자리는 신청 뒤에 채워 보내 드립니다. TXT 값은 makesite-site-verification=<보내 드린 값> 모양이고, 파일 안에는 그 값 한 줄만 들어갑니다.
- DNS 를 먼저 봅니다. 그쪽이 실패해도 고객사 웹서버로 요청이 가지 않아 흔적이 남지 않습니다. 파일 쪽은 그다음입니다.
- TXT 는 루트가 아니라 하위 이름에 올립니다. _makesite-verify 아래라 SPF · DMARC 같은 기존 레코드와 한 자리에서 섞이지 않습니다.
- 파일은 문서 루트에 그대로 둡니다. 점으로 시작하는 디렉터리를 막아 두는 호스팅이 있어서, 고객 잘못이 아닌 이유로 확인이 실패하지 않도록 디렉터리를 요구하지 않습니다.
- HTTPS 가 아직 없어도 됩니다. 파일 확인은 http 와 https 를 둘 다 시도합니다. 인증서 문제는 진단 결과로 지적할 일이지 접수를 막을 일이 아닙니다.
- 리다이렉트는 따라가지 않습니다. 확인 파일이 다른 곳으로 넘어간다는 것은 그 경로에 파일이 없다는 뜻입니다. 확인 주소가 다른 페이지로 넘어가도록 설정돼 있으면 그 점을 알려 드립니다.
03DEADLINES
이 걸음에 걸린 기한
기한을 말하는 글은 그 수가 어디서 오는지도 같이 적어야 합니다. 아래 셋은 이 화면이 저희 설정에서 그때그때 읽은 값이고, 점검기가 집행할 때 보는 것과 같은 값입니다.
★ 01 은 서두르실 이유가 아니라 여유입니다. DNS 레코드는 넣자마자 보이지 않는 경우가 있어 퍼질 때까지 기다려야 하고, 그 시간을 감안한 기한입니다. 기한이 지나도 잃는 것은 값 하나뿐이고 다시 신청하시면 됩니다.
☆ 02 는 도메인만 보지 않습니다. 확인은 도메인과 신청 회사를 함께 기록합니다 — 한 곳이 확인해 둔 도메인을 그 기간 동안 다른 곳이 대신 진단할 수는 없습니다.
04IF IT DOES NOT PASS
확인이 안 되면 어떻게 되나
진단이 시작되지 않습니다. 늦게 시작되는 것이 아니라 아예 시작되지 않습니다 — 이것은 사고가 아니라 앞에서 적은 약속이 집행되는 모습입니다.
- 그 도메인으로 아무 요청도 보내지 않습니다. 점검기는 시작하기 전에 확인 여부부터 묻고, 없으면 그 자리에서 멈춥니다.
- 몰래 다시 시도하지 않습니다. 다시 해도 결과가 같고, 그 사이 고객사 서버를 여러 번 두드리게 되기 때문입니다.
- 어디까지 됐는지는 말씀드립니다. 값이 아직 안 보이는 것인지, 값은 보이는데 다른 것인지, 기한이 지난 것인지 — 그 구별을 알려 드립니다.
- 가장 흔한 원인은 전파입니다. TXT 를 넣으셨는데 아직 안 보이는 경우가 대부분이고, 그때는 잠시 뒤 다시 확인하면 통과합니다.
☆ 확인이 어려우시면 다른 방법으로 바꾸셔도 됩니다. DNS 와 파일은 둘 중 하나만 통과하면 되고, 둘 다 요구하지 않습니다 — 어느 쪽이든 통과했다면 그 사이트를 운영하고 계신다는 뜻이기 때문입니다.
05WHILE IT RUNS
점검하는 동안
확인이 끝나면 손님이 하실 일은 없습니다. 다만 고객사 서버에서 무슨 일이 일어나는지는 미리 아셔야 합니다 — 그 서버의 로그에 저희 요청이 남기 때문입니다.
- 한 번에 몰아치지 않습니다. 항목을 잘게 나눠 순차로 실행하고 요청 사이에 간격을 둡니다. 부하 테스트가 아니라 관찰이라 평상시 트래픽보다 적습니다.
- 보는 장수에 상한이 있습니다. 이 상품은 최대 100장까지 봅니다. 그보다 큰 사이트는 상한에서 멈추고, 멈췄다는 사실을 리포트에 적습니다 — 다 본 것처럼 적지 않습니다.
- 로그인해서 들어가지 않습니다. 요청을 보내고 돌아온 응답을 읽을 뿐입니다. 주입 · 권한 우회처럼 시도해야 아는 것은 별도 동의와 계약이 필요한 L3 로 분리돼 있습니다.
- 마지막 걸음은 사람입니다. 자동 판정 결과를 사람이 다시 읽어 오탐을 걸러내고 심각도와 조치 순서를 정합니다. 이 걸음이 무료 자동 도구와의 차이입니다 — 무료와 유료의 차이에 자세히 적었습니다.
☆ 무료 스캔은 이 순서를 지나지 않습니다. 홈 한 장만 보고 요청을 몇 번 보내는 것이라 소유 확인이 없습니다. 여러 장을 크롤하고 경로를 들여다보는 것은 확인된 사이트에서만 합니다 — 무료 스캔은 그래서 바로 받아 보실 수 있습니다.
06FAQ
자주 묻는 질문
보안 진단은 신청하면 바로 시작되나요?
- 소유 확인이 끝난 뒤에 시작됩니다. 신청하시면 확인용 값 두 벌을 보내 드리고, 둘 중 하나만 넣으시면 됩니다. 확인 전에는 저희 점검기가 그 도메인으로 아무 요청도 보내지 않습니다.
소유 확인은 왜 하나요?
- 동의 없는 제3자 사이트 점검은 접근 방식에 따라 법적 문제가 됩니다. 저희는 남의 사이트를 진단하지 않습니다. 신청하신 분이 그 사이트를 운영·관리한다는 사실을 확인한 뒤에만 시작합니다.
DNS 를 만질 수 없는데 어떻게 하나요?
- 파일 한 개를 올리는 방법이 있습니다. 둘 중 하나만 통과하면 됩니다. 문서 루트에 지정한 이름의 텍스트 파일을 올려 주시면 되고, 디렉터리를 새로 만들 필요는 없습니다.
사이트에 HTTPS 가 아직 없는데 확인이 되나요?
- 됩니다. 파일 확인은 http 와 https 를 둘 다 시도합니다. 인증서가 없다는 것은 진단 결과로 알려 드릴 일이지 접수를 막을 일이 아닙니다.
한 번 확인하면 다음에도 또 해야 하나요?
- 확인은 90일 동안 유효합니다. 같은 도메인을 그 기간 안에 다시 진단하실 때는 다시 넣지 않으셔도 됩니다. 확인은 도메인과 신청 회사를 함께 보므로, 다른 곳에서 그 도메인을 대신 진단할 수는 없습니다.
진단 중에 사이트가 느려지지 않나요?
- 항목을 잘게 나눠 순차로 실행하고 요청 사이에 간격을 둡니다. 부하 테스트가 아니라 관찰이라 평상시 트래픽보다 적습니다. 소유 확인 단계에서도 DNS 를 먼저 보기 때문에 확인이 실패해도 서버에 흔적이 남지 않습니다.