점수가 아니라
고칠 수 있는 목록입니다

무엇이 문제인가

관리자 로그인 화면이 인터넷 어디에서나 열립니다. 비밀번호가 강해도 시도 자체를 막을 수 없는 상태이고, 자동화 도구는 이런 주소를 하루에 수천 번 두드립니다. 침입의 상당수가 취약점이 아니라 여기로 들어옵니다.

근거

$ curl -sI https://example.com/adm/
HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8
Set-Cookie: PHPSESSID=...; path=/; HttpOnly

인증 없이 200 이 돌아옵니다. 리포트에는 요청 시각과 응답 원문이 부록에 함께 실립니다.

직접 확인하는 방법

브라우저 시크릿 창에서 {도메인}/adm/ 을 열어 보십시오. 로그인 화면이 그대로 뜨면 해당됩니다. 회사 밖 네트워크(휴대폰 데이터)에서 확인하시는 편이 정확합니다 — 사무실 IP 가 이미 허용돼 있으면 결과가 달라집니다.

조치

<Directory "/path/to/public/adm">
    Require ip 203.0.113.0/24     # 사무실 고정 IP
    Require ip 198.51.100.7       # VPN 출구
</Directory>

고정 IP 가 없으면 IP 제한 대신 로그인 시도 제한 + 2단계 인증으로 갑니다. 리포트에는 두 경로를 모두 적고, 어느 쪽이 이 사이트에 맞는지 의견을 답니다.