보안10분
X-Forwarded-For 신뢰 경계: 덧붙이는 프록시와 덮어쓰는 플랫폼
요청 제한을 분당 30회로 걸어 두었습니다. 접근 로그에는 같은 초에 수백 건이 찍혀 있는데 429는 한 건도 없습니다.
전체 태그
#security 10개 글
- 보안9분
업무 시스템 보안 단계적 도입: 1단계 기준선과 나중에 붙일 것
첫 고객의 업무 시스템을 만들기 시작하면 보안 항목 목록이 금세 길어집니다. MFA, 세션, 감사 로그, 백업, 접근 통제, SSO, 기기 인증, 로그 중앙화, 전용 네트워크. 목록을 다 채우고 시작하려 하면 업무 기능을 만들기 전에 인프라 설정으로 몇 주가 지나갑니다.
- 보안11분
업무 시스템 보안 구성: MFA, 세션, WAF, RBAC, RLS
사내 업무 시스템을 만들 때 자주 나오는 질문이 있습니다. 「앞에 Cloudflare Access 같은 걸 두면 보안은 끝나는 것 아닌가요?」
- 웹 인프라7분
커널 패치는 왜 재부팅해야 적용될까? Livepatch 와 자동 재부팅
새로 만든 서버를 점검하다가 이걸 봤습니다.
- 보안9분
이미지 프록시를 공개했다가 내부 네트워크까지 열어버린 이유
외부 이미지 URL을 받아 서버가 대신 내려받아 주는 프록시는 편리합니다. 브라우저의 CORS 제약을 피할 수 있고, 이미지 형식을 통일하거나 변환 결과를 캐시하기도 쉽습니다.
- 보안9분
Base64는 암호화가 아니다: 브라우저 Vault의 v2 봉투 암호화
모바일 서명 파일이나 환경설정을 백업하다 보면 값 대부분이 Base64처럼 보일 때가 있다. 이때 가장 먼저 구분해야 할 사실이 있다.
- 보안11분
개발 키가 많아질수록: Bitwarden으로 비밀번호와 시크릿을 나누는 법
서비스를 운영하다 보면 GitHub 토큰, 데이터베이스 비밀번호, API 키, 배포 인증서, 백업 암호화 키가 빠르게 늘어납니다. 처음에는 비밀번호 관리 앱의 메모나 여러 .env 파일에 저장해도 괜찮아 보이지만, 키가 많아질수록 “무엇이 최신인지”, “개발용인지 운영용인지”, “어디에서 사용 중인지”를 판단하기 어려워…
- 웹 인프라10분
웹사이트 공개 전 무료 점검 도구: 속도·보안·접근성·SEO 한 번에 확인하기
웹사이트는 화면과 기능이 완성됐다고 바로 공개할 수 있는 상태가 되는 것은 아닙니다. 실제 사용자가 느끼는 속도, HTTP 보안 헤더, HTTPS 설정, 키보드 접근성, 구조화 데이터, DNS 설정은 서로 다른 문제입니다.
- 웹 인프라15분
웹사이트 구축 후 운영 설계: 측정·콘텐츠·보안·백업
웹사이트는 공개 버튼을 누르는 순간 완성되는 것이 아니라 운영이 시작된다. 담당자, 지표, 콘텐츠 갱신, 보안 업데이트, 백업과 복구 절차가 없으면 잘 만든 사이트도 빠르게 낡는다. 이 글에서는 소규모 팀도 지속할 수 있는 웹사이트 운영 체계를 만드는 방법을 다룬다.
- 웹 인프라3분
HSTS 설정 전 알아야 할 옵션과 안전한 적용 순서
HSTS(HTTP Strict Transport Security)는 브라우저에 “이 도메인은 항상 HTTPS로만 접속해야 한다”고 알려주는 보안 정책입니다. 잘 설정하면 중간자 공격과 SSL stripping을 줄일 수 있지만, 성급하게 적용하면 장애 복구가 어려워질 수 있습니다.