medium
앱에 보안 헤더를 추가하는 방법
문제점
AI가 생성한 앱은 거의 항상 보안 헤더 없이 배포되어, 클릭재킹, 프로토콜 다운그레이드, 콘텐츠 인젝션 공격에 노출됩니다. 헤더를 추가하는 것은 빠르고 효과가 큽니다.
단계별 안내
- 1
Strict-Transport-Security(HSTS) 추가하기
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload로 HTTPS를 강제하세요.
- 2
Content-Security-Policy 추가하기
엄격하게 시작해, 실제로 스크립트, 스타일, 프레임을 불러오는 출처만 허용 목록에 넣으세요.
- 3
X-Content-Type-Options와 X-Frame-Options 추가하기
X-Content-Type-Options: nosniff와 X-Frame-Options: DENY(또는 frame-ancestors CSP)를 설정해 스니핑과 클릭재킹을 막으세요.
- 4
결과 검증하기
배포 후 URL을 다시 검사해, 실제 응답에 이 헤더들이 있는지 확인하세요.
고치는 것을 넘어, 확인까지 받고 싶으신가요?
고치는 것은 첫 단계일 뿐입니다. ClearedToShip 검토는 수정이 실제로 유효한지 확인하고, 출시할 수 있도록 서명되고 보험으로 보증된 승인을 제공합니다. 얼리 액세스를 신청하세요: