API 및 보안

웹 보안 헤더 설정 도구

웹 앱을 안전하게 잠그려면 응답 헤더를 제대로 맞춰야 합니다. 앱을 망가뜨리지 않는 Content-Security-Policy, 서드파티 스크립트에 붙일 Subresource Integrity 해시, 보안 플래그가 달린 쿠키가 그렇습니다. 이 도구들은 가진 헤더나 스크립트로 설정을 운영 전에 작성·확인하게 해줍니다.

CSP 생성기는 실제 요청 없이 초안 정책에 리소스가 어떻게 매칭되는지 테스트할 수 있고, HTTP 보안 헤더 설정 도구는 CORS, HSTS를 포함한 넓은 헤더 집합을 다룹니다. SRI 해시 생성기는 스크립트나 스타일시트의 integrity 값을 만들고, 쿠키 파서는 Cookie와 Set-Cookie를 따로 읽어줍니다.

도구 5개

Web Security Config 도구 전체 보기

Web Security Config 도구 FAQ

Content-Security-Policy가 허용해야 할 스크립트까지 막는 이유는?

CSP는 허용 목록 방식이라 소스 표현식에 명시적으로 매칭되지 않은 것은 기본적으로 차단되며, 인라인 스크립트도 별도로 허용하지 않으면 막힙니다. CSP 생성기는 실제 요청을 보내지 않고도 초안 정책이 특정 리소스 URL에 어떻게 매칭되는지 배포 전에 테스트할 수 있게 해줍니다.

SRI integrity 속성은 실제로 무엇을 막아주나요?

브라우저가 가져온 파일을 해시해 integrity 값과 비교한 뒤에야 실행하게 해서, 변조되거나 손상된 서드파티 스크립트나 스타일시트가 실행되는 것을 막습니다. SRI 해시 생성기는 주어진 스크립트나 스타일시트에 대해 이 해시를 계산해 태그에 바로 추가할 수 있게 해줍니다.

Cookie 헤더와 Set-Cookie 헤더는 어떻게 다른가요?

Set-Cookie는 서버가 쿠키를 만들거나 갱신할 때 보내며 Secure, HttpOnly, SameSite 같은 플래그를 담을 수 있습니다. Cookie는 이후 요청에서 브라우저가 보내며 이름-값 쌍만 담습니다. 쿠키 파서는 둘을 따로 검사해 플래그 문제를 쉽게 찾아줍니다.