#보안 헤더

X-Powered-By 헤더 한 줄, 배포된 소스맵 한 개가 프레임워크와 정확한 버전을 알려준다. 공격자는 그 버전에 맞는 공개 익스플로잇만 골라 쓰면 된다. 노출 경로 6가지와 제거 설정을 정리했다.

클릭재킹은 투명한 iframe으로 사용자의 클릭을 가로채 의도치 않은 동작을 시키는 공격입니다. 원리와 X-Frame-Options·CSP frame-ancestors로 막는 자가 점검법을 설명합니다.

Content Security Policy의 nonce는 XSS 후방어의 핵심이지만, 70% 이상의 SaaS가 정적 nonce·예측 가능한 nonce·strict-dynamic 누락으로 우회 가능한 상태다. 표준 …

내 사이트에도 이 문제가 있을까?