보안헤더2 728x90 콘텐츠 보안 정책(CSP) 처음 적용하는 법 — 보고 모드에서 시작해 단계별로 조이기 CSP(Content-Security-Policy)는 "이 페이지는 어떤 출처의 스크립트·스타일·이미지만 실행·표시한다"를 브라우저에 알려 주는 응답 헤더입니다. 제대로 걸리면 XSS 로 주입된 스크립트가 실행 자체가 막히므로 가장 강력한 방어선이 됩니다. 문제는 처음부터 강하게 걸면 사이트가 바로 깨진다는 것. 그래서 보고 모드로 시작해 단계별로 조이는 순서가 정석입니다.1단계 — 보고 모드로 현황 보기Content-Security-Policy-Report-Only: default-src 'self'; report-uri /csp-reportReport-Only 는 아무것도 막지 않고 위반만 보고합니다. 브라우저 콘솔에도 뜨고, /csp-report 로 JSON 이 POST 됩니다. 이 보고를 일주일쯤.. 2026. 6. 10. Nginx 역방향 프록시에 TLS 와 보안 헤더 제대로 붙이기 애플리케이션 앞에 Nginx 를 두는 이유는 TLS 를 한곳에서 끝내고, 보안 헤더를 한곳에서 붙이고, 백엔드는 그 뒤에서 단순하게 두기 위해서입니다. 그런데 '일단 돌아가게' 만든 설정은 보통 이 셋 중 하나가 빠져 있습니다. 아래는 가장 흔한 구성(Let's Encrypt + 백엔드 127.0.0.1:8080)을 기준으로 한 최소한의 올바른 설정입니다.1. 인증서 — certbot 과 자동 갱신sudo apt install certbot python3-certbot-nginxsudo certbot --nginx -d example.com -d www.example.comsystemctl list-timers | grep certbotcertbot 이 server 블록에 인증서 경로를 넣어 줍니다. 갱.. 2026. 6. 8. 이전 1 다음 728x90 728x90
