OWASP 보안 점검

OWASP 보안 헤더 목록과 OWASP Top 10 중 밖에서 확인할 수 있는 항목(2025년판 A02·A03·A04)을 점검합니다. 크롤링·주입 테스트 없음. 무료, 가입 없음.

호스트를 입력하고 조회하세요.

점검 범위와 한계

DechoNet은 외부에서 관측 가능한 것만 점검합니다: 공개 HTTP 응답과 TLS/인증서. DNS TXT 레코드로 소유를 확인한 도메인이라면, 절대 공개되면 안 되는 잘 알려진 경로 12개(.env, .git, server-status, phpinfo 등)도 요청해 봅니다. 아래 OWASP Top 10 항목은 인증 접근·능동 크롤·주입 테스트가 필요해 이 점검의 범위 밖입니다. "통과"로 표시되지 않는다는 점에 유의하세요 — 안전 보증이 아니라 관측 불가를 뜻합니다.

관측 불가 (별도 능동 테스트 필요)

아래 항목은 외부 관측으로 볼 수 없지만, 이렇게 직접 자가진단할 수 있습니다:

  • A01 접근 통제 실패 (SSRF 포함) — 인증된 세션으로 권한 밖 리소스 접근을 시도해 검증(수동 테스트 또는 OWASP ZAP). A01에 합쳐진 SSRF는 서버측 요청 처리 로직을 코드 리뷰로 확인.
  • A05 인젝션 — 입력값에 SQL·명령·XSS 페이로드를 주입해 검증(ZAP·sqlmap, 소유한 앱에서만).
  • A06 안전하지 않은 설계 — 위협 모델링·설계 리뷰로 검증 — 자동 스캔으로는 확인 불가.
  • A07 인증 실패 — 로그인·세션 관리·MFA·비밀번호 정책을 인증 컨텍스트에서 점검.
  • A08 소프트웨어·데이터 무결성 실패 — CI/CD 파이프라인·의존성 서명·업데이트 무결성을 점검. 첫 화면의 외부 스크립트는 아래에 참고로만 보여 주고 등급에는 넣지 않습니다.
  • A09 보안 로깅·경보 실패 — 로그 수집·알림·모니터링 체계를 내부에서 점검.
  • A10 예외 상황 처리 실패 — 오류가 나면 닫힌 쪽으로 멈추고 내부 정보를 드러내지 않는지, 시험 환경에서 시간 초과·잘못된 입력·의존 서비스 장애를 일부러 일으켜 확인.

Pro 이 상태를 매일 확인하세요

일회성 점검은 지금 이 순간만 보여줍니다. 헤더가 사라지거나, TLS가 다운그레이드되거나, 인증서가 만료에 다가가는 변화는 시간이 지나야 드러납니다. 감시를 걸면 이 도메인을 매일 다시 점검하고, 바뀐 내용을 감시 페이지에 기록합니다.

도메인 감시 시작하기 →

관련 가이드

HTTP SSL 보안 응답 헤더 (Secure Headers)

OWASP 보안 점검이란

OWASP Secure Headers Project와 OWASP Top 10(2025) 중 외부에서 관측 가능한 항목을 한 번의 조회로 점검합니다. 대상 도메인의 공개 HTTP 응답 헤더와 TLS/인증서를 수집해 A04(암호화 실패)·A02(보안 설정 오류)·A03(소프트웨어 공급망 실패 — 오래된 구성 요소 노출)와 보안 응답 헤더 상태로 매핑하고, 등급과 발견 사항을 제공합니다.

작동 방식과 범위

HTTP 응답 헤더 추적과 TLS/CT 로그 조회를 병렬로 실행하고, 결과를 OWASP Top 10(2025) 카테고리로 매핑합니다. 관리자 페이지 노출 점검과 같은 DNS TXT 레코드로 도메인 소유를 확인했다면, 절대 공개되면 안 되는 경로 5개(/.env, /.env.production, /.git/config, /.git/HEAD, /server-status)에도 GET 요청을 한 번씩 보냅니다. 파일은 내용이 예상한 형식과 일치할 때만 노출로 세므로, 상태 200으로 내려오는 자체 오류 페이지는 걸리지 않습니다. 크롤링·비밀번호 대입·주입 테스트는 하지 않으므로 A01(접근 통제)·A05(인젝션)·A07(인증)처럼 능동 테스트가 필요한 항목은 점검할 수 없으며, 결과에 그렇게 명시합니다.

FAQ

OWASP Top 10 전체를 점검하나요?

아니요. 인증·능동 테스트 없이 외부에서 관측 가능한 부분집합(Secure Headers, 2025년판 A02·A03·A04)만 점검합니다. A01/A05/A06/A07/A08/A09/A10은 관측 불가로 명시합니다. 전체 Top 10 진단이 필요하면 OWASP ZAP 같은 능동 스캐너나 침투 테스트가 필요합니다.

이 점검이 대상 사이트에 해를 끼치나요?

브라우저가 보내는 것과 같은 공개 HTTP GET 요청과 TLS 연결, 그리고 공개 CT 로그 조회만 합니다. 페이로드 주입·비밀번호 대입·크롤링은 하지 않습니다. 민감 파일(.env, .git, server-status) 요청은 도메인 소유자가 DNS TXT 레코드로 확인한 뒤에만 보내므로, 남의 도메인을 점검할 때는 이 경로에 접근하지 않습니다.

결과가 바뀌면 어떻게 알 수 있나요?

일회성 점검은 현재 시점만 보여줍니다. 감시를 걸면 DechoNet이 매일 이 도메인을 다시 점검하고, 헤더 누락·TLS 다운그레이드·인증서 만료 임박 같은 회귀를 감시 페이지에 기록합니다.