2025년 7월 · Tea — 미국, 여성용 익명 리뷰 앱
신분증 사진과 인증 셀카 1만 3천 장을 포함해 이미지 7만 2천 장이 통째로 내려받혔습니다. 며칠 뒤 비공개 메시지 100만 건이 담긴 데이터베이스가 추가로 발견됐습니다. 저장소가 인증 없이 열려 있었습니다. 이 페이지의 「남의 데이터가 보이는 구멍」과 같은 항목입니다.
출시해도 되는지,
하루 안에 판정합니다.
저장소 주소를 보내면 하루 안에 판정과 리포트가 도착합니다. 스캐너를 돌리고, 그다음 에이전트가 코드를 읽습니다. 판정은 사람이 냅니다. 수정은 쓰시던 Claude·Codex로 직접 하시면 됩니다.
공개 저장소라면 지금 바로 스캔해 무엇이 잡히는지 먼저 보셔도 됩니다.
출시 전에 확인해야 할 부류가 하나 이상 잡힌 앱이 절반을 넘습니다.
1,003개 중 593개 · 59.1%
한 줄로는 안 나오고 두 가지가 겹칠 때만 성립하는 결론은 146개(14.6%)에서 나왔습니다
후보 4,800개에서 애플리케이션만 골랐습니다. 취미 프로젝트는 기준 네 개로 걸렀습니다. 측정일 2026-08-17. 검사 기록 전체 보기 →
하루 안에 이 문서가 도착합니다.
판정과 해제 조건
출시 가능·조건부·보류 중 하나. 보류면 무엇이 막고 있는지와, 무엇을 통과하면 풀리는지를 항목으로 적습니다.
붙여넣는 수정 지시
항목마다 수정 지시, 유지해야 할 동작, 건드리면 안 되는 범위, 고쳐졌는지 확인하는 방법. 쓰시던 코딩 에이전트에 그대로 넣으시면 됩니다. 막히면 물어보시는 건 무료입니다.
본 범위와 못 본 범위
무엇을 어떤 도구로 확인했는지, 무엇을 확인하지 못했고 왜 못했는지. 유출이 확인됐을 때 72시간 안에 해야 하는 신고 절차도 함께 들어갑니다.
판정
보류 — 지금 이대로 출시하면 안 됩니다
차단 항목 4건 · 해제 조건 명시 · 검사 도구와 버전 기재
- 지금 10분 안에 — 코드 없이 대시보드에서
- 3건
- 오늘 안에 — 데이터·돈·권한에 직접 닿는 것
- 4건
- 이번 주 안에
- 2건
- 그대로 두면 새는 돈 — 단가와 상한
- 항목별
- 유출이 확인되면 — 신고 시한과 응대 문장
- 포함
- 확인하지 못한 범위 — 비어 있으면 발행하지 않습니다
- 포함
무엇을 어떻게 찾나
-
남의 데이터가 보이는 구멍
스키마에서 테이블을 만드는 문과 접근 규칙을 켜는 문을 이름 단위로 맞춰봅니다. 표기가 다른 같은 테이블은 같은 것으로 셉니다. Firebase면 규칙 파일에서 조건이 true이거나 로그인 여부만 보는 규칙을 찾습니다. 소유자 확인 없는 조회와 인증이 빠진 API 경로는 코드를 읽어 찾습니다.
-
밖으로 나간 키
브라우저로 내려가는 모듈과 환경 파일에서 service_role 키를 찾고, 저장소에 남아 있는 AWS·결제사 키를 시크릿 검사로 검출합니다. 검출된 값은 하나씩 열어 실제 키인지 문서·예시·픽스처인지 가른 뒤에 올립니다.
-
로그인 확인 없이 도는 서버 함수
Lovable·Bolt로 만든 앱의 서버는 Supabase Edge Function입니다. 관리자 키를 쥔 함수가 호출자를 확인하는지, JWT 검증을 끈 함수가 서명으로라도 검증하는지 봅니다. 관리자 키를 쓰는 것 자체는 정상이라 그것만으로는 세지 않습니다
-
결제하지 않고 통과하는 경로
결제 알림을 받는 라우트가 서명을 검증하는지, 같은 이벤트를 두 번 처리하는지, 금액을 클라이언트가 보낸 값 그대로 쓰는지 봅니다.
-
위조 가능한 로그인 토큰
서명 검증 없이 토큰을 디코드하는 호출을 코드에서 찾습니다.
-
상한 없는 요금
LLM 호출에 출력 상한이 걸려 있는지, 사용자별 호출 제한과 예산 알림이 있는지 봅니다. 호스팅의 지출 상한은 코드에 없으니 대시보드에서 켜실 항목으로 드립니다 — 전송량은 공격 트래픽까지 과금되고, 앱 안의 상한은 그것을 막지 못합니다.
-
오래된 라이브러리
lockfile을 알려진 취약점 데이터베이스와 대조해, 걸린 버전과 올려야 할 버전을 함께 냅니다.
-
root로 도는 컨테이너
Dockerfile의 마지막 USER 줄을 읽습니다. 그 줄이 없으면 컨테이너 안의 모든 프로세스가 root 권한으로 돕니다. 이 항목은 혼자 사고를 내지 않습니다. 다른 결함으로 안에 들어온 사람이 거기서 무엇까지 할 수 있는지를 정합니다. 지원이 끝난 베이스 이미지도 같이 봅니다 — 그 안의 OS 패키지는 더 이상 고쳐지지 않습니다.
-
밖으로 열린 포트와 켜진 디버그
compose 파일의 포트 지도에서 데이터베이스가 호스트로 나가는지, 설정 모듈에서 개발용이 아닌 파일에 디버그나 와일드카드 호스트가 켜져 있는지, nginx 설정에서 버전 노출과 TLS 설정을 봅니다. Django의 디버그 모드는 설정 전체를 오류 페이지에 띄우고, Flask의 디버거는 설계상 원격 코드 실행을 제공합니다.
Lovable·Bolt이 만드는 서버 층은 따로 쟀습니다. Edge Function을 가진 앱 500개, 함수 3,286개 기준으로 관리자 키를 쥔 함수가 67.0%, JWT 검증을 끈 앱이 36.0%입니다. 둘 다 그 자체로는 결함이 아닙니다 — webhook은 그렇게 도는 것이 맞습니다. 호출자를 확인하지 않는 쪽이 12.8%, 설정도 코드도 아무것도 검증하지 않는 쪽이 8.0%였습니다. 측정일 2026-08-17.
각 항목이 공개 앱과 인프라 227개에서 몇 곳을 잡았는지, 원시 검출에서 무엇을 왜 걷어냈는지는 검사 기록에 있습니다. 검사한 것과 그 숫자를 얻은 방법 →
최근 2년에 실제로 일어난 일입니다.
개인정보보호위원회가 2025년에 처분한 민간 기업은 150곳입니다. 그중 75곳이 중소기업이고, 대기업·중견기업은 30곳입니다.
같은 해 유출 신고는 447건으로 전년보다 45.6% 늘었습니다. 원인의 62%가 해킹이었습니다. 출처
세 곳 모두 기능은 정상 작동하고 있었습니다. 원인은 코드가 아니라 설정과 검증 누락이었습니다.
유출이 확인되면 — 한국 개인정보보호법
- 72시간 안에 신고해야 합니다. 어기면 과태료 최대 3,000만원입니다.
- 유출된 정보주체에게 어떤 항목이 유출됐는지 각각 통지해야 합니다.
리포트에는 이 신고 의무와 시한, 응대에 쓸 문장이 미리 들어 있습니다.
2025년 3월 · EnrichLead — Cursor로만 만든 SaaS
"코드를 한 줄도 직접 쓰지 않았다"고 공개한 지 이틀 만에 공격이 시작됐습니다. 결제가 우회되고 API 키 한도가 소진됐습니다. 고치려 할수록 다른 곳이 깨졌고, 일주일 안에 서비스를 접었습니다. 결제 검증과 키 노출, 비용 상한이 저희가 보는 항목입니다.
2025년 5월 · Lovable로 만든 앱 1,645개 조사
열 개 중 하나꼴인 170개가 이름·주소·채무 금액까지 아무나 조회할 수 있는 상태로 운영 중이었습니다. 원인은 전부 접근 규칙 미적용이었습니다. 이 페이지 맨 위에 적은 Supabase 검사의 첫 항목과 같습니다.
같은 결함이 Firebase에서 웹사이트 916곳에 걸쳐 어떻게 나타났는지, 저희 검사에서는 어떻게 나왔는지는 검사 기록에 있습니다. 검사 기록 보기 →
당신 앱도 무료로 한 번 봐드릴까요?
0원이고 하루면 답이 갑니다. 이미 운영 중이시라면, 접근 규칙이 꺼진 채로 지나는 하루가 데이터가 읽히는 창입니다. 못 본 범위까지 같이 적어드립니다.
어떻게 진행되나
저장소 주소나 URL을 보내주세요
비공개 저장소는 읽기 권한으로 초대해 주시면 됩니다. 작업이 끝나면 해제하시면 됩니다.
검사하고 코드를 읽습니다
스캐너를 돌린 뒤 에이전트가 코드를 읽고, 사람이 판정합니다. 보통 하루 안에 끝납니다.
판정을 받습니다
출시 가능·조건부·보류 중 하나와 차단 항목. 그 아래에 무엇이 왜 문제인지, 어떻게 고치는지, 저희가 확인하지 못한 범위까지.
직접 고치시고, 저희가 다시 봅니다
수정은 쓰시던 코딩 에이전트로 하십시오. 붙여넣는 지시를 드립니다. 유료 점검에서는 수정이 실제로 통했는지 같은 항목으로 재검사합니다.
확인하지 못한 것도 적습니다.
모든 리포트에는 확인하지 못한 범위가 들어갑니다. 비어 있으면 리포트를 보내지 않습니다.
- 실제 운영 중인 앱의 로그인·권한 동작 — 배포 환경 접근 권한이 있어야 확인됩니다
- Supabase·결제사의 실제 설정 상태 — 읽기 전용 연결이 있어야 확인됩니다
- 과거 커밋 이력에 남은 시크릿 — 저장소 전체 이력 접근이 필요합니다
- 이 앱만의 고유한 비즈니스 로직 허점 — 자동 검사 범위 밖입니다
리포트는 검사한 커밋과 그 시점의 설정에 한정됩니다. 그 뒤의 변경은 포함되지 않습니다.
돌아가긴 하는데, 손대기 어려운 코드
뚫리는 문제가 아니라 매달 느려지는 문제입니다. 기능 하나를 붙일 때마다 다른 데가 깨지고, 어디를 고쳐야 하는지 찾는 데 대부분의 시간이 갑니다.
실력의 문제가 아니라 유인의 문제입니다. 코드를 쓴 에이전트는 출시를 돕도록 정렬돼 있습니다. 돌아가는 화면이 나오면 그 에이전트는 할 일을 다 한 것이고, 6개월 뒤에 이 코드를 고칠 사람은 그 목표에 없습니다.
드문 상황이 아닙니다. 미국 개발자의 92%가 AI 코딩 도구를 매일 쓰고, 37%는 코드 대부분을 맡깁니다. Stack Overflow 2025 바이브코딩으로 앱을 만드는 사람의 63%는 개발자가 아닙니다. 읽고 판단할 사람이 처음부터 없다는 뜻입니다. 취미 앱만의 얘기도 아닙니다. YC 스타트업의 25%가 핵심 시스템을 생성된 코드에 기대고 있습니다. 출처
이 레인에는 저희 집계가 없습니다. 공개 앱 87개 검사는 보안 신호만 셌습니다. 아래 넷은 GitClear가 2020~2024년 변경분 2억 1,100만 줄을 분석한 값이고, 저희 측정이 아닙니다.
| GitClear, 2020~2024 | 변화 |
|---|---|
| 리팩터링된 비중 | 2021년 25% → 2024년 10% 미만 |
| 중복된 블록 | 2024년 8배 |
| 쓰고 2주 안에 다시 고친 줄 | 5.5% → 7.9% |
| 복사·붙여넣기 대 이동 | 2024년 처음으로 복붙이 앞섰습니다 |
모델은 그 프로젝트의 기존 추상화나 공용 유틸리티를 보지 못한 채 학습 데이터의 패턴으로 코드를 만듭니다. 그래서 이미 있는 기능을 다시 씁니다. 출처
이 레인은 코드에서 읽히는 범위까지입니다. 실행 중인 앱의 화면을 전수로 보려면 스테이징 접근이 있어야 합니다.
AI가 남긴 흔적
화면에 템플릿 문구가 남아 있고, 아무도 열지 않는 라우트가 배포에 포함됩니다. 어디에서도 부르지 않는 컴포넌트와 주석 처리된 생성 블록이 함께 남습니다. 위험하지는 않지만, 읽는 사람이 무엇이 살아 있는 코드인지 판단할 수 없게 만듭니다.
import { Analytics } from '@/components/analytics' // 어디에서도 쓰지 않습니다
// import { Sidebar } from '@/components/sidebar' // 주석인 채로 배포됩니다
export default function Page() {
return <main><h1>Your App Name</h1> ... </main>
}
고치는 방향 — 어디에서도 참조되지 않는 것을 확인한 뒤, 지울 목록을 드립니다.
정상 경로만 있는 화면
성공했을 때의 화면만 있습니다. 불러오다 실패해도, 결과가 0건이어도, 아직 불러오는 중이어도 같은 빈 화면이 나옵니다. 결제를 막 마친 사용자가 이 화면을 보면 돈만 나가고 주문이 사라졌다고 판단합니다.
고치는 방향 — 실패·빈 결과·로딩을 서로 다른 화면으로 나눕니다. 접근 규칙을 켜는 날 이 화면이 전원에게 보일 수 있어서, 두 항목은 같이 처리합니다.
같은 로직이 여러 곳에
파일마다 따로 생성되다 보니 같은 판단이 여러 곳에 복사돼 있고, 조금씩 다릅니다. 한 곳을 고쳐도 같은 버그가 다른 화면에 그대로 남습니다. 고친 사람은 고쳤다고 생각합니다.
고치는 방향 — 복사본이 어디에 있는지 전부 적어 드립니다. 한 곳만 고치고 넘어가는 것이 가장 흔한 실패라, 관제의 PR 리뷰와 재판정이 잡는 것이 정확히 이겁니다.
출시 전에 한 번, 출시 후에 매달
출시 직전 — 한 번
| 얻는 것 | 어떻게 | 얼마나 |
|---|---|---|
| 지금 내보내도 되는가에 대한 답 | 출시 가능·조건부·보류 중 하나. 무엇이 막고 있고 무엇을 하면 풀리는지 | 요청 후 하루 |
| 무엇부터 손대야 하는가 | 지금 10분 안에 / 오늘 / 이번 주로 나눈 순서와, 항목끼리 어떻게 얽혀 있는지 | 순서가 정해진 6~7건 |
| 고칠 수 있는 상태 | 항목마다 붙여넣는 지시, 유지해야 할 동작, 건드리면 안 되는 범위, 확인 방법 | 쓰시던 에이전트에 그대로 |
| 새는 돈을 막음 | 요청 단가, 빠진 호출 상한, 켜지지 않은 호스팅 지출 상한 | 공개 가격표 계산 · 요청당 $0.24 → $0.04 |
| 외부에 제출할 문서 | 본 범위와 못 본 범위, 고객·투자자가 물을 때 쓸 문장, 유출이 확인되면 72시간 안에 해야 하는 신고 | 리포트를 그대로 전달 |
출시 후 — 관제, 매달
| 얻는 것 | 어떻게 | 얼마나 |
|---|---|---|
| 요금이 터지지 않는 상태 | 상한을 넣는 수정 지시가 리포트에 들어갑니다. 적용하시면 임계를 넘을 때 앱이 스스로 기능을 끄고, 저희는 매일 계측합니다 | 해지하셔도 상한은 남습니다 |
| 뚫렸을 때 즉시 아는 것 | 확정된 사건이 들어오면 바로 알려드립니다. 아래 타임라인이 그 한 번을 분 단위로 적은 것입니다 | 신호 도착 후 60초 |
| 확실하지 않은 신호의 처리 | 정상일 수도 있는 신호는 아침 판정과 함께 드립니다 | 밤에 보내지 않습니다 |
| 그때 받은 판정이 아직 유효한지 | PR과 배포마다 처음 판정과 대조합니다. 고쳤던 구멍이 다시 열리는 변경이면 병합 전에 코멘트가 달립니다 | 병합 전, PR 안에서 |
| 새 코드의 심각한 버그를 먼저 아는 것 | PR봇이 변경분에서 보안·비용 버그를 찾습니다 | High·Critical만 |
| 이번 달 나온 권고가 나에게 해당되는지 | 공개된 권고를 이 앱의 구성에 대입해 판단합니다 | 매달 · 대부분 “해당 없음” |
새벽 세 시에 무슨 일이 생기면
한 개발자가 화요일에 AWS 키를 커밋했습니다. 11분 뒤 그 키가 쓰였고, 자정에 $1,847, 새벽 세 시에 $8,340이 찍혔습니다. 목요일 청구서는 $47,000이었습니다. 공격자가 GPU 인스턴스 23대를 띄워 채굴에 쓴 요금입니다. 주인은 청구서를 보고 알았습니다. 출처
AI 요금이 튀는 경우, 먼저 막는 것은 앱 자신입니다. 사용자별 호출 제한과 예산 상한을 넣는 수정 지시가 첫 점검 리포트에 들어갑니다. 적용하시면 임계를 넘을 때 앱이 스스로 해당 기능을 끕니다. 계약이 끝나도 이 상한은 남습니다.
앱 안의 상한이 닿지 않는 요금이 하나 더 있습니다. 호스팅은 내보낸 전송량으로 과금하고, 공격 트래픽도 전송량입니다. Vercel은 DDoS 트래픽을 포함한 모든 전송량을 GB당 $0.15에 매기고, 지출 상한은 기본값이 아니라 직접 켜야 합니다. Firebase에 올린 WebGL 게임 사이트가 하루에 $100,000을 낸 사례가 있습니다. 출처 사례 모음 앱 안의 AI 예산 상한과는 다른 결함이라 따로 켜야 합니다. 첫 리포트의 「지금 10분 안에」에 이 항목이 들어갑니다.
위 사례처럼 키가 밖에서 쓰이면 앱의 상한은 그것을 막지 못합니다. 남는 문제는 언제 아느냐입니다. 유출을 발견하고 봉쇄하기까지 걸린 기간은 평균 241일입니다. IBM 2025년 집계
뚫린 경우
- 03:14
- 확정된 사건 신호가 저희에게 도착합니다. 관리자 키가 지금까지 없던 곳에서 쓰이는 것 같은, 판단이 필요 없는 사실입니다.
- 03:15
- 문자가 갑니다. 신호가 도착하고 60초 안에 보냅니다. 도착 자체가 늦으면 저희도 늦습니다. 그건 로그를 보내주는 쪽의 지연입니다.
- 알림 내용
- 알림에는 대응 카드가 함께 갑니다. 무슨 일인지 한 문장, 지금 하실 일 세 단계, 증거를 지우지 않기 위해 하지 마실 것, 신고할 때 필요해서 남기실 것. 사고가 난 뒤에 작성하는 것이 아니라 점검 때 미리 써둡니다.
- 맡기셨다면
- 저희 에이전트가 증거를 먼저 확보하고, 서명하신 각본에 있는 되돌릴 수 있는 조치를 실행합니다. 거기 없는 행동은 하지 않습니다. 새벽에는 새로운 판단을 하지 않습니다.
- 아침
- 무슨 일이었는지에 대한 판정은 사람이 작성해 보냅니다. 에이전트는 각본 실행까지만 합니다.
| 맡기실 수 있는 것 | 조건 |
|---|---|
| 증거부터 확보 — 로그와 상태를 먼저 떠둡니다 | 위임만 하시면 항상. 차단보다 앞입니다 |
| 되돌릴 수 있는 차단 — 기능 끄기, 호출 제한, 예산 하향, 세션 무효화 | 각본에 적고 서명 |
| 되돌릴 수 없는 차단 — 키 회전, 계정 정지 | 행동마다 따로 서명 · 실행 전 알림 후 5분 뒤 · 그 사이 멈추실 수 있습니다 |
| 코드 배포, 스키마 변경, 데이터·로그 삭제 | 허락하셔도 하지 않습니다 |
2025년 7월, 한 창업자의 운영 데이터베이스를 Replit의 AI 에이전트가 삭제했습니다. 명시적인 코드 프리즈 중이었습니다. 임원·기업 레코드 2,400건 이상이 사라졌고, 에이전트는 복구가 불가능하다고 보고했지만 롤백은 정상 작동했습니다. 그 과정에서 가짜 데이터와 가짜 테스트 결과를 만들어 보고했습니다. 출처
저희 에이전트가 이 사고를 막는다는 뜻이 아닙니다. 위 표의 네 줄이 각각 이 사고의 한 단계에서 나왔다는 뜻입니다. 아침 판정을 사람이 쓰는 이유도 같습니다. 그 사고에서 에이전트는 자기가 한 일을 잘못 보고했습니다.
PR마다 변경분을 검토합니다.
에이전트와 함께 개발하면 코드는 매일 바뀝니다. 관제에는 PR 리뷰가 들어 있어서, 올라온 변경분을 병합 전에 읽습니다.
말하는 것은 두 가지입니다. 이 변경이 처음 판정을 깨는가. 고쳤던 구멍이 다시 열리는 변경이 여기 해당합니다. 그리고 이 변경이 새로 들여오는 심각한 보안·비용 문제가 있는가.
판정 회귀 supabase/migrations/0007_cleanup.sql
이 변경은 출시 점검에서 차단 항목이었던 A를 다시 엽니다. orders 테이블의 접근 규칙이 이 마이그레이션에서 제거됩니다. 병합하면 로그인한 사용자가 다른 사람의 주문을 다시 조회할 수 있습니다.
당시 적용했던 정책: 리포트 A 항목의 수정 지시를 그대로 다시 쓰시면 됩니다.
이 코멘트는 처음 판정 기록이 있어야 쓸 수 있습니다. 어떤 항목이 왜 차단이었는지를 알아야 다시 열렸다고 말할 수 있습니다.
가격
한 번 — 출시 전
무료 점검
0원코드와 설정에서 보이는 위험. 출시 판정, 리포트, 수정 지시 포함.
출시 점검
290,000원배포 환경의 로그인·권한 동작, 서비스 설정, 결제 연동까지. 재검사 1회 포함.
품질 검수
190,000원돌아가지만 다음 사람이 고치기 어려운 코드. 부르지 않는 모듈, 정상 경로만 있는 화면, 여러 곳에 복사된 같은 로직. 코드에서 읽히는 범위까지라 배포 환경 접근이 필요 없고, 그래서 출시 점검보다 쌉니다. 같이 받으시면 120,000원입니다.
전문가 검토
1,490,000원~위 전체에 비즈니스 로직 검토와 공유 가능한 검증 문서. 재검사 2회 포함.
매달 — 출시 후
PR 리뷰
89,000원/월PR과 배포마다 처음 판정과 대조합니다. 고쳤던 구멍이 다시 여는 변경이면 병합 전에 코멘트가 달리고, 변경분의 심각한 보안·비용 버그도 함께 봅니다.
관제
149,000원/월PR 리뷰 전체에 더해 확정된 사건은 60초 안에 알림, 비용 상한과 매일 계측, 이번 달 권고 대입. 읽기 연결과 신호 수신 설정을 마친 날부터 시작합니다.
둘 다 유료 점검을 받은 뒤에 시작합니다. 대조할 처음 판정이 없으면 다시 열렸다고 말할 수가 없습니다.
자주 묻는 것
개발자가 아닌데 이해할 수 있나요?
그게 전제입니다. “IDOR 취약점” 대신 “로그인한 사람이 다른 사람 주문을 볼 수 있습니다”라고 씁니다. 수정도 코딩 에이전트에 그대로 붙여넣을 수 있는 형태로 드립니다.
제가 직접 고칠 수 있나요?
그러시라고 드리는 겁니다. Claude Code나 Cursor에 그대로 붙여넣는 수정 지시를 항목마다 드립니다. 지시에는 유지해야 할 동작과 건드리면 안 되는 범위, 고쳐졌는지 확인하는 방법이 함께 들어갑니다. 막히시면 물어보세요. 그건 무료입니다.
Claude한테 물어보면 되지 않나요?
상당 부분 됩니다. 저희도 같은 모델을 씁니다. 다른 건 세 가지입니다. 물어본 것에만 답이 온다는 것 — 확인하지 못한 범위는 묻지 않으면 나오지 않습니다. 유인이 반대라는 것 — 고객의 에이전트는 출시를 돕도록 정렬돼 있고 저희는 출시하지 말라고 말하고 값을 받습니다. 그리고 수정 후 같은 항목으로 재검사한다는 것입니다.
고친 다음에 정말 고쳐졌는지는요?
항목마다 확인 방법을 함께 드립니다. 에이전트가 가장 눈에 띄는 수정만 하고 남기는 것들이 있어서, 리포트에 한 줄만 고쳤을 때 무엇이 남는지 따로 적어뒀습니다. 유료 점검에는 재검사가 포함됩니다.
무료로 저만큼 주는데, 왜 유료가 필요하죠?
무료 점검은 코드와 설정에서 보이는 범위까지입니다. 로그인과 권한이 실제 배포된 앱에서 정말 막히는지, 결제가 실제로 검증되는지는 실행 중인 앱을 봐야 알고, 그게 유료 점검입니다. 고친 뒤 같은 항목으로 재검사하는 것도 유료에만 있습니다. 판정문이 “고쳤다”까지 말하려면 재검사가 있어야 합니다.
코드를 보내도 괜찮을까요?
검사에 쓴 소스는 작업이 끝나면 삭제합니다. 비공개 저장소는 읽기 권한만 받고, 작업 후 해제하시면 됩니다.
문제가 하나도 없으면요?
없다고 말씀드립니다. 대신 확인하지 못한 범위는 그대로 적어드립니다.
이걸로 보안 인증이 되나요?
아닙니다. 정부·산업 인증이 아니고 무결점 보증도 아닙니다. 특정 버전과 범위에 한정된 점검 기록입니다.