Free · 회원가입 없음

보안 헤더 검사

6개 보안 헤더가 있는지뿐 아니라 설정값이 적절한지, 다른 정책과 충돌하지 않는지 평가합니다.

공개적으로 확인 가능한 설정만 검사하며, 서버 내부 취약점 전체를 진단하지는 않습니다. 입력한 주소의 첫 화면(경로 제외)만 확인합니다.

01 / Checks

검사하는 항목

외부에서 사이트에 접속해 응답 헤더와 TLS 인증서만 확인합니다. 페이지 내용은 읽지 않고, 공격 시도나 포트 스캔은 하지 않습니다.

Strict-Transport-SecurityHTTPS 강제 기간(max-age)과 하위 도메인 포함
Content-Security-Policy스크립트 출처 제한, unsafe-inline·unsafe-eval, Report-Only 여부
X-Content-Type-Options값이 nosniff인지
Referrer-Policy외부 사이트로 넘어가는 주소 정보 범위
X-Frame-OptionsDENY·SAMEORIGIN 또는 CSP frame-ancestors
Permissions-Policy카메라·마이크·위치 같은 브라우저 기능 제한

02 / Fix

검사에서 개선 권장·주의가 나온 항목은 아래 가이드에서 설정 방법을 확인하세요.

HSTS, CSP, X-Content-Type-Options, Referrer-Policy, X-Frame-Options, Permissions-Policy의 역할과 권장값, Apache·Nginx 설정 예시, 적용 후 확인 방법을 정리했습니다.

HSTS 헤더의 max-age, includeSubDomains, preload 의미와 Apache·Nginx 설정 예시, 5분에서 1년까지 단계적 적용 순서, preload 등록 전 주의점을 정리했습니다.

CSP를 안전하게 적용하는 순서를 정리했습니다. Report-Only로 시작하는 방법, default-src·script-src·frame-ancestors 등 주요 지시어, unsafe-inline 문제와 nonce, Apache·Nginx 예시를 다룹니다.

Apache ServerTokens·ServerSignature, Nginx server_tokens, PHP expose_php 설정으로 응답 헤더의 버전 노출을 줄이는 방법과 적용 후 curl 확인법, 이 설정의 한계를 정리했습니다.

expose_php, display_errors, allow_url_include, disable_functions, open_basedir, 세션 쿠키 옵션 등 php.ini 보안 설정의 기본값과 권장 값, 적용 확인 방법을 정리했습니다.

Wordfence, Sucuri Security, Solid Security를 방화벽·악성코드 검사·로그인 보안·변경 감지 같은 기능 범주로 비교하고, 내 사이트에 맞는 보안 플러그인을 고르는 기준을 정리했습니다.

헤더가 있으면 양호인가요?

아닙니다. 값까지 확인합니다. 예를 들어 CSP가 있어도 unsafe-inline으로 인라인 스크립트를 모두 허용하면 개선 권장으로, HSTS의 max-age가 짧으면 개선 권장으로 표시합니다.

리디렉션이 있으면 어느 페이지의 헤더를 보나요?

사이트 첫 화면에서 리디렉션을 따라가 마지막으로 도착한 페이지의 헤더를 검사합니다. 따라간 경로는 결과 아래에 표시합니다.

HTML의 meta 태그로 넣은 CSP도 확인하나요?

아닙니다. 응답 헤더만 확인합니다. HSTS·X-Frame-Options 등 일부 헤더는 meta 태그로는 동작하지 않으므로 서버나 CDN에서 헤더로 설정하는 방식을 권장합니다.

헤더를 추가했는데 반영되지 않아요.

CDN이나 캐시 플러그인이 이전 응답을 보관하고 있을 수 있습니다. 캐시를 비우고, 같은 사이트 결과는 10분 동안 유지되므로 잠시 후 다시 검사하세요.

03 / More