2026년 2월 3일 (화요일)

보안 점검표를 받고 나서 일어난 일들

오늘은 Repository AK에서 보안 점검 대응 작업을 집중적으로 진행했습니다. 사실 이런 보안 컴플라이언스 작업은 개발자라면 한 번쯤 겪어봤을 그 순간이죠. "저희 서비스, 개인정보보호법 기준 맞춰야 하는데요..." 라는 이야기를 듣고 나서 시작되는.

점검표와의 조우

점검표를 받았을 때 가장 먼저 한 일은 우선순위 분류였습니다. C-001, C-002, C-003 같은 Critical 이슈들과 W-001부터 W-011까지의 Warning 이슈들. 법적 근거까지 친절하게 명시되어 있더라고요. (개인정보보호법 안전성 확보조치 기준 제5조, 제6조, 제8조...)

가장 먼저 손댄 건 API 인증 강화였습니다. DELETE 엔드포인트에 세션 검증이 없었던 게 발견됐는데, 이건 진짜 좀 아찔했습니다. SUPER_ADMIN이나 ADMIN 권한이 없으면 403을 내려주도록 수정하고, 아예 인증이 안 되어 있으면 401부터 막았습니다.

// 인증되지 않은 사용자는 여기서 끝
if (!session?.user) {
  return new NextResponse("Unauthorized", { status: 401 });
}

// 권한도 확인
if (!["SUPER_ADMIN", "ADMIN"].includes(session.user.role)) {
  return new NextResponse("Forbidden", { status: 403 });
}

로깅, 잠금, 그리고 히스토리

C-002는 API 접속기록 로깅이었습니다. lib/api-logger.ts를 새로 만들면서 F36 필수 항목(뭔가 법적 기준인 것 같던데)을 준수했고, 민감정보는 자동으로 마스킹되게 만들었습니다. password나 token 같은 필드가 로그에 그대로 찍히면 안 되니까요.

계정 잠금 기능(C-003)도 추가했습니다. 로그인 5번 실패하면 30분 동안 계정이 잠기는 방식입니다. 성공하면 카운터가 자동으로 리셋되고요. AdminUser 모델에 failedLoginAttempts랑 lockedUntil 필드를 추가하면서 생각했습니다. "이거 실제로 락 걸리면 고객센터 문의 폭주하겠는데?" (하지만 보안이 우선이니까)

Warning 이슈들의 향연

Warning 이슈들은 생각보다 구현이 재밌었습니다. 특히 W-002 Rate Limiting은 인메모리 방식으로 간단하게 구현했는데, 로그인 API에 5회/분 제한을 걸었습니다. X-RateLimit-* 헤더도 제대로 내려주고요. Redis 같은 걸 쓰면 더 좋겠지만, 지금은 이 정도면 충분하다고 판단했습니다.

W-006 2FA/MFA 구조는 꽤 공들였습니다. RFC 6238 TOTP 표준을 따라 구현했고, Google Authenticator랑 호환되게 만들었습니다. 복구 코드 생성 기능도 넣었고요. 아직 실제로 활성화된 건 아니지만, 기반은 다 깔아놨습니다.

// TOTP 생성 예시
export function generateTOTP(secret: string): string {
  const counter = Math.floor(Date.now() / 30000);
  // RFC 6238 구현...
}

W-009 XSS 취약점 수정도 있었는데, innerHTML 쓰던 부분을 안전한 DOM 조작으로 바꿨습니다. popup-form.tsx에서 이미지 에러 처리하던 부분이었는데, 사실 이런 거 놓치기 쉽거든요.

다른 프로젝트들도 바빴습니다

한편 아트페어 H VIP시스템에서는 에러 로깅 시스템을 개선했습니다. ErrorCollector 모델에 operation이랑 context 필드를 추가해서 에러가 어디서 왜 발생했는지 더 명확하게 추적할 수 있게 됐습니다. functionName → operation 같은 네이밍도 정리하고요.

이메일 발송 로깅도 손봤는데, 성공/실패를 공통 페이로드 형식으로 통일했습니다. 매직 링크 발송할 때 사용자한테 제대로 피드백 주는 것도 추가했고요.

개발 환경 설정 쪽도 많이 개선됐습니다. tool.sh 스크립트에 체크리스트를 추가해서 Docker Desktop, Supabase CLI, pg_dump 버전 같은 걸 초기 설정할 때 확인하게 만들었습니다. 새로 합류하는 팀원들이 삽질 덜 하게요.

Repository A랑 Repository A, Repository A는 인수인계 프로젝트라서 초기 커밋만 있었고요.

마무리하며

보안 컴플라이언스 작업이 처음엔 좀 귀찮게 느껴질 수 있는데 (솔직히 그랬습니다), 막상 하고 나니까 서비스가 훨씬 단단해진 느낌이 듭니다. API 로깅, Rate Limiting, 계정 잠금, TOTP... 이런 것들이 결국 사용자 데이터를 지키는 거니까요.

저희도 매일 배우고 있습니다. 오늘은 특히 RFC 6238 표준이랑 개인정보보호법 안전성 확보조치 기준을 많이 들여다봤네요. 법과 개발의 교차점이 생각보다 재밌습니다. (진심입니다)

글 작성자

한송욱

@coolwithyou

CTO, Tech LeadSoftware Engineer

프로필 보기

커밋 참여자

한송욱

Software Engineer

+194010-48

이상희

Software Engineer

+7780-1441

추지혜

Software Engineer

+4512-297

개발자 개인정보 및 고객사 정보 보호를 위해 프로젝트명과 일부 세부 정보는 마스킹 처리되어 있습니다.

작업한 프로젝트

Repository AK

8개 커밋+1807-80

Repository A

4개 커밋+192236-0

아트페어 H VIP시스템

26개 커밋+12292-1738

상세 커밋 내역

버그 수정

Repository AK · Vercel · +33 / -32

설정 변경

Repository AK · coolwithyou · +54 / -32

버그 수정

Repository AK · coolwithyou · +8 / -0

버그 수정

Repository AK · coolwithyou · +0 / -2

코드 업데이트

Repository A · Cool with you · +188421 / -0

코드 업데이트

Repository A · Cool with you · +3681 / -0

버그 수정

Repository AK · coolwithyou · +1 / -0

코드 업데이트

Repository A · Cool with you · +132 / -0

설정 변경

아트페어 H VIP시스템 · sangheedev · +0 / -9

설정 변경

아트페어 H VIP시스템 · chujihye · +58 / -175

스타일 수정

아트페어 H VIP시스템 · chujihye · +9 / -5

코드 업데이트

아트페어 H VIP시스템 · chujihye · +3153 / -64

코드 업데이트

아트페어 H VIP시스템 · Chu Jihye · +600 / -0

코드 업데이트

아트페어 H VIP시스템 · chujihye · +600 / -0

기능 추가

Repository A · Cool with you · +2 / -0

버그 수정

아트페어 H VIP시스템 · chujihye · +1 / -1

코드 업데이트

아트페어 H VIP시스템 · chujihye · +1 / -1

코드 업데이트

아트페어 H VIP시스템 · chujihye · +1 / -1

코드 개선

아트페어 H VIP시스템 · sangheedev · +2615 / -20

버그 수정

Repository AK · coolwithyou · +859 / -3

기능 추가

아트페어 H VIP시스템 · sangheedev · +58 / -51

기능 추가

아트페어 H VIP시스템 · sangheedev · +8 / -2

버그 수정

Repository AK · coolwithyou · +263 / -9

버그 수정

Repository AK · coolwithyou · +589 / -2

기능 추가

아트페어 H VIP시스템 · sangheedev · +36 / -0

버그 수정

아트페어 H VIP시스템 · sangheedev · +13 / -21

설정 변경

아트페어 H VIP시스템 · sangheedev · +0 / -27

설정 변경

아트페어 H VIP시스템 · sangheedev · +7 / -9

기능 추가

아트페어 H VIP시스템 · sangheedev · +7 / -5

코드 개선

아트페어 H VIP시스템 · sangheedev · +18 / -11

기능 추가

아트페어 H VIP시스템 · sangheedev · +73 / -69

코드 업데이트

아트페어 H VIP시스템 · Lee Sanghee · +2615 / -20

코드 업데이트

아트페어 H VIP시스템 · sangheedev · +973 / -206

코드 업데이트

아트페어 H VIP시스템 · Lee Sanghee · +973 / -206

기능 추가

아트페어 H VIP시스템 · chujihye · +43 / -43

문서 업데이트

아트페어 H VIP시스템 · chujihye · +36 / -6

코드 개선

아트페어 H VIP시스템 · sangheedev · +384 / -785

버그 수정

아트페어 H VIP시스템 · chujihye · +10 / -1

점검표와의 조우

// 인증되지 않은 사용자는 여기서 끝
if (!session?.user) {
  return new NextResponse("Unauthorized", { status: 401 });
}

// 권한도 확인
if (!["SUPER_ADMIN", "ADMIN"].includes(session.user.role)) {
  return new NextResponse("Forbidden", { status: 403 });
}

로깅, 잠금, 그리고 히스토리

Warning 이슈들의 향연

// TOTP 생성 예시
export function generateTOTP(secret: string): string {
  const counter = Math.floor(Date.now() / 30000);
  // RFC 6238 구현...
}

다른 프로젝트들도 바빴습니다

Repository A랑 Repository A, Repository A는 인수인계 프로젝트라서 초기 커밋만 있었고요.