보안

Security는 앱의 코드를 읽고 취약점과 위험한 설정을 찾아내요. Manage를 연 다음 Security를 여세요.

두 가지 스캔

각 스캔은 크레딧이 들고, 가격이 버튼 옆에 마지막으로 실행한 시점과 함께 적혀 있어요. 개요에서 Security 타일을 누르면 아직 스캔을 실행하지 않았을 경우 빠른 스캔이 시작되고, 그만큼 크레딧을 써요. Out of date는 그 뒤로 코드가 바뀌었다는 뜻이에요. 마지막 스캔 이후 코드나 컨텍스트가 바뀌지 않았다면, 페이지에 그렇게 표시돼요.

빠른 스캔에 있는 Scan on publish는 코드가 바뀐 게시가 끝날 때마다 같은 가격으로 스캔을 저절로 실행해요. 켜기 전까지는 꺼져 있어요. Publish 창에도 같은 스위치가 있어요. 웹에 게시하기를 참고하세요.

찾아낸 내용

Detected issues에는 각 문제가 얼마나 심각한지, 어디에 있는지, 무엇을 해야 하는지와 함께 나열돼요.

• Send to chat to fix를 누르면 수정 요청이 채팅에 입력되고, 읽어 본 뒤 보낼 수 있어요. Fix all in chat은 모든 문제에 대해 한꺼번에 그렇게 해요.
• 문제가 누구나 읽을 수 있는 컬렉션이라면, Require sign-in이나 Close to your team으로 코드를 바꾸지 않고 그 자리에서 닫을 수 있어요. 누가 무엇을 볼 수 있는지를 참고하세요.
• 수정한 뒤에는 문제를 다시 확인하고, 목록에서 어떤 문제가 사라졌고 어떤 문제가 아직 남아 있는지 알려 줘요.

“No issues found”는 스캔이 아무것도 찾지 못했다는 뜻이에요. 스캔은 코드에서 흔한 실수를 찾기 때문에, 모든 위험을 배제할 수는 없어요.

컨텍스트 추가

스캐너는 코드만 알아요. 오른쪽 위의 Add context로 코드가 알려 주지 못하는 것을 알려 줄 수 있어요. 앱이 무엇을 위한 것인지, 누가 쓰는지, 어떤 데이터를 보관하는지, 그리고 무엇이 의도된 것인지예요.

A shop for a bakery. Customers order without an account. We store names,
phone numbers and addresses for delivery. The menu and prices are public on purpose.

이렇게 해 두면 공개된 메뉴는 유출로 보고되지 않고, 주소가 담긴 주문은 비공개 데이터로서 제대로 점검돼요.

라이브러리

React, Supabase, 그리고 모든 앱이 사용하는 다른 라이브러리는 Setherion이 관리하며, 릴리스할 때마다 알려진 보안 문제가 있는지 확인해요. 직접 업데이트할 것은 없어요. 카드에는 No known issues와 마지막으로 확인한 날짜가 표시돼요.

항상 켜져 있는 보호

일부 보호는 스캔을 기다리지 않아요.

• 앱 코드에 적힌 시크릿 키는 절대 게시되지 않아요. 스캔 결과와 상관없이 게시가 거부되고 비용은 들지 않으며, 메시지에는 키의 종류와 파일, 줄이 표시돼요. 흔한 AI, 결제, 이메일, 메시지, 코드 호스팅 서비스의 키, 개인 키, Supabase 프로젝트의 관리자 키를 알아봐요. Supabase anon 키나 Stripe publishable 키처럼 원래 공개용인 키는 그냥 둬요.
• 연결된 서비스의 키는 Setherion의 서버에 남아 있고, 게시된 앱은 Setherion을 거쳐 호출해요.
• 레코드는 저장한 사람과 내 팀만 읽을 수 있어요. Access rules에서 열어 주기 전까지는 그래요.
• 모든 빌드와 변경은 내가 보기 전에 눈에 띄지 않는 곳에서 열어 보고, 충돌하면 수리하라고 되돌려 보내요. 게시되기 전에를 참고하세요.
• Business에서는 앱을 비공개로 만들 수 있어서, 내 워크스페이스에서 로그인한 사람만 열 수 있어요. Visibility를 참고하세요.
• 앱이 보내는 메일은 반송되거나 스팸으로 표시되는 것이 많으면 저절로 중단돼요. 이메일을 참고하세요.