나중에 덧붙이지 않고 처음부터 갖춘 보안
여러분의 아이디어와 사용자 데이터를 저희에게 맡기시는 거예요. 이를 지키기 위해 저희가 하는 일을 그대로 알려 드려요. 지금 실제로 적용하고 있는 것만 적었어요.
모든 곳에 HTTPS
builder77, builder77.app에 게시된 모든 앱, 연결된 모든 도메인은 HTTPS로 제공되고 인증서는 자동으로 발급돼요.
bcrypt 비밀번호 해싱
builder77 계정 비밀번호와 여러분이 만든 앱 사용자의 비밀번호는 bcrypt로 해싱해요. 평문 비밀번호는 저장하지도, 로그에 남기지도 않아요.
httpOnly 세션 쿠키
builder77 세션은 서명된 JWT로, httpOnly·SameSite 쿠키(운영 환경에서는 Secure)에 저장돼요. 그래서 페이지 스크립트가 읽을 수 없어요.
앱별 데이터 분리
모든 데이터베이스 조회는 앱 하나로 범위가 제한돼요. 한 앱이 다른 앱의 기록, 사용자, 업로드 파일을 읽거나 쓸 수 없어요.
앱별 독립 도메인
게시된 앱과 빌더 미리보기는 builder77.com이 아닌 별도 서브도메인에서 실행돼요. 그래서 앱 코드가 여러분의 builder77 계정에 손댈 수 없어요.
컬렉션 접근 규칙
데이터 탭에서 컬렉션마다 공개, 로그인한 사용자만, 작성자만, 읽기 전용 중 하나를 정해요. 규칙은 서버에서 적용돼요.
프로젝트 전용 앱 토큰
여러분이 만든 앱에 사용자가 로그인하면 그 프로젝트에만 묶인 토큰을 받아요. 다른 곳에서는 쓸 수 없어요.
작성자 전용 기록
로그인한 앱 사용자가 만든 기록은 그 사용자만 고치거나 지울 수 있고, 앱에서 사용자마다 자기 데이터만 보여 줄 수 있어요.
요청 횟수 제한
회원가입, 로그인, 비밀번호 재설정, 양식, 데이터베이스 쓰기, AI 호출, 업로드는 네트워크별로 횟수를 제한해서 악용과 무차별 대입 공격을 늦춰요.
비공개 앱과 소유자 전용 미리보기
빌더 미리보기는 앱 소유자만 볼 수 있는 짧은 유효기간의 서명 링크를 써요. 유료 요금제에서는 게시된 앱을 비공개로 바꿔 나만 열 수 있게 할 수 있어요.
함께 지키는 보안
플랫폼 보안은 저희가 맡아요. 앱이 무엇을 수집하고 누가 볼 수 있는지는 여러분이 정해요. 몇 가지 습관만 지켜도 크게 달라져요.
개인정보에는 로그인을
앱에 개인적인 정보를 저장한다면 로그인을 필수로 하고, 사용자마다 자기 기록만 보이게 하세요.
비밀 값을 코드에 넣지 마세요
API 키나 비밀번호를 앱 코드에 붙여 넣지 마세요. 프런트엔드 코드에 있는 건 방문자 누구나 볼 수 있어요.
사내 도구는 비공개로
나나 우리 팀만 쓸 걸 만든다면 앱 설정에서 비공개 모드를 켜세요.
취약점 제보
builder77에서 보안 취약점을 발견했다고 생각되면 문의 양식(주제: 보안)으로 알려 주세요. 보안 연구자분들의 수고에 감사드리며, 선의로 보내 주신 제보는 진지하고 정중하게 다뤄요.
이런 내용을 넣어 주세요
- 문제에 대한 설명과 예상되는 영향.
- URL, 요청 내용, 개념 증명 코드 등 재현 방법.
- 감사 명단에 이름을 올리고 싶다면 이름이나 닉네임.
저희의 약속
- 영업일 기준 3일 안에 제보를 받았다고 알려 드려요.
- 조사하고 고치는 동안 진행 상황을 계속 알려 드려요.
- 이 가이드라인에 따라 선의로 진행한 연구에는 법적 조치를 하지 않아요.
가이드라인
- 본인 소유이거나 테스트 허락을 명시적으로 받은 계정과 앱에서만 테스트하세요.
- 다른 사용자의 데이터에 접근하거나, 바꾸거나, 지우지 마세요. 내 것이 아닌 데이터가 보이면 바로 멈추고 알려 주세요.
- 서비스 거부 공격, 스팸, 사회공학, 물리적 공격은 금지예요.
- 공개하기 전에 저희가 문제를 고칠 수 있도록 충분한 시간을 주세요.
builder77 자체의 취약점이 아니라 피싱, 악성코드 등 악용에 쓰이는 앱을 신고하려면 악용 신고 페이지나 문의 양식을 이용해 주세요.