Content Security Policy: 신중하게 계획하고 테스트하며 적용하기
Content Security Policy는 브라우저의 특정 리소스 로드 및 실행 동작을 제한합니다. 애플리케이션에 맞게 설계하면 특정 위험을 줄일 수 있지만 안전한 코드를 대체하거나 SEO 성과를 직접 보장하지는 않습니다.
정상 리소스 목록화하기
중요한 여정에 필요한 스크립트, 스타일, 이미지, 프레임과 연결을 나열하세요. 담당자가 있는 결제, 동의와 분석 연동을 포함하세요. 애플리케이션 경로, CDN 설정과 오류 응답에서 제공되는 정책을 확인하세요. 여러 정책 계층이 상호작용할 수 있으므로 설정 파일만 보지 말고 실제 응답을 검사하세요.
광범위하게 강제하기 전에 테스트하기
적절한 테스트 환경에서 정책을 개발하고 적합한 경우 보고 전용 방식을 사용하세요. 위반을 재현하고 필수 리소스와 불필요한 연동을 구분하세요. 모든 위반을 와일드카드나 안전하지 않은 예외로 해결하지 마세요. 마찬가지로 다른 애플리케이션의 제한적인 정책을 복사한 뒤 모든 양식과 결제가 계속 작동할 것이라고 가정하지 마세요.
예시: 필요한 API 연결이 거부되는 경우
제안한 정책에서 페이지는 정상적으로 로드되지만 양식이 의도한 API에 연결할 수 없다고 가정해 보세요. 브라우저의 위반 내용을 확인하고 API 역할을 검증한 뒤 관련 지시사항에 정당한 출처만 추가하세요. 유효한 제출, 오류 처리와 무관한 페이지를 다시 테스트하세요. 이는 설정 테스트 예시이며 바로 배포할 수 있는 범용 정책이 아닙니다.
보호와 사용성 모두 검증하기
- 운영 환경에서 실제로 전달되는 정책을 검사하세요.
- 권한을 갖고 대표적인 인증 여정과 공개 여정을 실행하세요.
- 예상하지 못한 리소스와 오탐이 있는지 보고서를 검토하세요.
- 정책 담당자, 변경과 복구 절차를 기록하세요.
SearchBastion의 SSL 및 헤더 검사 도구는 응답 설정을 관찰할 수 있습니다. 완전한 정책을 인증하거나 악용 가능한 애플리케이션 결함이 없음을 입증할 수는 없습니다. 헤더 하나가 없다는 사실만으로 순위 하락을 설명할 수 없습니다.
실제로 운영하는 애플리케이션의 지시사항과 배포 선택지를 이해하려면 MDN의 CSP 안내를 활용하세요.
웹사이트를 무료로 확인하세요
지금 SEO 감사를 실행하거나 트래픽 품질을 확인해 보세요. 가입이 필요 없습니다.