사이트를 점검하고, 고치기 전에 먼저 물어보는 보안 에이전트

Security agent가 점검하는 것

점검 대부분은 Briks 자체 검사가 맡아요. 이 검사는 매번 같은 방식으로 사이트를 읽고 크레딧이 들지 않아요. 그다음 에이전트는 검사가 가리킨 부분만 읽고, 발견 사항이 진짜인지 판단해서 설명해 줘요.

사이트 코드에서 파일에 직접 적힌 키, 횟수 제한 없이 데이터를 바꿀 수 있는 부분, 요청한 사람을 확인하지 않고 읽는 회원 기록, 원본 HTML로 표시되는 텍스트, 다른 웹사이트 호출을 찾아요. 키는 코드가 읽는 이름과 Settings → Secrets에 설정된 이름을 양방향으로 비교하며, 값은 절대 보지 않아요.

라이브 사이트에서는 모든 주소가 https로 응답하는지, 인증서가 며칠 남았는지, 보안 헤더, 그리고 절대 다운로드되면 안 되는 파일을 확인해요. 또 공개 스토리지에 있는 파일 중 invoice나 passport처럼 비공개로 보이는 이름의 파일, 갑자기 몰려드는 폼 제출, 모든 사이트가 기본으로 갖고 시작하는 패키지 외에 사이트에 추가된 패키지에 대해 알려진 보안 권고도 살펴봐요.

코드에 계정이나 결제가 있는 사이트라면 Admin 또는 Staff 권한을 가진 사람 수를 세고, 결제 설정을 확인해요. 테스트 또는 라이브 모드, 웹훅 시크릿, 결제와 맞지 않은 주문을 살펴봐요.

발견 사항마다 쉬운 말과 다음 단계 하나

발견 사항은 심각도에 따라 긴급, 높음, 보통, 낮음으로 묶여요. 각 항목은 누가 무엇을 할 수 있는지, 비즈니스에 어떤 의미인지, 다음에 할 일을 알려줘요.

다음 단계는 셋 중 하나예요. 직접 해야 하는 일과 그 방법(예: Settings → Secrets에 키 추가, 비용 없음), Fix it 뒤에 있는 Builder가 할 수 있는 수정, 또는 그대로 감수하기로 한 것에 쓰는 Accept the risk예요.

페이지에 적힌 키나 누구나 내려받을 수 있는 비공개 파일처럼 급한 발견은 바로 알려 드려요. 알림 벨로 오고, Telegram을 연결하고 긴급 보안 발견 알림을 켜 두었다면 Telegram으로도 와요. 나머지는 주간 리포트까지 기다려요.

Fix it은 항상 승인을 기다려요

Fix는 변경에 보통 크레딧이 얼마나 드는지 보여 준 다음, 에이전트가 요청하는 다른 모든 변경과 똑같이 수정안을 Waiting, 이메일, 채팅으로 보내요. 읽어 보고, 문구를 바꾸고, 승인하거나 거절할 수 있어요.

승인하면 Builder가 변경을 적용하고, 확인한 뒤, 되돌릴 수 있는 새 버전으로 공개해요. 그 버전이 공개되면 점검을 다시 실행하고, 문제가 사라지면 해당 항목을 해결됨으로 표시해요.

보안 수정은 절대 스스로 진행되지 않아요. 다른 에이전트는 같은 종류의 작업을 다섯 번 문제없이 승인받으면 혼자 실행할 권한을 얻을 수 있지만, 이 에이전트는 그럴 수 없어요. 다른 에이전트에 스위치가 있는 자리에 이 에이전트의 설정이 그 사실을 알려 줘요.

위험을 한 번만 수락하면 계속 수락된 상태로 유지돼요

어떤 발견 사항은 내가 직접 선택한 것에서 나와요. 에이전트는 요청하신 내용을 되돌리자고 제안하지 않아요. 위험이 무엇인지 한 번만 알려 주고, 결정은 내가 해요.

Accept the risk를 누르면 선택이 내 이름과 날짜와 함께 남고, 상황이 더 나빠지지 않는 한 에이전트는 다시 알리지 않아요.

하지 않는 일

사이트를 직접 바꾸지 않고, 키의 값을 요청하거나 읽거나 반복하지도 않아요. 키 이름만 가지고 일해요.

침입을 시도하지 않아요. 실제 사이트에서는 방문자의 브라우저가 보내는 평범한 요청만, 한 번 점검할 때 최대 25번까지, 사이트 자체 주소로만 보내요. 고객 기록은 하나하나 읽지 않고 개수만 세요.

언제 실행되고 비용은 얼마인가요

게시할 때마다 방금 라이브가 된 버전에 코드 점검과 키 점검이 비용 없이 실행돼요. 에이전트는 새로운 문제를 발견했을 때, 또는 요청한 수정이 라이브가 되어 확인이 필요할 때만 깨어나요.

매주 월요일 07:00(워크스페이스 시간대)에 라이브 사이트를 포함한 전체 점검을 실행하고 짧은 보고서를 써요. 스레드에서 말을 걸면 답도 해요.

쓰는 크레딧은 결과를 설명하고 수정안을 쓰는 읽기와 쓰기에 드는 만큼이며, 워크스페이스 크레딧에서 자체 월 예산 안에서 나가요. 기본값은 20 크레딧이에요. 한 번 실행에 가장 심각한 것부터 최대 두 가지 수정만 요청하고, 각 수정은 자체 크레딧 견적이 있는 일반 변경이에요.