보안

이 문서는 회사 홈페이지의 도입 문의, 회원 계정, 샘플 리포트 제공 기능에 적용됩니다. 고객사와 별도 계약으로 제공하는 분석 서비스의 보안 조건은 해당 계약에서 정합니다.

홈페이지의 모든 접속에는 HTTPS(TLS)를 적용하며, HTTP로 접속하면 HTTPS로 자동 전환됩니다. 인증서는 호스팅 사업자가 자동으로 발급하고 갱신합니다.

모든 응답에 다음 보안 헤더를 적용합니다.

• 파일 형식 추측 차단(X-Content-Type-Options: nosniff)
• 다른 사이트의 프레임 삽입 차단(X-Frame-Options: DENY, CSP frame-ancestors 'none')
• 외부로 전달되는 참조 주소 최소화(Referrer-Policy: strict-origin-when-cross-origin)
• 카메라·마이크·위치 정보 접근 차단(Permissions-Policy)

회원 인증은 Supabase Auth로 처리하며, 비밀번호는 일방향 해시로 저장되어 회사도 원문을 알 수 없습니다.

이메일 인증을 마친 계정만 로그인할 수 있습니다.

로그인 후 이동하는 주소는 홈페이지 내부 경로로 제한하여 외부 사이트로 유도하는 공격(오픈 리다이렉트)을 막습니다.

샘플 리포트 파일은 공개 경로에 두지 않습니다. 다운로드 요청마다 서버에서 로그인 세션을 검증한 뒤 파일을 전송하며, 응답이 브라우저나 중간 서버에 캐시되지 않도록 설정합니다.

도입 문의 입력값은 서버에서 형식과 길이를 검증하고, 메일 제목에 쓰이는 값에서 줄바꿈 등 제어 문자를 제거하여 메일 헤더 인젝션을 막습니다.

같은 IP 주소의 문의 요청은 1분에 5회로 제한하며, 사람에게 보이지 않는 입력 필드로 자동 입력 프로그램을 걸러 냅니다.

서비스 연동용 비밀키는 배포 환경의 환경 변수로만 관리하며 소스 코드와 저장소에 포함하지 않습니다. 사용하는 오픈소스 라이브러리는 업데이트를 확인하여 반영합니다.

호스팅은 Vercel, 회원 인증은 Supabase, 문의 메일 전달은 Resend를 이용합니다. 각 사업자에게 위탁하는 개인정보와 국외 이전 내용은 개인정보처리방침 제5조와 제6조에서 안내합니다.

회사는 현재 ISO/IEC 27001, SOC 2 등 외부 보안 인증을 보유하고 있지 않으며, 정기 모의해킹이나 버그 바운티 프로그램을 운영하지 않습니다. 보안 사고 대응은 별도 전담 조직 없이 개인정보 보호책임자가 총괄합니다.

보안 취약점을 발견하면 contact@dillab.ai로 알려 주십시오. 해당 URL, 재현 절차, 예상 영향을 함께 보내 주시면 확인에 도움이 됩니다.

확인 과정에서 다른 이용자의 정보에 접근하거나 변경하는 행위, 서비스 장애를 일으키는 시험은 삼가 주십시오.

회사는 신고를 받으면 영업일 기준 5일 이내에 접수 사실을 회신하고, 확인 결과를 알려 드립니다.

개인정보 유출 등 보안 사고를 알게 되면 회사는 피해 확산을 막는 조치를 하고, 관계 법령에 따라 정보주체에게 알리며 관계 기관에 신고합니다.