비밀번호를 저장하지 않습니다.

접근 제어

권한은 요청이 올 때마다 서버가 판정합니다. 화면은 그 판정을 비출 뿐, 스스로 판단하지 않습니다.

• ✓권한이 서로 다른 기본 역할 6종에, 조직별 커스텀 역할을 더할 수 있습니다
• ✓2단계 인증은 시간 기반 일회용 코드로 발급합니다. 복구 코드는 발급 시 한 번만 보여주고, 저장은 해시로 합니다
• ✓관리자가 조직 전체에 2단계 인증을 의무화할 수 있고, 누가 등록했는지 확인할 수 있습니다
• ✓세션은 서명되고 만료됩니다 — 수명이 긴 공유 토큰은 없습니다
• ✓관리자는 한 사용자의 모든 세션을 한 번에 폐기할 수 있고, 즉시 반영됩니다
• ✓초대는 기한이 지나면 만료되고, 한 번만 쓸 수 있습니다
• ✓도메인 기반 가입에는 IdP가 확인해 준 도메인이 필요합니다. 자동으로 들어오는 일은 없습니다
• ✓개인 레이어 자산은 닫히는 쪽으로 실패합니다 — 소유자가 없으면 허용이 아니라 거부입니다

감사 기록

감사 로그는 아무도 손대지 않았음을 증명할 수 있을 때에만 값어치가 있습니다. 저희 로그는 각 항목을 바로 앞 항목의 해시에 이어 붙입니다 — 한 줄만 고쳐도 그 뒤의 모든 줄이 검증을 통과하지 못합니다.

• ✓모든 관리 작업은 행위자·대상·시각·결과를 남깁니다
• ✓해시 체인으로 위변조가 드러납니다. 검증 엔드포인트는 직접 호출할 수 있습니다
• ✓최근 90일치를 CSV로 내보내 자체 SIEM이나 보관 정책에 넣을 수 있습니다
• ✓자격 증명과 토큰은 로그에 절대 남지 않습니다

의존성과 취약점 제보

어떤 제품이든 그 안에서 돌아가는 것 대부분은 남이 쓴 코드입니다. 저희는 저희 몫의 자재명세서를 유지하고, 공개 취약점 데이터베이스와 대조합니다.

• ✓소프트웨어 자재명세서(SBOM)를 CycloneDX 형식으로 생성합니다
• ✓의존성은 OSV 취약점 데이터베이스와 대조합니다
• ✓조회가 실패하면 실패로 보고합니다 — “확인 못 했다”를 “문제 없다”로 치지 않습니다
• ✓요청마다 Host 헤더를 검증하므로 경로 기반 검사를 우회할 수 없습니다
• ✓브라우저가 강제하는 응답 헤더 — HTTPS 강제, 프레임 삽입 차단, 콘텐츠 타입 추측 금지, 리퍼러와 권한 제한
• ✓외부에 열려 있는 면은 독립된 외부 기관의 평가를 받고, 등급을 한 번 재고 끝내지 않고 계속 추적합니다

뭔가 발견하셨다면 보안 연락처로 보내주세요. 접수 사실을 알려드리고, 어떻게 대응하는지 함께 전해드립니다.