도메인 보안 점수 확인하는 법

Problem

간단해 보이는 질문에 똑 떨어지는 답을 원합니다. 내 도메인은 남이 읽을 수 있는 척도로 얼마나 안전한가? 많은 도구가 등급과 초록 체크를 안겨줍니다. 등급은 받기도 쉽고 잘못 읽기도 쉽습니다 — 그래서 쓸모 있는 기술은 숫자를 받는 게 아니라, 그 숫자가 무엇으로 이루어졌고 어느 부분부터 고쳐야 하는지 아는 것입니다.

보안 점수가 실제로 무엇인가

도메인 보안 점수는 판정이 아니라 가중치가 붙은 분류 신호입니다. 밖에서 관측 가능한 점검들 — DNS, TLS, HTTP 헤더, 이메일 인증, 열린 포트 — 을 하나의 수치로 말아, “뻔한 건 안 깨졌다”와 “핵심이 빠졌다”를 한눈에 가르게 해줍니다. 우선순위를 잡는 데는 진짜로 쓸모 있습니다. 하지만 안전하다는 증서는 아닙니다. 이게 재는 모든 것이 시스템의 바깥에 있고, 실제 침해의 대부분은 안쪽에서 오기 때문입니다 — 버그, 약한 비밀번호, 스캔이 못 보는 패치 안 된 라이브러리.

그러니 숫자는 결승선이 아니라 출발 신호입니다. 값어치는 그 아래 분해표에 있고, DechoNet의 종합 조회가 실제로 가리키는 곳도 거기입니다.

숫자의 구성: 9개 영역과 가중치

DechoNet 점수는 0에서 100까지이고, 각 영역이 고정 가중치를 갖습니다. 이게 중요한 이유는, 가중치가 곧 “문제가 어디서 가장 아픈지”를 말해주기 때문입니다:

영역	가중치	점검 내용
DNS	18	A/AAAA·CNAME·NS·MX 레코드의 정상 해석
SSL/TLS	18	인증서 유효성·만료·SAN 커버리지·체인
HTTP	14	보안 헤더·리다이렉트·최종 응답 코드
이메일	14	SPF·DKIM·DMARC 레코드와 정렬
RDAP	10	등록 상태·만료·잠금 플래그
전파	8	여러 리졸버 간 DNS 응답의 일관성
포트	8	밖에서 닿는 포트
역방향 DNS	5	PTR 레코드 존재와 유효성
ASN	5	네트워크·라우팅 출처

DNS와 TLS를 합치면 100점 중 36점 — 3분의 1이 넘습니다. 임의로 정한 게 아닙니다: 이름이 안 풀리거나 인증서가 깨졌으면 사이트의 나머지가 다 무의미하니, 이 둘이 설계상 점수를 지배합니다. 인증서 체인이 불완전한데 헤더 하나 다듬는 건, 열리지도 않는 문의 손잡이를 광내는 짓입니다.

치명적 이슈가 실제로 깎는 값

각 영역은 통과/실패로 끝나지 않고, 심각도에 따라 점수를 잃습니다. 한 영역의 치명적(critical) 이슈는 그 영역 가중치의 40%를 태우고, 경고(warning) 는 15%를, 정보성 항목은 0을 태웁니다. 데이터가 불완전하면 약 10%. 손실은 그 영역의 가중치까지만 — 영역이 0이 될 순 있어도 음수로는 안 갑니다.

예를 들어 봅시다. 치명적 SSL 이슈 — 이를테면 만료된 인증서 — 는 18의 40%, 약 7점을 태워, 이 하나로 95에서 88로 내려갑니다. 역방향 DNS의 치명적 이슈는 5의 40%, 겨우 2점입니다. 같은 심각도인데 청구서는 딴판이죠. 이 비대칭이 첫 줄 숫자 대신 분해표를 읽어야 하는 이유의 전부입니다: 스캔은 이미 “만료된 인증서가 빠진 PTR 레코드보다 세 배 더 중요하다”고 말해주고 있습니다.

내 점수 확인하는 법

• 도메인에 종합 조회를 돌립니다. DNS·SSL·HTTP·이메일·RDAP·전파·포트·역방향 DNS·ASN 점검을 한 번에 쏘고, 0–100 점수와 영역별 분해표, 그리고 순위가 매겨진 우선 조치 목록을 돌려줍니다. (공유 카드에 보이는 A+~F 등급은 그 점수를 첫 줄용으로 구간화한 것뿐입니다.)
• 분해표가 짚은 영역은 전용 도구를 열어 상세를 봅니다: 인증서·체인 문제는 SSL 점검, 빠진 보안 헤더는 HTTP 점검, 레코드 오류는 DNS 조회.

올바른 순서로 등급 올리기

가장 빠른 길은 “전부 고치기”가 아닙니다. 가중치 × 심각도, 큰 것부터 — 우선 조치 목록이 이미 주는 순서 그대로입니다.

1. DNS·SSL의 치명적부터 지운다. 가장 무거운 영역(각 18)이고, 둘 중 하나의 치명적은 약 7점입니다. 만료·불일치 인증서, 안 풀리는 도메인 — 점수 변동도 가장 크고 대개 수정도 가장 빠릅니다.
2. 다음은 HTTP·이메일의 치명적. 각 14라 치명적 하나가 약 5.6점. HTTPS 강제 누락, SPF/DMARC 없는 이메일 설정이 여기입니다.
3. 그다음 무거운 영역의 경고를 가벼운 영역의 치명적보다 먼저. SSL 경고(약 2.7점)가 역방향 DNS 치명적(2점)보다 무겁습니다. 경보 색깔이 아니라 계산이 순서를 정하게 하세요.
4. 남은 게 정보성이면 멈춘다. 98을 100으로 만드는 건, 스캔이 이미 “문제없다”고 한 곳에 쏟는 헛수고입니다.

점수가 못 보는 것

천장을 스스로에게 솔직히 말합시다. 이 점수는 밖의 공격자가 첫 훑기에서 보는 방식으로 도메인을 읽습니다 — 로그인 없이 보이는 설정. 애플리케이션 코드, 인증, 패치 수준, 접근 제어, 요청이 서버에 닿은 뒤 벌어지는 일은 못 봅니다. 깨끗한 A를 쥐고도 인젝션 버그, 유출된 API 키, 약한 관리자 비밀번호에 무너질 수 있습니다. 점수의 일은 오후 한나절이면 고칠 설정 실수를 잡아 순위 매기는 것이고, 보안의 나머지는 여전히 당신 몫입니다.

Resolution Checklist

• 종합 조회를 돌리고, 숫자만이 아니라 분해표를 읽습니다.
• 영역 가중치 × 이슈 심각도로 수정 순서를 정합니다 — 우선 조치 목록이 이미 그렇게 해줍니다.
• 가벼운 영역을 건드리기 전에 DNS·SSL의 치명적을 전부 지웁니다.
• 수정할 때마다 다시 스캔해, 그 이슈의 감점이 사라졌는지 확인합니다.
• ‘불완전’으로 표시된 영역은 우선 측정 문제로 보고 — 깨졌다고 단정하기 전에 재스캔합니다.
• 정보성 항목만 남으면 숫자 최적화를 멈추고, 스캔이 못 보는 것들을 감사하러 갑니다.

When to Escalate

• 수정하고 재스캔해도 영역이 치명적으로 남으면, 전용 도구에서 원본 상세를 열어 그 서비스를 관리하는 쪽에 넘기세요 — 당신이 못 바꾸는 설정을 관리형 CDN, 메일 제공자, 레지스트라가 쥐고 있을 수 있습니다.
• 외부 점수는 깨끗한데 실제 사고를 쫓는 중이라면, 안쪽으로 escalate 하세요: 답은 로그·애플리케이션 코드·접근 제어에 있고, 어떤 외부 스캔도 그걸 드러내지 못합니다.