종합 보안 강화 — 엔터프라이즈급 보호

보안은 선택 사항이 아닙니다. 위젯 코드는 고객 대면 페이지에서 실행되며 민감한 상호작용에 접근할 수 있습니다. 우리의 심층 방어 접근법은 여러 보호 계층을 겹쳐 놓아 한 계층이 우회되더라도 보안을 보장합니다.

콘텐츠 보안 정책(CSP)은 XSS 공격을 방지합니다

CSP 헤더는 어떤 출처가 스크립트, 스타일, 이미지, 글꼴 및 기타 리소스를 로드할 수 있는지를 지정합니다:

• 위젯 JavaScript는 신뢰할 수 있는 CDN 또는 출처에서만 로드됩니다.
• 해시 또는 nonce로 보호되지 않는 한 인라인 스크립트와 스타일은 비활성화됩니다.
• eval 및 유사한 위험한 구조는 금지됩니다.
• 외부 API 호출은 승인된 도메인으로 제한됩니다.
• 위반 보고서는 실시간으로 귀하의 보안 모니터링 엔드포인트로 전송됩니다.

CSP는 기본적으로 90% 이상의 XSS 취약점을 방지합니다.

서브리소스 무결성(SRI)은 변조를 감지합니다

모든 위젯 자산(JavaScript, CSS)은 암호화 해시와 함께 제공됩니다. 브라우저는 코드를 실행하기 전에 해시를 확인합니다. 공격자가 귀하의 CDN을 손상시키거나 트래픽을 가로채면 해시가 일치하지 않으며 브라우저는 변조된 리소스를 로드하는 것을 거부합니다.

샌드박싱은 위젯 코드를 격리합니다

위젯은 부모 페이지에 대한 제한된 접근 권한을 가진 격리된 JavaScript 모듈 범위에서 실행됩니다:

• 호스트 도메인에서 쿠키를 읽을 수 없습니다.
• 호스트에서 localStorage 또는 sessionStorage에 접근할 수 없습니다.
• 위젯 컨테이너 외부에서 부모 DOM을 수정할 수 없습니다.
• 부모 페이지 스크립트나 스타일에 간섭할 수 없습니다.

위젯 코드가 손상되더라도 피해는 제한됩니다.

입력 세척 및 출력 인코딩

• HTML은 제거되거나 인코딩됩니다(메시지 내용으로 인한 XSS 방지).
• SQL 특수 문자는 이스케이프되거나 매개변수화됩니다(SQL 주입 방지).
• 파일 경로는 검증됩니다(디렉토리 탐색 방지).
• 모든 AI 생성 응답은 렌더링 전에 출력 인코딩됩니다.

암호화 보호

• 전송 중 데이터는 TLS 1.3(전방 비밀성)으로 암호화됩니다.
• 저장 중 데이터는 AES-256(대화, 지식 기반, 분석)으로 암호화됩니다.
• API 토큰은 RS256 서명을 사용하는 JWT를 사용합니다.
• 암호화 키는 정기적으로(90일 주기) 교체되며 안전한 금고(AWS KMS, HashiCorp Vault)에 저장됩니다.

준수 인증

보안 아키텍처는 다음과 같은 준수를 지원합니다:

• SOC 2 Type II — 보안 통제의 제3자 감사
• ISO 27001 — 정보 보안 관리
• GDPR — 데이터 보호 및 개인 정보
• HIPAA — 의료 데이터 보안(구성된 경우)
• PCI DSS — 대화에서 결제 카드 세부정보를 처리하는 경우