본문으로 건너뛰기Lockpick
작동 방식요금문서

읽기

  • 블로그자주 나오는 보안 질문에 대한 쉬운 답변
  • 가이드흔한 설정별 단계별 수정 방법
  • 보안 검사실행하는 모든 검사를 설명합니다

학습

  • Pick과 함께 배우기사이트가 공격받는 방식을 2분 안에 배우기
  • Claude용 LockpickClaude 및 다른 어시스턴트에서 사이트 검사
  • 용어집우리가 쓰는 용어를 쉬운 말로

회사

  • 변경 로그무엇이 바뀌었는지, 최신순
  • 상태지금 스캔이 실행 중인지 여부
  • 보안 및 신뢰검사 방식과 하지 않는 일
로그인검사하기

만드셨습니다.열어 둔 곳을 확인하세요.

바이브 코딩으로 만든 앱, 웹사이트, 스킬, 저장소를 위한 백신.

예시

웹사이트, GitHub 저장소, 스킬, MCP 서버. 무료, 계정 필요 없음.

전체 결과가 궁금하세요? 가입하고 무료 Pulse 스캔을 받으세요.

이 검사는 공개 웹사이트 및 도메인 정보를 읽습니다. 결과와 민감 정보를 가린 증거를 보관합니다. 데이터 이용 안내

올해 새로 공개된 취약점 57,87101234567890123456789,01234567890123456789012345678957,871개. Zero Day Clock 데이터를 기반으로 한 실시간 추정치입니다.

  1. 공격자가 보는 방식으로 홈페이지를 살펴봅니다.누구나 밖에서 볼 수 있는 방식으로 확인합니다. 웹사이트 스캔에는 코드가 필요하지 않습니다. 저장소와 스킬 점검은 공개 코드를 읽기만 하고 절대 실행하지 않습니다.
  2. 발견한 내용을 쉬운 말로 설명합니다.각 발견 항목은 무엇을 보았는지, 누군가 그것으로 무엇을 할 수 있는지 설명합니다. 전문 용어는 쓰지 않습니다.
  3. 문제를 고치는 프롬프트를 작성합니다.Lovable, Bolt, Replit, Cursor, Claude Code와 함께 작동합니다.

버그는 늘고, 악용은 더 빨라집니다.

공개 사이트는 공격자가 가장 먼저 닿을 수 있는 대상입니다.

  • 57,87101234567890123456789,01234567890123456789012345678957,8712026년 전 세계에서 공개된 취약점(실시간 추정치)
  • 2.7×0123456789.0123456789×지난 분기 건수가 1년 전과 같은 수준으로, 30k 대 11k
  • 1350123456789012345678901234567892026년 상반기, 공개된 당일 악용된 취약점
  • #1#01234567892026년 가장 많이 악용된 분류는 웹 앱과 플러그인으로 679건 중 211건이었습니다

출처

유출된 키 하나를 찾아 고쳤습니다.

Pulse 스캔이 찾아내는 예시입니다. 이 실수는 흔합니다.

atlas.example
AAtlasStudio

좋은 아침입니다, Studio

고객 1,248명미납 청구서 37건

소스 보기/_next/static/chunks/app.js

  1. (self.webpackChunk_N_E=self.webpackChunk_N_E||[]).push([[931],{
  2. 1204:function(e,t,n){"use strict";n.r(t),n.d(t,{default:function(){return s}});
  3. var r=n(7437),a=n(2265),i=n(6463);function l(e){return e.replace(/\s+/g," ")}
  4. let o={sm:640,md:768,lg:1024},u=(0,a.createContext)(o);
  5. function s(e){let{title:t,children:n}=e;return(0,r.jsx)("section",{children:n})}
  6. },3310:function(e,t,n){n.d(t,{Z:function(){return c}});var r=n(2265);
  7. function c(e){let[t,n]=(0,r.useState)(!1);return[t,()=>n(e=>!e)]}
  8. },4821:function(e,t,n){"use strict";n.d(t,{db:function(){return o}});
  9. var r=n(2265),a=n(8830);let c=(0,r.createContext)(null);
  10. function u(e){let{children:t}=e;return(0,r.useMemo)(()=>t,[t])}
  11. let i={SUPABASE_URL:"https://db.atlas.example",
  12. SUPABASE_SERVICE_ROLE_KEY:"eyJhbGciOiJI…"},
  13. o=(0,a.createClient)(i.SUPABASE_URL,i.SUPABASE_SERVICE_ROLE_KEY);
  14. function l(){return o.from("customers").select("*")}
  15. function d(e){return o.from("customers").delete().neq("id",e)}

customersatlas.example을 여는 누구나

이름이메일
Mara Quinnmara@northwind.example
Theo Alberstheo@kestrel.example
Ines Duarteines@fieldnote.example
행 1,245개 더1,248개 모두 삭제

Lockpick예시

웹사이트 코드 안의 데이터베이스 관리자 키

발견Pulse 스캔

atlas.example
AAtlasStudio

좋은 아침입니다, Studio

고객 1,248명미납 청구서 37건

소스 보기/_next/static/chunks/app.js

  1. (self.webpackChunk_N_E=self.webpackChunk_N_E||[]).push([[931],{
  2. 1204:function(e,t,n){"use strict";n.r(t),n.d(t,{default:function(){return s}});
  3. var r=n(7437),a=n(2265),i=n(6463);function l(e){return e.replace(/\s+/g," ")}
  4. let o={sm:640,md:768,lg:1024},u=(0,a.createContext)(o);
  5. function s(e){let{title:t,children:n}=e;return(0,r.jsx)("section",{children:n})}
  6. },3310:function(e,t,n){n.d(t,{Z:function(){return c}});var r=n(2265);
  7. function c(e){let[t,n]=(0,r.useState)(!1);return[t,()=>n(e=>!e)]}
  8. },4821:function(e,t,n){"use strict";n.d(t,{db:function(){return o}});
  9. var r=n(2265),a=n(8830);let c=(0,r.createContext)(null);
  10. function u(e){let{children:t}=e;return(0,r.useMemo)(()=>t,[t])}
  11. let i={SUPABASE_URL:"https://db.atlas.example",
  12. 키 제거됨
  13. o=(0,a.createClient)(i.SUPABASE_URL,i.SUPABASE_ANON_KEY);
  14. function l(){return o.from("customers").select("*")}
  15. function d(e){return o.from("customers").delete().neq("id",e)}

customersatlas.example을 여는 누구나

이름이메일
Mara Quinnmara@northwind.example
Theo Alberstheo@kestrel.example
Ines Duarteines@fieldnote.example
행 1,245개 더1,248개 모두 삭제

테이블 customers에 대한 권한 거부웹사이트의 공개 키로는 이 테이블을 읽을 수 없습니다.

Lockpick예시

웹사이트 코드 안의 데이터베이스 관리자 키

수정됨다시 확인함

변경 전. Atlas의 데이터베이스 관리자 키가 웹사이트 코드에 들어 있어, 사이트를 여는 누구나 고객 테이블을 열 수 있습니다.

발견한 내용

전체 데이터베이스를 열 수 있는 키가 웹사이트 코드에 그대로 있었습니다.

기술 세부 정보

홈페이지가 불러오는 스크립트 4개 중 1개(/_next/static/chunks/app.js)에서 발견되었습니다. eyJhbGciOiJI로 시작하는 Supabase JWT(여기서는 가려짐)에 행 수준 보안을 우회하는 service_role 역할이 담겨 있습니다. Lockpick은 일반 브라우저와 같은 방식으로 스크립트를 읽었으며 키를 사용하지 않았습니다.

누군가 할 수 있는 일

모든 고객 기록을 읽고, 바꾸고, 삭제할 수 있습니다. 비밀번호도 필요 없습니다.

프롬프트

코딩 에이전트에 바로 붙여넣을 수 있는 프롬프트입니다. 키를 교체하고, 서버로 옮기고, 테이블을 잠근 뒤 다시 확인하세요.

무료로 시작하세요. 더 필요하면 Deep.

Free

카드 등록 불필요

  • 사이트 하나에 대해 월 무료 Pulse 스캔 5회
  • 홈페이지와 공개 DNS, 이메일, 인증서 기록
  • 최대 10회 요청, 보통 15초 이내
  • 주간 자동 확인은 스캔 1회씩 사용
  • 로그인 없음, 양식 제출 없음, 고객 데이터 없음

Deep

월 $19 또는 연 $190

  • 사이트 3개에 대해 월 100회 Pulse, 20회 Deep 스캔
  • 최대 30개 페이지, 그 스크립트, 그 뒤의 API
  • 주간 자동 확인
  • 먼저 사이트 소유권을 증명하세요
검사하기Deep 보기

Master Key는 곧 출시됩니다.

공개 HTTPS 페이지만 대상입니다. 테스트 권한이 있는 사이트만 스캔하세요.

스캔 전 질문들.

내 사이트를 스캔해도 안전한가요?

네. Pulse 스캔은 브라우저나 메일 서버가 이미 볼 수 있는 정보만 읽습니다. 홈페이지와 여기서 불러오는 파일, 이메일 발신 설정(SPF, DMARC), 보안 헤더와 TLS, 공개 DNS, 인증서, 서브도메인 기록을 최대 10회 요청 안에서 확인합니다. 로그인하거나 양식을 제출하지 않습니다.

코드가 필요한가요?

사이트에는 필요 없어요. 웹사이트 스캔은 공격자처럼 외부에서 실제 사이트를 점검하므로 코드가 필요하지 않아요. 저장소와 스킬 점검은 붙여 넣은 GitHub 링크의 공개 코드만 읽고 절대 실행하지 않아요.

어떤 빌더와 함께 쓸 수 있나요?

HTTPS를 쓰는 공개 웹사이트라면 무엇으로 만들었든 가능합니다. 각 발견 사항에는 Lovable, Bolt, Replit, Cursor, Claude Code 등 코딩 어시스턴트에 붙여 넣을 수 있는 수정 프롬프트가 함께 제공됩니다.

“테스트 권한 있음”은 무슨 뜻인가요?

사이트가 본인 것이거나, 소유자가 점검해도 된다고 허락한 사이트라는 뜻입니다. Pulse 스캔 전에 이를 확인하며, Deep 스캔에서는 사이트 소유를 증명하도록 추가로 요구합니다.

Early AI-dopters 회원은 무엇을 받나요?

회원은 2개 사이트에서 한 달에 10회 Pulse 스캔을 받고, 1개월 무료 Deep을 받습니다. VIP 회원은 3개 사이트에서 한 달에 20회 Pulse 스캔을 받고, 2개월 무료 Deep을 받습니다. EA Apps의 Lockpick 타일에서 받으세요.

언제든 해지할 수 있나요?

네. 결제 페이지에서 Deep을 언제든 해지할 수 있습니다. Free는 해지할 것이 없습니다.

링크를 공유하기 전에 사이트를 점검하세요.

검사하기

본인이 소유한 자물쇠만 따세요.

Lockpick
요금방법론문서블로그가이드보안 점검Pick과 함께 배우기보안과 신뢰Claude용 Lockpick변경 로그상태AI 어시스턴트를 위한 정보

Lockpick은 바이브 코딩으로 만든 앱을 위한 보안 스캐너입니다. 라이브 사이트가 노출하는 것과 GitHub 저장소나 AI 스킬을 설치하기 전에 그것이 무엇을 하는지 검사하고, Lovable, Bolt, Replit, Cursor 또는 Claude Code에 보낼 수정 프롬프트를 제공합니다.

Lockpick은 테스트 권한이 있는 공개 페이지와, 절대 실행하지 않는 공개 GitHub 코드를 평가합니다.

© 2026 Lockpick이용약관개인정보처리방침문의로그인