용어집 · 문서

빠른 검사: 홈페이지 한 페이지를 무료로 약 10초 동안 살펴보고, 100점 만점의 점수와 A에서 D까지의 등급을 보여줍니다. 계정이 필요 없고 스캔 횟수를 사용하지 않습니다.
Pulse: 로그인한 계정을 위한 무료 스캔입니다. 보통 15초 안에 끝나며, 낯선 사람이나 봇의 시각으로 홈페이지, 이메일 설정, 보안 설정, 공개 기록을 살펴봅니다.
Deep 스캔: 더 깊은 스캔입니다. 끈질긴 공격자처럼 사이트의 페이지를 최대 30개까지 살펴보며, 사이트 소유를 증명해야 합니다.
Master Key: 테스트 계정 두 개로 앱에 로그인해서, 한 사용자가 다른 사용자의 데이터를 볼 수 있는지 확인하는 테스트입니다. 곧 출시됩니다.
자동 점검: Lockpick이 일정에 따라 실행하는 스캔입니다. 무료 및 Deep 요금제에서는 매주 실행되며, 결과는 이메일로 받습니다.
남은 스캔: 요금제에 따라 이번 달에 남은 스캔 횟수입니다. CLI와 API에서는 여전히 크레딧이라고 부릅니다.
보너스 스캔: 요금제 외에 추가로 받는 스캔입니다. 예를 들어 친구를 초대하거나 얼리 액세스를 통해 받을 수 있습니다. 요금제 스캔과 따로 표시됩니다.
등급: 100점 만점의 점수를 바탕으로, 사이트가 얼마나 노출되어 있는지 요약한 A에서 D까지의 글자 등급입니다.
수정할 항목: 스캔에서 발견된, 공격을 쉽게 만드는 문제입니다. 개발자들은 이를 finding이라고 부릅니다.
심각도: 수정할 항목이 얼마나 중요한지를 한 척도로 나타냅니다. Critical, High, Medium, Low, Info가 있습니다. Pulse와 Deep은 현재 High까지 평가하며, Monitor 권고는 Critical이 될 수 있습니다.
수정 시기: 발견 항목을 얼마나 빨리 처리해야 하는지 알려 줍니다. 지금 수정은 고객 데이터, 계정 또는 키에 접근할 수 있다는 뜻입니다. 이번 주에 수정은 누군가 악용할 수 있다는 뜻입니다. 시간 날 때는 공격을 쉽게 만든다는 뜻입니다. 할 일 없음은 알아두기만 하면 된다는 뜻입니다. 설치할지 고민 중인 스킬, 플러그인, MCP 서버에서는 같은 단계를 아직 설치하지 마세요, 설치 전에 확인, 알아둘 가치 있음, 할 일 없음으로 표시합니다.
증거: 스캔이 실제로 확인한 문제의 증거입니다. 헤더나 공개 기록처럼, 민감한 정보는 가린 채 보여줍니다.
적용 범위: 스캔이 점검할 수 있었던 범위입니다. 점검하지 못한 항목은 통과로 계산되지 않습니다.
브라우저에서 만든 페이지: 많은 React 앱처럼, 방문자의 브라우저에서 실행되는 코드가 페이지를 구성하는 사이트입니다. Pulse는 서버가 보내는 내용을 읽기 때문에 이런 사이트는 더 적게 확인하며, 보고서의 Scope 탭에 빠진 부분이 적혀 있습니다.
다시 검사: 같은 사이트에 같은 종류의 스캔을 새로 실행해 이전 결과와 비교하는 것입니다. 항상 스캔 한 번을 사용합니다. CLI에서는 recheck라고 부릅니다.
이 기록 다시 읽기: 한 가지 문제에 대해 공개 DNS, 인증서, 등록 기록을 무료로 즉시 다시 읽는 기능입니다. 사이트에 아무것도 보내지 않으며 스캔 횟수를 사용하지 않습니다.
사이트 소유 증명: Deep에 필요한 일회성 단계입니다. 사이트 소유자만 게시할 수 있는 DNS 레코드, meta 태그 또는 파일을 추가하면, Lockpick이 Deep 스캔 전마다 이를 확인합니다.
인증: 사이트를 소유하고 있거나 테스트할 권한이 있다는 확인입니다. Lockpick은 스캔 전마다 이를 요청합니다.
Monitor: Lockpick이 사용자의 사이트가 쓰는 Next.js나 WordPress 같은 소프트웨어의 공개 보안 문제를 지켜보다가, 그중 사용자에게 영향을 줄 수 있는 문제가 생기면 알려주는 기능입니다.
보안 권고: 소프트웨어의 한 보안 문제에 대한 공개 안내입니다. 보통 그 문제를 고치는 릴리스를 함께 명시합니다.
영향을 줄 수 있음: 사이트가 권고가 다루는 소프트웨어를 사용하지만, 어떤 버전인지는 확인할 수 없습니다. 사이트가 이미 수정된 릴리스를 쓰고 있다면 바꿀 것은 없습니다.
영향을 줌: Lockpick에 보낸 패키지 버전에 영향을 받는 릴리스가 포함되어 있습니다. 권고에 명시된 릴리스로 업데이트하세요.
실제로 악용 중: 공격자가 이미 실제 사이트에 이 문제를 사용하고 있습니다. 이것부터 먼저 처리하세요.
KEV: CISA의 Known Exploited Vulnerabilities 목록입니다. CISA는 미국 정부의 사이버 보안 기관이며, 이 목록에는 공격자가 지금 사용하고 있는 문제가 이름과 함께 실려 있습니다.
CVE 및 GHSA: 알려진 하나의 보안 문제에 붙는 공개 식별자입니다. 예를 들어 CVE-2025-55182가 있습니다. GHSA 식별자는 같은 종류의 안내에 대한 GitHub의 식별자입니다. 문제를 찾아볼 때만 필요합니다.
RCE: 원격 코드 실행입니다. 공격자가 사용자의 서버에서 자기 코드를 실행할 수 있게 하는 문제로, 가장 심각한 종류 중 하나입니다.
공개 기록: 누구나 조회할 수 있는 도메인에 관한 정보입니다. DNS 레코드, 인증서 로그, 등록 정보 등이 있습니다. 법원이나 정부 기록과는 관련이 없습니다.
DNS: 인터넷의 주소록입니다. 사이트와 이메일이 어디에 있는지 알려주며, 누구나 읽을 수 있습니다.
서브도메인: example.com 아래의 shop.example.com처럼 도메인 아래에 있는 주소입니다. 인증서 로그에 목록이 남아 있어서 누구나 찾을 수 있습니다.
TXT 레코드: 한 줄의 텍스트를 담는 DNS 레코드입니다. 이메일 보안 설정과 소유 증명에 사용됩니다.
SPF: 이메일을 귀하의 도메인 이름으로 보낼 수 있는 서버를 나열하는 DNS 레코드입니다.
DKIM: 이메일이 실제로 귀하의 도메인에서 왔음을 증명하는 이메일 서명입니다.
DMARC: SPF 또는 DKIM 검사에 실패한 이메일을 어떻게 처리할지(예: 거부)를 메일 제공업체에 알려주는 DNS 레코드입니다.
HTTPS 인증서: 브라우저가 사이트에 안전하게 연결하고 그 사이트가 실제로 귀하의 것인지 확인할 수 있게 해주는 인증서입니다. 모든 인증서는 공개 로그에 기록됩니다.
보안 헤더: 사이트가 모든 페이지와 함께 보내는 지시문으로, 브라우저가 흔한 공격을 차단하도록 알려줍니다.
Content Security Policy: 브라우저에 페이지에서 실행될 수 있는 스크립트를 알려주는 보안 헤더입니다.
HSTS: 브라우저가 귀하의 사이트에 항상 HTTPS만 사용하도록 알려주는 보안 헤더입니다.
CORS: 방문자의 브라우저에서 어떤 다른 웹사이트가 귀하의 사이트 데이터를 읽을 수 있는지 정하는 규칙입니다.
소스 맵: 사이트의 압축된 코드를 읽을 수 있는 소스로 되돌리는 파일입니다. 공개된 상태로 두면 앱이 어떻게 동작하는지 드러날 수 있습니다.
노출된 파일: 설정 파일이나 백업처럼 절대 공개되어서는 안 되는 파일로, 누구나 내려받을 수 있습니다.
서브도메인 탈취: 서브도메인이 더 이상 사용하지 않는 서비스를 여전히 가리키고 있어서, 다른 사람이 그 서브도메인을 가져가 자신의 페이지를 띄울 수 있는 상태입니다.
robots.txt: 자동화된 방문자에게 건너뛸 페이지를 알려주는 사이트의 파일입니다. Lockpick은 발견한 모든 페이지에서 이 파일을 따르며, 방문자가 여는 페이지와 불러오는 파일은 여전히 읽습니다.
사용자 에이전트: 프로그램이 귀하의 사이트를 방문할 때 사용하는 이름입니다. Lockpick의 스캔은 일반 브라우저의 User agent를 보내며, 대신 서명된 Signature-Agent 헤더로 자신이 Lockpick임을 증명합니다.
수정 브리프: 개발자나 코딩 어시스턴트를 위해 작성된, 스캔의 모든 수정 사항을 담은 하나의 문서입니다.
수정 프롬프트: Claude Code나 Cursor 같은 코딩 어시스턴트에 붙여넣는 한 가지 수정에 대한 지시문입니다. 수정할 항목마다 각각 있으며, 복사하기 전에 편집할 수 있습니다.
MCP: Model Context Protocol로, AI 어시스턴트가 Lockpick 같은 도구에 연결할 때 사용하는 표준입니다.
OAuth: 비밀번호를 주지 않고도 앱이 귀하를 대신해 동작하도록 하는 표준 방식입니다. 어시스턴트는 이 방식으로 Lockpick에 로그인합니다.
CLI: 터미널에서 사용하는 Lockpick으로, npm에서 lockpicks라는 이름으로 설치하는 lockpick 명령어입니다.
API 키: 프로그램이 다른 서비스의 계정을 사용할 수 있게 해주는, 프로그램용 비밀번호와 같은 비밀 값입니다. Lockpick의 API 키는 CLI나 릴리스 스캔이 귀하의 Lockpick 계정을 사용할 수 있게 합니다. CLI는 로그인할 때 키를 받습니다.
프로젝트와 실행: CLI, API, 일부 웹 주소는 여전히 사이트를 가리키는 project와 스캔을 가리키는 run이라는 용어를 사용합니다. 의미는 같습니다.