Lockpick이 사이트를 검사하는 방법
Pulse와 Deep이 살펴보는 것, 살펴보지 않는 것, 그리고 결과를 읽는 방법이에요.
안내 영상 보기
Pick과 함께하는 4분 안내예요. 사이트를 추가하는 것부터 수정을 AI에 맡기는 것까지 다뤄요. 화면에 자막이 나오므로 소리를 끄고도 볼 수 있어요.
대본 읽기
- 0:00 Lockpick 소개
- Pick이 Lockpick을 소개합니다. 낯선 방문자처럼 외부에서 실제 사이트를 읽으며, 코드는 전혀 필요하지 않습니다.
- 0:44 사이트 추가
- 사이트 주소로 사이트를 추가하고, 그 사이트의 소유자이거나 테스트가 허용되어 있는지 확인하세요.
- 1:26 첫 스캔
- 첫 Pulse 스캔을 실행하세요. 보통 15초 안에 홈페이지와 공개 기록을 읽으며, 사이트에는 아무것도 변경하지 않습니다.
- 2:19 리포트 읽기
- 등급을 확인한 뒤 각 발견 사항을 쉬운 말로 읽으세요. 근거와 누군가 이를 어떻게 악용할 수 있는지도 함께 나옵니다.
- 3:10 AI로 수정하기
- 발견 사항의 수정 프롬프트를 코딩 어시스턴트에 복사하세요. 변경 사항을 검토하고 테스트한 뒤, 다시 확인을 눌러 수정이 되었는지 확인하세요.
Pulse와 Deep
같은 외부 관점의 두 가지 깊이입니다. Pulse는 모든 플랜에서 무료입니다. Deep은 Deep 플랜에 포함되며, 소유를 증명한 사이트에서 훨씬 더 깊이 점검합니다.
Pulse
외부인이나 봇이 사이트를 보는 방식으로 빠르게 살펴봅니다
- 점검 대상
- 홈페이지와 그것이 불러오는 파일, 이메일 발신 설정(SPF 및 DMARC), 보안 헤더와 TLS, 공개 DNS, 인증서 및 하위 도메인 레코드를 최대 10회 요청으로 점검합니다.
- 소요 시간
- 보통 15초 이내
- 소유 증명 필요
- 아니요, 사이트를 스캔할 권한이 있는지만 확인합니다
Deep
결심한 공격자가 하는 것처럼 사이트를 꼼꼼히 살펴봅니다
- 점검 대상
- 최대 30개의 읽을 수 있는 페이지와 20개의 스크립트, 공개되어서는 안 되는 파일, 관리자 영역, 그리고 API가 있다면 API를 점검합니다. 사이트가 브라우저에서 페이지를 만든다면, Deep이 얼마나 읽을 수 있었는지 보고서에 표시됩니다.
- 소요 시간
- 2분에서 8분
- 소유 증명 필요
- 예, DNS 레코드, 메타 태그 또는 파일을 추가해 계속 게시해 두어야 합니다
두 방식 모두 사이트를 어떤 식으로도 변경하지 않습니다.
발견에서 수정까지
모든 스캔은 같은 순환으로 끝나므로, 문제가 실제로 해결되었는지 알 수 있습니다.
스캔
Pulse 또는 Deep 스캔을 실행하거나, 주간 자동 점검이 대신 실행하도록 두세요.
발견 사항 읽기
각 발견 사항은 무엇이 열려 있는지, 누군가 이를 어떻게 악용할 수 있는지, 우리가 확인한 근거가 무엇인지 쉬운 말로 설명합니다.
AI에 수정 맡기기
수정 프롬프트를 Lovable, Bolt, Replit, Cursor 또는 Claude Code에 붙여넣으세요. 배포 전에 변경 사항을 검토하고 테스트하세요.
다시 확인
다시 확인은 같은 스캔을 실행해 수정을 확인합니다. 이번 달 허용량에서 스캔 1회를 사용합니다.
DNS 발견 사항은 이 레코드 다시 읽기를 누르면 새 스캔 없이 공개 레코드를 무료로 다시 읽습니다.
주간 자동 점검
자동 점검을 켜면 Lockpick이 일주일에 한 번 사이트를 스캔한 뒤, 등급, 해결된 항목, 새로 생긴 항목, 가장 먼저 고칠 한 가지를 이메일로 보내 드립니다. 무료 플랜은 Pulse로 주간 점검을 합니다. Deep 플랜은 Pulse 또는 Deep으로 주간 점검을 할 수 있습니다.
각 자동 점검은 직접 시작한 스캔과 마찬가지로 이번 달 허용량에서 스캔 1회를 사용합니다. 스캔이 모두 소진되면 자동 점검은 초기화될 때까지 기다렸다가 이메일로 알려 줍니다.
질문
어떤 웹사이트를 점검할 수 있나요?
소유하고 있거나 테스트 권한을 받은 사이트만 가능합니다. 시작하기 전에 정확한 HTTPS 출처를 확인하세요. 한 사이트에 대한 권한은 다른 도메인, 공유 호스팅 인프라, 제3자 서비스까지 포함하지 않습니다.
보안을 이해하고 있어야 하나요?
먼저 쉬운 설명으로 시작하고, 더 자세한 내용이 필요하면 근거를 여세요. 코딩 에이전트가 수정을 도울 수 있지만, 제안된 변경 사항은 직접 검토하고 테스트해야 합니다.
스캔은 코딩 에이전트가 실행하나요?
스캔은 Lockpick의 자체 인프라에서 실행됩니다. 코딩 에이전트는 저장소에서 수정 프롬프트를 적용하는 데 도움을 줄 수 있습니다. 결과에는 근거와 다음 단계가 표시됩니다. 비공개 워크플로와 내부 로그는 리포트에 포함되지 않습니다.
Pulse는 무엇을 살펴보나요?
홈페이지와 그것이 불러오는 파일, 이메일 발신 설정(SPF 및 DMARC), 보안 헤더와 TLS, 공개 DNS, 인증서 및 하위 도메인 레코드를 최대 10회 요청으로 점검합니다. 로그인하지 않고, 양식을 제출하지 않으며, 데이터베이스에 접근하지 않고, 사용자 역할이 분리되어 있다는 것도 증명하지 않습니다. Deep은 더 나아가, 사이트 소유를 증명하면 읽을 수 있는 페이지 최대 30개, 스크립트 20개, 그리고 API까지 점검합니다. 사이트가 브라우저에서 페이지를 만드는 경우, 리포트에 Deep이 얼마나 읽을 수 있었는지 표시됩니다.
Lockpick은 robots.txt를 따르나요?
Pulse는 방문자가 여는 홈페이지 한 페이지와 그 페이지가 불러오는 파일들을, 방문자의 브라우저가 하는 것과 같은 방식으로 읽습니다. robots.txt, 사이트맵, security.txt도 읽지만, 다른 페이지는 크롤링하지 않습니다. Deep은 robots.txt를 검색 대상 파악용으로만 읽습니다. 파일의 Sitemap 지시문과 파일이 언급하는 경로는 Deep이 무엇을 점검할지 정하는 데 참고하지만, 파일이 금지한 경로도 여전히 요청합니다. robots.txt는 착한 크롤러에게 보내는 요청이지 접근 통제가 아니기 때문입니다. Deep은 소유를 증명한 사이트에서만 실행됩니다.
결과가 깨끗하면 앱이 안전하다는 뜻인가요?
아닙니다. 완료된 점검에서 샘플로 받은 응답에 문제가 될 만한 점이 보이지 않았다는 뜻입니다. 확인하지 못한 점검과 점검하지 않은 영역은 계속 표시됩니다. 공개 홈페이지 점검만으로는 애플리케이션 전체의 보안을 입증할 수 없습니다.
Lockpick이 제 코드를 바꾸나요?
자동으로 바뀌는 것은 없습니다. 코딩 에이전트와 함께 수정 프롬프트를 검토하고, 제안된 수정을 테스트한 뒤 배포할지 결정하세요. 프롬프트를 복사한다고 발견 사항이 해결되지는 않습니다. 다시 확인으로 새 근거를 비교하세요.
스캔이 중간에 멈추면 어떻게 되나요?
스캔이 중간에 멈추면, 리포트에 어떤 점검이 끝났고 어떤 점검이 끝나지 않았는지 표시됩니다. 불완전한 결과가 깨끗한 것으로 표시되는 일은 없습니다.
결과를 영구히 보관할 수 있나요?
리포트는 삭제하거나 계정을 닫을 때까지 워크스페이스에 남아 있습니다. 대상 URL이나 수정 요청서에는 비밀번호, 액세스 토큰, 고객 데이터를 절대 넣지 마세요.
출처
홈페이지의 실시간 취약점 수는 Zero Day Clock 집계에서 시작합니다. 이 집계는 2026년 1월부터 8월까지 게시된 CVE 57,871건을 셌습니다. 우리는 같은 일일 속도로 이 수치를 늘려 갑니다.
사이트가 무엇을 보여주는지 확인하세요
먼저 홈페이지를 무료로 살펴보고, 그다음 얼마나 깊이 점검할지 정하세요.