보안

아키텍처

UptimeGlobe는 최상위급 인프라 제공업체가 운영하는 완전 관리형 서버리스 플랫폼에서 실행됩니다. 저희가 직접 운영하는 상시 서버도, 교체해야 할 SSH 접근도, 패치해야 할 운영 체제도 없으므로, 상당수 유형의 취약점은 애초에 저희의 공격 표면에 속하지 않습니다. 사용자용이든 내부용이든 모든 트래픽은 TLS로 전송됩니다.

계정

• 비밀번호는 PBKDF2-SHA256(100,000회 반복, 사용자별 솔트)으로 해시됩니다. 평문 비밀번호는 절대 저장하거나 로그에 남기지 않으며, 로그인 응답은 응답 시간으로 계정 존재 여부를 알아낼 수 없도록 설계되어 있습니다.
• 이중 인증(TOTP)은 무료 플랜을 포함한 모든 계정에서 사용할 수 있습니다.
• 세션은 15분짜리 단기 토큰과 일회용으로 교체되는 리프레시 토큰을 사용합니다. 이미 교체된 리프레시 토큰이 재사용되면(세션 도용의 징후) 계정의 모든 세션이 취소됩니다. 비밀번호 변경과 재설정도 마찬가지입니다.
• 봇 차단: 회원 가입과 로그인은 풀어야 할 CAPTCHA 없이 자동화된 악용을 걸러냅니다.

자격 증명과 데이터

• 알림 자격 증명(Slack 토큰, 웹훅 URL, SMS 제공업체 키)은 데이터베이스 외부에 보관된 키로 AES-256-GCM을 사용해 저장 시 암호화됩니다. API는 이를 가려서 반환하며, 오류 메시지도 정리되므로 실패한 연동이 자신의 비밀 값을 노출할 수 없습니다.
• 테넌트 격리는 데이터 액세스 계층 자체에서 적용됩니다. 테넌트 소유 데이터에 대한 모든 쿼리는 자동으로 고객님의 조직 범위로 제한되며, 이 관문을 우회하는 코드는 린터가 거부합니다. 각 엔드포인트가 기억해서 처리하도록 맡겨 두지 않습니다.
• API 키는 리소스별·작업별(읽기/쓰기)로 범위가 지정되고, 생성 시 한 번만 표시되며, 해시로 저장되고, 언제든 취소할 수 있습니다.
• 결제 데이터: 카드 정보는 저희 시스템에 절대 닿지 않습니다. 유료 결제가 운영될 때 결제 및 카드 보관은 전문 결제 제공업체가 처리합니다.

데이터 권리

데이터를 내보낼 수 있고 계정을 삭제할 수 있습니다. 삭제는 삭제 표시만 하는 것이 아니라 테넌트 데이터를 실제로 영구 삭제합니다. 자세한 내용은 개인정보 처리방침을 참고하세요.

컴플라이언스 현황

UptimeGlobe는 아직 SOC 2나 ISO 27001 인증을 보유하고 있지 않습니다. 저희는 창업자가 직접 운영하는 초기 단계 제품이며, 그렇지 않은 척하지 않겠습니다. 이 페이지는 현재 실제로 갖춰진 통제 수단을 설명하며, 보안 체계가 발전함에 따라 업데이트됩니다.

취약점 신고

문제를 발견하셨나요? 문의 양식에서 주제로 기타를 선택하고 메시지를 "SECURITY"로 시작해 주세요. 재현 단계와 예상되는 영향을 함께 적어 주세요. 2영업일 이내에 접수를 확인하고, 수정하는 동안 진행 상황을 알려 드리며, 원하시면 크레딧에 이름을 올려 드립니다. 테스트 중에는 다른 사용자의 데이터에 접근하지 말아 주세요. 본인 계정을 대상으로 한 개념 증명이면 언제나 충분합니다.