API와 서비스 연동

명확한 계약, 접근 통제, 장애 대응을 갖춘 안정적인 연동을 설계합니다.

92 개 글 · 최근 업데이트된 글

지난 글과 본문을 포함하여 이 주제의 모든 글을 검색합니다.

Zabbix: 콘텐츠와 스크립트 분리

게시 · 업데이트

Zabbix: 크로스 사이트 스크립팅 XSS. 2026-10-06 사례로서 CERTFR-2026-AVI-1261을 바탕으로 버전 항목 3개와 CVE 6개, 문서에 명시된 버전과 탐지 도구 관련 검증을 다룹니다.

기사 읽기

Instant ON: 외부 요청 통제

게시 · 업데이트

Instant ON: 서버 측 요청 위조 SSRF. 2026-09-30 사례로서 CERTFR-2026-AVI-1238을 바탕으로 버전 항목 1개와 CVE 18개, 문서에 명시된 버전과 네트워크 접근 관련 검증을 다룹니다.

기사 읽기

DSM: 데이터베이스 쿼리 보호

게시 · 업데이트

DSM: SQL 삽입. 2026-09-21 사례로서 CERTFR-2026-AVI-1209을 바탕으로 버전 항목 4개와 CVE 8개, 문서에 명시된 버전과 백업 관련 검증을 다룹니다.

기사 읽기

WordPress: 콘텐츠와 스크립트 분리

게시 · 업데이트

WordPress: 크로스 사이트 스크립팅 XSS. 2026-09-19 사례로서 CERTFR-2026-AVI-1200을 바탕으로 버전 항목 1개와 CVE 0개, 문서에 명시된 버전과 웹 애플리케이션 관련 검증을 다룹니다.

기사 읽기

MISP: 외부 요청 통제

게시 · 업데이트

MISP: 서버 측 요청 위조 SSRF. 2026-09-14 사례로서 CERTFR-2026-AVI-1170을 바탕으로 버전 항목 1개와 CVE 19개, 문서에 명시된 버전과 실행 플랫폼 관련 검증을 다룹니다.

기사 읽기

laravel/framework: 콘텐츠와 스크립트 분리

게시 · 업데이트

laravel/framework: 크로스 사이트 스크립팅 XSS. 2026-09-12 사례로서 CERTFR-2026-AVI-1153을 바탕으로 버전 항목 2개와 CVE 0개, 문서에 명시된 버전과 웹 애플리케이션 관련 검증을 다룹니다.

기사 읽기

EcoStruxure IT Data Center Expert: 외부 요청 통제

게시 · 업데이트

EcoStruxure IT Data Center Expert: 서버 측 요청 위조 SSRF. 2026-09-08 사례로서 CERTFR-2026-AVI-1132을 바탕으로 버전 항목 1개와 CVE 2개, 문서에 명시된 버전과 산업 시스템 관련 검증을 다룹니다.

기사 읽기

Roundcube Webmail: 외부 요청 통제 · 2026-09-07

게시 · 업데이트

Roundcube Webmail: 서버 측 요청 위조 SSRF. 2026-09-07 사례로서 CERTFR-2026-AVI-1122을 바탕으로 버전 항목 2개와 CVE 0개, 문서에 명시된 버전과 메일 시스템 관련 검증을 다룹니다.

기사 읽기

AOS-CX, Fabric Composer: 외부 요청 통제

게시 · 업데이트

AOS-CX, Fabric Composer: 서버 측 요청 위조 SSRF. 2026-09-02 사례로서 CERTFR-2026-AVI-1104을 바탕으로 버전 항목 6개와 CVE 86개, 문서에 명시된 버전과 네트워크 접근 관련 검증을 다룹니다.

기사 읽기

Redmine: 콘텐츠와 스크립트 분리

게시 · 업데이트

Redmine: 크로스 사이트 스크립팅 XSS. 2026-08-27 사례로서 CERTFR-2026-AVI-1085을 바탕으로 버전 항목 3개와 CVE 0개, 문서에 명시된 버전과 웹 애플리케이션 관련 검증을 다룹니다.

기사 읽기

PostgreSQL: 데이터베이스 쿼리 보호

게시 · 업데이트

PostgreSQL: SQL 삽입. 2026-08-14 사례로서 CERTFR-2026-AVI-1024을 바탕으로 버전 항목 5개와 CVE 28개, 문서에 명시된 버전과 데이터베이스 관련 검증을 다룹니다.

기사 읽기

Telerik UI pour AJAX: 외부 요청 통제

게시 · 업데이트

Telerik UI pour AJAX: 서버 측 요청 위조 SSRF. 2026-08-07 사례로서 CERTFR-2026-AVI-0977을 바탕으로 버전 항목 1개와 CVE 13개, 문서에 명시된 버전과 웹 애플리케이션 관련 검증을 다룹니다.

기사 읽기

PHP: 데이터베이스 쿼리 보호

게시 · 업데이트

PHP: SQL 삽입. 2026-07-31 사례로서 CERTFR-2026-AVI-0952을 바탕으로 버전 항목 4개와 CVE 4개, 문서에 명시된 버전과 실행 플랫폼 관련 검증을 다룹니다.

기사 읽기

Roundcube Webmail: 외부 요청 통제

게시 · 업데이트

Roundcube Webmail: 서버 측 요청 위조 SSRF. 2026-07-21 사례로서 CERTFR-2026-AVI-0835을 바탕으로 버전 항목 2개와 CVE 6개, 문서에 명시된 버전과 메일 시스템 관련 검증을 다룹니다.

기사 읽기

Splunk Enterprise: 세션 작업 검증

게시 · 업데이트

Splunk Enterprise: 사이트 간 요청 위조 CSRF. 2026-07-18 사례로서 CERTFR-2026-AVI-0888을 바탕으로 버전 항목 14개와 CVE 31개, 문서에 명시된 버전과 탐지 도구 관련 검증을 다룹니다.

기사 읽기

Drupal: 콘텐츠와 스크립트 분리

게시 · 업데이트

Drupal: 크로스 사이트 스크립팅 XSS. 2026-07-16 사례로서 CERTFR-2026-AVI-0889을 바탕으로 버전 항목 3개와 CVE 3개, 문서에 명시된 버전과 웹 애플리케이션 관련 검증을 다룹니다.

기사 읽기

Modèles SMA1000 6210, 7210 et 8200v: 외부 요청 통제

게시 · 업데이트

Modèles SMA1000 6210, 7210 et 8200v: 서버 측 요청 위조 SSRF. 2026-07-15 사례로서 CERTFR-2026-AVI-0875을 바탕으로 버전 항목 2개와 CVE 2개, 문서에 명시된 버전과 네트워크 접근 관련 검증을 다룹니다.

기사 읽기

주제 이해하기

이 주제에 대한 실용적인 가이드

연결된 기능은 ID, 인터페이스 계약, 공급업체 및 장애 모드에 따라 달라집니다. 이 범주는 API 설계, 보안, 연속성 및 사용자가 받는 서비스 품질을 연결합니다.

무엇을 검토해야 할까요?
  • 각 여정에 필수적인 호출과 해당 담당자를 식별합니다.
  • 마감일, 오류, 안전한 재시도 및 가시적 성능 저하를 계획합니다.
  • 장애, 복구 및 사고 대응을 연습합니다.
  • 인터페이스를 변경하기 전에 실제 응답을 문서화된 계약과 비교합니다.
  • 각 GraphQL 객체 및 필드에 대한 권한을 테스트한 다음 실제 비용을 기준으로 중첩, 목록 및 별칭을 바인딩합니다.
  • 수신된 알림을 장애 발생 후 복구 가능한 고유하고 추적 가능한 비즈니스 효과로 변환합니다.
  • 공유 캐시, 개인 캐시 및 애플리케이션 캐시를 분리하고, 키, 재검증 및 액세스 권한 변경 후 무효화를 검사합니다.
  • URL 가져오기가 내부 자원 접근을 뜻하지 않게 허용할 수 있습니다.
  • 제한은 용량, 재시도와 고객 간 배분에 영향을 줍니다.
  • 변하는 데이터는 내보내기 누락과 중복을 만들 수 있습니다.
  • 받은 파일은 게시나 처리 전에 검사합니다.
  • 공유 캐시는 공개 콘텐츠와 개인 응답을 분리합니다.
  • 요청 접수가 작업 완료를 증명하지 않습니다.
  • 생성, 수신과 사용 가능한 이벤트를 구분하며 기록이 없음을 사고가 없다는 증거로 보지 않습니다.
  • iframe 또는 팝업 메시지 계약으로 예상 밖의 발신자와 데이터를 거부합니다.
  • 추출한 파일을 공개하기 전에 경로, 링크와 실제 해제량을 검증합니다.
  • 갱신을 TLS 종료 지점과 클라이언트까지 확인한 뒤 변경을 완료합니다.
유용한 질문
  • 공급자가 응답하지 않으면 어떻게 되나요?
  • 재시도 시 작업을 반복할 수 있나요?
  • 복구가 제대로 작동한다는 증거는 무엇인가요?
  • 새 버전은 어떤 기존 클라이언트에 영향을 미치나요?
  • 상위 리졸버가 허용된 후 비공개 필드를 반환할 수 있나요?
  • 어떤 바이트가 서명되었습니까?
  • 캐시 없음은 아무것도 보존되지 않는다는 의미인가요?
  • 첫 URL만 확인하면 충분한가요?
  • 429가 이전 쓰기 미실행을 증명하나요?
  • 예상 행 수에 맞으면 내보내기가 완전한가요?
  • 허용 확장자가 안전을 증명하나요?
  • 쿠키가 공유 캐시를 막나요?
  • 202가 나중의 완료를 증명할까?
  • 세 행을 받으면 세 이벤트를 보존한 것인가요?
  • event.origin만 확인하면 되나요?
  • 작은 압축 파일이나 필터가 안전을 보장하나요?
  • ACME 갱신 성공이면 충분한가요?

의사결정 예시

상황
가상 예시입니다. 고객이나 실제 관측 결과를 나타내지 않습니다. 두 번의 읽기는 모두 빠르지만, 원본이 바뀐 뒤에도 하나는 이전 가용 상태를 보여 줍니다.
확인
값, 버전, 읽은 위치, 변경 후 시간을 비교합니다. 시스템 계약에 따라 무효화, 만료, 원본 접근을 시험합니다.
조치
데이터가 얼마나 오래되어도 되는지 용도별로 정하고 차이를 감시합니다. 지연 감소만으로 제공 데이터의 일관성을 입증할 수는 없습니다.

API 캐시: 최신성, 격리와 일관성 관리하기

HTTP 캐싱: 개인화된 응답 보호

IETF — RFC 9111, HTTP Caching

수신자 및 권한을 확인하세요.

서명된 토큰은 객체 작업에 자동으로 권한을 부여하지 않습니다. 발급자, 대상, 만료 및 계정 간 액세스를 테스트하고, 성공 사례와 함께 예상되는 거부 사례를 추가하세요.

다른 API 또는 역할에 유효한 토큰이 실제로 거부되었나요?

방법 탐색하기

데이터를 읽고 판단하기

API 재시도: 전체 시간 예산 계산하기

시도 네 번에는 재시도 세 번이 포함됩니다.

총 시도
41 + 3
누적 대기(ms)
700100 + 200 + 400
모델 예산(ms)
17004 × 250 + 700

가상의 교육용 사례로 CIE나 고객 실적이 아닙니다.

재시도 시간 예산 계산

n × T + W × (2^(n−1) − 1)

결정을 준비하는 질문

이 주제의 분석에서 답변과 실용적인 확인 사항을 찾아보세요.

지난 글 더 보기

아래의 최근 글 외에 이 주제의 다른 분석도 살펴보세요.

MOVEit Transfer: 콘텐츠와 스크립트 분리

MOVEit Transfer: 크로스 사이트 스크립팅 XSS. 2026-07-11 사례로서 CERTFR-2026-AVI-0856을 바탕으로 버전 항목 1개와 CVE 3개, 문서에 명시된 버전과 실행 플랫폼 관련 검증을 다룹니다.

게시 업데이트

OAuth, JWT, 게이트웨이: 보안 역할 구분하기

OAuth 2.0은 위임된 인가를 다루고 OpenID Connect는 인증 계층을 더합니다. JWT는 토큰 형식이고 게이트웨이는 통제 지점으로 역할이 다릅니다.

게시 업데이트

원문 참고 자료

이 방법과 표준을 담당하는 기관이 발행한 원문 자료입니다.