DX 납품 점검 사용 설명서

대상 버전: v1.0.9 사이트를 고객에게 넘기기 전에 관리자 화면에서 버튼 한 번으로 사이트 전체를 점검하고, 고객에게 줄 보고서와 개발자용 보고서를 만들어 주는 플러그인입니다. 점검만 하고 사이트의 파일이나 데이터는 전혀 고치지 않습니다. 안심하고 눌러도 됩니다.

목차

1. 이 플러그인으로 할 수 있는 일
2. 시작하기 전에 알아 둘 것
3. 설치하기 (압축 풀기 → 올리기 → 켜기)
4. 점검 시작하기
5. 점검 결과 보는 법
6. 보고서 만들기 (고객용 / 개발자용 / 저장 / PDF)
7. 발견 사항 다루는 법 ("확인 완료" 표시)
8. 이전 점검 기록 보기와 삭제
9. 점검하는 내용 (분야별 안내)
10. 자주 나오는 항목과 조치 방법
11. 납품 직전 체크리스트
12. 자주 묻는 질문
13. 문제가 생겼을 때
14. 문의할 때 알려 주세요

1. 이 플러그인으로 할 수 있는 일

사이트를 만들어서 고객에게 넘길 때, 놓치기 쉬운 보안·설정 문제를 자동으로 찾아 줍니다.

점검이 끝나면 점수(100점 만점) 와 납품 판정이 나옵니다.

꼭 알아 두세요. 이 도구는 자동으로 패턴을 찾는 방식이라 **실제로는 문제가 아닌데 문제라고 알려 주는 경우(오탐)**도 있고, 놓치는 경우도 있습니다. 또한 해킹을 직접 시도해 보는 "모의해킹"이 아닙니다. "발견 0건 = 완벽히 안전"이라는 뜻은 아닙니다. 납품 전 점검을 도와주는 보조 도구로 사용하세요.

2. 시작하기 전에 알아 둘 것

1. 관리자 계정으로 로그인해야 쓸 수 있습니다. 일반 회원은 접근할 수 없습니다.
2. 점검은 1~3분 걸립니다. 사이트 크기에 따라 달라집니다. 점검하는 동안에는 이 화면을 닫지 마세요.
3. 이 서버가 자기 자신의 사이트 주소로 접속해서 HTTPS와 노출 여부를 확인합니다. 그래서 실제로 접속 가능한 주소(도메인)에서 점검해야 정확합니다.
4. 점검 결과는 사이트 안의 data/preflight 폴더에 저장되며, 이 폴더는 웹에서 접근할 수 없도록 막혀 있습니다.
5. 개발 중인 시험 사이트(HTTPS가 없는 곳)에서는 "HTTP로 대신 점검" 체크를 켜면 됩니다. (4단계 참고)
6. 방화벽(사이트 요청 방화벽)이 켜져 있으면 점검 요청이 일부 막힐 수 있습니다. 막히면 화면에 안내가 나옵니다. (13번 참고)

3. 설치하기 (압축 풀기 → 올리기 → 켜기)

3-1. 압축 풀기

1. 받은 dx-preflight_v1.0.9.zip 파일을 내 컴퓨터에서 압축 풉니다.
   • 파일에서 마우스 오른쪽 버튼 → 압축 풀기(또는 여기에 압축 풀기).
2. 압축을 풀면 dx-preflight 라는 폴더가 생깁니다.
3. 그 폴더 안을 열어 아래처럼 보이는지 확인하세요.

dx-preflight
├─ plugin.php      ← 이 파일이 폴더 바로 안에 보여야 합니다
├─ manifest.php
├─ README.md
├─ admin
├─ assets
└─ core

열었을 때 plugin.php가 바로 보이지 않고 또 다른 dx-preflight 폴더가 보인다면, 그 안쪽 폴더를 올려야 합니다.

3-2. 내 사이트의 plugins 폴더 찾기

1. FTP 프로그램(파일질라 등)으로 DXCMS를 설치한 사이트에 접속합니다.
2. DXCMS가 설치된 폴더(루트)를 엽니다. index.php, admin, core, plugins, themes 같은 폴더·파일이 보이는 곳입니다.
   • 호스팅에 따라 public_html, www, html 폴더 안이 루트입니다.
3. 루트 안의 plugins 폴더를 엽니다.

3-3. 폴더 올리기

1. 내 컴퓨터의 dx-preflight 폴더 전체를 끌어서 FTP 창의 plugins 폴더 안에 놓습니다.
2. 올라가는 파일이 모두 끝날 때까지 기다립니다.
3. 서버에 아래처럼 보이면 성공입니다.

(루트)
└─ plugins
    └─ dx-preflight
        ├─ plugin.php        ← 이 위치에 있어야 합니다
        └─ ...

3-4. 플러그인 켜기 (활성화)

1. 브라우저에서 내 사이트에 관리자 계정으로 로그인하고 관리자 페이지로 들어갑니다.
2. 왼쪽 메뉴에서 플러그인을 누릅니다.
3. 목록에서 DX 납품 점검을 찾습니다. (안 보이면 Ctrl+F5로 새로고침)
4. 활성화를 눌러 켭니다. 상태가 활성이 되면 끝입니다.

3-5. 메뉴 확인

활성화하면 관리자 왼쪽 메뉴에 납품 점검 메뉴가 생깁니다. (방패 모양 아이콘, 플러그인 메뉴 바로 위) 이 메뉴를 누르거나 브라우저 주소창에 아래 주소를 입력하면 점검 화면이 열립니다.

https://내사이트주소/admin/preflight

4. 점검 시작하기

4-1. 화면 구성

점검 화면의 맨 위에 "납품 점검" 제목과 점검 시작 카드가 있습니다. 그 아래에는 점검이 끝난 뒤에 결과가 나타나고, 맨 아래에는 이전 점검 기록이 있습니다.

4-2. 점검 옵션 (체크박스 3개)

점검 시작 카드에 체크박스가 세 개 있습니다. 처음에는 기본값 그대로(앞의 두 개 체크, 세 번째는 해제) 두면 됩니다.

화면 위쪽에 "지금 이 화면은 HTTPS가 아닌 주소로 열려 있습니다" 라는 노란 안내가 나오면, 지금 http://로 접속한 것입니다. HTTPS 점검은 사이트의 https:// 주소로 접속을 시도하며, 접속되지 않으면 그 자체가 "치명" 항목으로 기록됩니다. 실제 사이트라면 https:// 주소로 접속해서 점검하세요.

4-3. 점검 시작 버튼

1. 점검 시작 버튼(오른쪽, 재생 모양 아이콘)을 누릅니다.
2. 진행 막대와 퍼센트, 지금 하고 있는 단계가 나타납니다.
3. 단계는 아래 순서로 진행됩니다. (사이트에 따라 "코드 점검" 단계는 여러 개로 나뉩니다.)

1. 100%가 되면 결과 화면이 열립니다.

점검 중에는 이 화면을 닫거나 다른 곳으로 이동하지 마세요. 중간에 멈추면 그때까지의 결과로 **"일부만 점검된 보고서"**가 만들어질 수 있으며, 이 보고서는 "문제 없음"으로 볼 수 없습니다. 다시 점검하세요.

5. 점검 결과 보는 법

점검이 끝나면 위에서부터 차례로 나타납니다.

5-1. 납품 판정과 점수

맨 위 큰 칸에 점검 점수(100점 만점) 와 판정이 나옵니다.

그 아래에 등급별 개수(치명 / 높음 / 보통 / 낮음 / 참고)와 점검 범위(몇 곳, 코드 파일 몇 개)가 나옵니다.

• 점수는 문제가 많고 심각할수록 내려갑니다. 같은 종류의 문제가 여러 개여도 점수가 무한정 깎이지는 않습니다.
• "확인 완료"로 표시한 항목은 점수와 판정에서 빠집니다. (7번 참고)

5-2. 등급 설명

5-3. 분야별 현황

결과 화면 가운데에 분야별 카드가 있습니다. 카드마다 양호 / 주의 / 조치 필요 중 하나와, 등급별 개수가 표시됩니다.

• 조치 필요: 치명 또는 높음 항목이 있음
• 주의: 보통 항목이 있음
• 양호 (참고 사항 있음): 낮음·참고 항목만 있음
• 양호: 항목 없음

5-4. 발견 사항 목록

맨 아래의 발견 사항 목록에 문제가 하나씩 나옵니다. 항목마다 등급, 제목, 문제가 있는 위치(파일 이름) 가 한 줄로 보이고, 항목을 누르면 아래로 펼쳐져서 자세한 설명과 확인 완료 버튼을 볼 수 있습니다.

찾기와 거르기

• 위쪽 등급 버튼(치명 / 높음 / 보통 / 낮음 / 참고): 누르면 그 등급을 보이거나 숨깁니다.
• 분야 선택 상자: 분야별로 걸러 봅니다.
• 검색 칸: 파일 이름이나 제목으로 찾습니다.
• 확인 완료 항목도 보기: 체크하면 확인 완료로 표시한 항목도 함께 보입니다.
• 항목이 많으면 더 보기 버튼으로 이어서 불러옵니다.

6. 보고서 만들기 (고객용 / 개발자용 / 저장 / PDF)

점검이 끝나면 보고서 카드에 버튼이 나타납니다.

6-1. 보고서 열어서 보기

1. 고객용 보고서 열기(또는 개발자용 보고서 열기)를 누릅니다.
2. 새 창에 보고서가 열립니다. 위에 점검일, 점검 도구 버전, 사이트 정보, 판정이 나오고, 아래에 등급별 개수, 분야별 현황, 항목별 설명이 이어집니다.

6-2. PDF로 저장하기

1. 보고서를 연 화면에서 인쇄(키보드 Ctrl + P, 맥은 Cmd + P)를 누릅니다.
2. 프린터(대상)를 PDF로 저장으로 선택합니다.
3. 저장을 누르면 PDF 파일이 만들어집니다.

인쇄할 때 필요 없는 버튼 등은 자동으로 빠지도록 되어 있습니다.

6-3. 어떤 보고서를 누구에게 주나요?

• 고객에게는 고객용 보고서를 주세요. 파일 경로와 코드가 없어서 안전하고 읽기 쉽습니다.
• 개발자용 보고서는 외부에 주지 마세요. 파일 위치와 코드 조각이 들어 있어, 외부에 나가면 공격에 참고될 수 있습니다.
• 일부만 점검된 보고서에는 맨 위에 "일부만 점검된 보고서입니다" 라는 붉은 안내가 나옵니다. 이런 보고서는 고객에게 주지 말고 다시 점검하세요.

7. 발견 사항 다루는 법 ("확인 완료" 표시)

자동 점검이라 문제가 아닌데 문제로 나오는 항목이 있을 수 있습니다. 직접 확인해서 문제가 아니라고 판단되면 "확인 완료"로 표시할 수 있습니다.

7-1. 확인 완료로 표시하기

1. 발견 사항 목록에서 항목을 눌러 펼칩니다.
2. 확인 완료로 표시 (문제 아님) 버튼을 누릅니다.
3. 바로 적용됩니다. (확인 창이나 메모 입력 칸은 없습니다.)
4. 그 항목은 목록에서 사라지고, 점수와 판정에서도 빠집니다.

7-2. 확인 완료 되돌리기

1. 목록 위의 확인 완료 항목도 보기를 체크합니다.
2. 되돌릴 항목을 펼치고 확인 완료 취소를 누릅니다.

7-3. 주의

• "문제가 아니다"라고 확실히 판단되는 경우에만 표시하세요. 무조건 표시해서 점수만 올리면 의미가 없습니다.
• 확인 완료 표시는 사이트에 저장되어 다음 점검에도 유지됩니다. (같은 문제는 같은 항목으로 인식합니다.)
• 확인 완료 항목은 보고서의 점수·판정 계산에서 빠집니다. 화면에 메모를 남기는 기능은 없으므로, 왜 문제가 아닌지는 따로 기록해 두세요.

개발자라면 코드 해당 줄 위에 // dx-preflight-ignore 라는 주석을 붙여 점검에서 제외할 수도 있습니다. 일반 사용자는 이 방법을 쓰지 않아도 됩니다.

8. 이전 점검 기록 보기와 삭제

화면 맨 아래 이전 점검 카드에 지난 점검 기록이 나옵니다. (최근 12건까지만 보관하며, 더 오래된 것은 자동으로 지워집니다.)

• 기록마다 점검 날짜, 판정, 점수와 치명·높음·보통 개수가 표시됩니다.
• 기록 오른쪽의 결과 보기 버튼을 누르면 그 점검 결과를 다시 불러오고, 그 결과로 보고서를 다시 열 수 있습니다.
• 끝까지 가지 못한 점검은 일부만 점검됨으로 표시되고, 버튼은 결과 보기(일부) 입니다.
• 기록 오른쪽의 삭제 버튼을 누르면 "이 점검 기록을 삭제할까요?" 라고 묻고, 확인하면 지워집니다.

문제를 고친 뒤에는 새로 점검을 해서 점수가 어떻게 바뀌었는지 이전 기록의 점수와 비교해 보세요.

9. 점검하는 내용 (분야별 안내)

9-1. 서버 · 설정

9-2. 관리자 계정

9-3. 파일 · 폴더 노출

웹 주소로 누구나 받을 수 있는 위치에 남아 있으면 안 되는 파일을 찾습니다.

• 백업 파일, 로그 파일, 테스트 파일, .sql 데이터베이스 파일, 압축 파일 등
• 버전 관리 폴더(.git 등)
• 업로드 폴더 안의 실행 가능한 PHP 파일
• 그림·문서 파일 속에 숨은 PHP 코드, 스크립트가 들어 있는 SVG 그림
• 누구나 수정할 수 있는 파일·폴더(권한이 너무 열림)
• 업로드 폴더의 압축·실행 파일이 주소로 직접 받아지는지

실제 점검 예시: 그누보드 변환을 마치고 SQL 파일을 지우지 않으면, "납품 사이트에 남아 있으면 안 되는 파일: ○○.sql" 이라는 높음 항목이 나옵니다. 이런 파일은 반드시 서버에서 지우세요.

9-4. HTTPS · 접속 보안

HTTPS가 안 되면 그 자체가 치명 항목이 되고, 이후의 웹 기반 점검(노출·헤더·쿠키)은 건너뜁니다. 개발·시험 사이트에서는 "HTTP로 대신 점검"을 켜서 점검하세요.

9-5. 코드 취약 패턴

플러그인, 테마, 스킨, 페이지, 확장 영역(그리고 선택 시 코어)의 코드에서 위험한 패턴을 찾습니다. 일반 사용자가 직접 고치기는 어려우므로, "개발자용 보고서"를 개발자에게 전달하세요.

대표적으로 이런 것들을 찾습니다.

• 웹셸·백도어로 보이는 코드 (치명)
• 방문자가 보낸 값이 서버 명령이나 코드 실행에 쓰이는 경우 (치명)
• 방문자 입력이 SQL에 그대로 들어가는 경우, 화면에 그대로 출력되는 경우
• 비밀번호·API 키가 코드에 그대로 적힌 경우
• 파일 업로드에 형식 검사가 없는 경우
• 저장·삭제 처리에 CSRF 보호, 로그인·권한 확인이 없는 경우
• 약한 비밀번호 해시(md5, sha1), 예측 가능한 난수
• 디버그 출력(var_dump, print_r), phpinfo() 사용
• 쓰기 권한 777
• 자바스크립트의 eval, innerHTML 위험 사용
• 새 창 링크에 rel="noopener" 없음

9-6. 호환성 · 규칙

• PHP 5.6에서 실행되지 않는 문법 (??, fn 등): 5.6 서버에서는 화면이 멈춥니다.
• PHP 7 이상 전용 함수 사용
• 플러그인에 manifest.php(정보 파일)가 없거나 필수 항목이 비어 있음
• 테마에 theme.json이 없음
• 샘플·테스트·백업 폴더가 납품물에 남아 있음
• (코어 점검을 켠 경우) 배포본보다 나중에 수정된 코어 파일

9-7. 화면 · 외부 자원

• HTTPS 화면에서 http:// 주소의 스크립트·스타일·이미지를 불러오는 경우 (혼합 콘텐츠)

10. 자주 나오는 항목과 조치 방법

일반 사용자가 직접 할 수 있는 조치만 정리했습니다. 코드를 고쳐야 하는 항목은 개발자용 보고서를 개발자에게 전달하세요.

조치한 뒤에는 반드시 다시 점검하세요. 점수와 판정이 바뀌는 것을 확인하면 됩니다.

11. 납품 직전 체크리스트

납품 직전에 아래 순서로 진행하면 놓치는 것이 줄어듭니다.

1. ☐ 변환용 SQL 파일, 백업 파일, 테스트 파일을 서버에서 지웠다.
2. ☐ 설치 폴더(install/)와 data/migrate.allow 파일을 정리했다.
3. ☐ 테스트 계정을 삭제했고, 관리자 아이디·비밀번호를 바꿨다.
4. ☐ 사이트가 실제 도메인의 HTTPS로 접속된다.
5. ☐ 납품 점검을 실제 사이트 주소에서 실행했다. (HTTPS 점검 포함 켜짐)
6. ☐ 판정이 납품 가능 또는 납품 가능 (권장 사항 있음) 이다. (납품 불가, 수정 후 납품이면 조치 후 재점검)
7. ☐ 남은 "높음"·"보통" 항목은 확인했고, 문제가 아닌 것만 확인 완료로 표시했다. (사유는 따로 기록)
8. ☐ 고객용 보고서를 저장(HTML) 또는 PDF로 만들었다.
9. ☐ 개발자용 보고서는 내부에만 보관했다.

12. 자주 묻는 질문

Q1. 점검하면 사이트가 고쳐지나요? 아니요. 읽기만 합니다. 파일이나 데이터베이스를 바꾸지 않습니다. 결과만 data/preflight 폴더에 저장합니다.

Q2. 점검하면 사이트가 느려지나요? 점검하는 1~3분 동안 서버가 조금 바쁩니다. 방문자가 적은 시간에 하는 것이 좋습니다.

Q3. 점수가 낮은데 납품할 수 없나요? 판정이 납품 불가나 수정 후 납품이면 고치고 다시 점검하세요. 점수 자체보다 판정이 더 중요합니다.

Q4. 문제가 아닌 것 같은데 계속 나와요. 직접 확인해서 문제가 아니라면 확인 완료로 표시하세요. (7번 참고)

Q5. 점검 결과가 "문제 없음"이면 해킹당할 일이 없나요? 아니요. 이 도구는 알려진 위험 패턴을 자동으로 찾는 도구입니다. 모든 위험을 찾지는 못합니다. 보조 도구로 쓰세요.

Q6. 고객에게 어떤 보고서를 줘야 하나요? 고객용 보고서입니다. 개발자용에는 파일 위치와 코드 조각이 있어 외부에 주면 안 됩니다.

Q7. 점검 결과는 어디에 저장되나요? 사이트의 data/preflight 폴더에 저장되고, 이 폴더는 웹에서 열 수 없게 막혀 있습니다. 최근 12건만 보관합니다.

Q8. 코어도 꼭 점검해야 하나요? 기본으로 켜져 있습니다. 고객이 코어를 수정했을 수 있기 때문입니다. 코어 항목은 낮은 등급으로 표시됩니다. 필요 없으면 체크를 끄세요.

Q9. 점검 도중에 창을 닫았어요. 그때까지의 결과로 일부만 점검된 기록이 남을 수 있습니다. 이 기록은 "문제 없음"으로 볼 수 없으니, 처음부터 다시 점검하세요.

Q10. 플러그인을 끄면 어떻게 되나요? 점검 메뉴가 사라집니다. 이전에 저장된 결과 파일은 data/preflight에 남아 있습니다. 납품이 끝났다면 플러그인을 꺼 두는 것을 권합니다.

13. 문제가 생겼을 때

14. 문의할 때 알려 주세요

• 어느 단계에서 막혔는지 (설치 / 점검 시작 / 점검 중 / 결과 / 보고서)
• 화면에 나온 안내 메시지 (캡처)
• 사용 중인 PHP 버전과 호스팅 종류
• 점검 옵션 체크 상태 (HTTPS 점검, 코어 점검, HTTP로 대신 점검)

보고서나 JSON 파일을 문의에 첨부할 때는 개발자용을 보내지 마세요. 파일 경로와 코드가 들어 있습니다. 가능하면 고객용 보고서나 화면 캡처를 보내 주세요.

부록 - 순서 한눈에 보기

1. dx-preflight_v1.0.9.zip 압축을 풀면 나오는 dx-preflight 폴더를 사이트의 plugins 폴더 안에 올린다.
2. 관리자 > 플러그인에서 DX 납품 점검을 활성화한다.
3. 왼쪽 메뉴 납품 점검(또는 /admin/preflight)을 연다.
4. 옵션을 확인하고(기본값 그대로 OK) 점검 시작을 누른다. 1~3분 기다린다.
5. 납품 판정을 확인한다. (납품 불가 / 수정 후 납품 / 납품 가능)
6. 항목을 눌러 내용을 보고 조치한다. 문제가 아닌 것은 확인 완료로 표시한다.
7. 다시 점검해서 판정이 좋아진 것을 확인한다.
8. 고객용 보고서를 저장(HTML)하거나 PDF로 만들어 고객에게 전달한다.

Copyright © DesignOneX — designonex.com · All Rights Reserved. DesignOneX License 1.0 — https://designonex.com/notice/view/1787577858493247