캐치로 보안 정책

캐치로가 사용하는 데이터베이스와 파일 스토리지는 AES-256 알고리즘으로 자동 암호화됩니다. 백업 및 시점복구(Point-in-Time Recovery) 데이터에도 동일한 국제 표준 암호화가 적용됩니다.

인프라 제공사는 SOC 2 Type II 인증을 유지하는 클라우드 벤더이며, 운영 인프라 접근은 원칙적으로 감사 로그가 남는 관리자에게만 허용됩니다.

참고: 인프라 보안 개요 · 컴플라이언스 (SOC 2, HIPAA)

모든 웹·API 트래픽은 TLS 1.3 이상으로 강제되며, 구버전(TLS 1.0/1.1)은 차단됩니다. 브라우저 다운그레이드 공격을 막기 위해 HSTS(HTTP Strict Transport Security) 헤더를 응답에 부착합니다.

또한 Post-Quantum Cryptography(PQC) 핸드셰이크를 지원하여, 양자 컴퓨터 시대의 통신 도청 위협에 대비합니다.

외부 검증: SSL Labs 진단 결과 (A 등급, PQC 지원)

모든 사용자 데이터 테이블에는 데이터베이스 엔진 차원의 Row-Level Security(RLS) 정책이 적용되어, 로그인한 사용자는 자신이 소유한 데이터만 조회·수정할 수 있습니다. 관리자 권한은 별도 역할 테이블(user_roles)로 분리 관리하여 권한 상승 공격을 원천 차단합니다.

토스페이먼츠 정기결제에 사용되는 빌링키·고객키는 서버 코드에서만 사용되며, 클라이언트(브라우저) 응답에는 포함되지 않습니다. 사용자에게는 카드 등록 여부만 boolean 값으로 노출됩니다.

비밀번호는 GoTrue(Supabase Auth) 표준에 따라 bcrypt로 해싱 저장되며, 원문은 서비스 어디에도 저장되지 않습니다.

외부 스케줄러(cron)·결제사 웹훅은 공유 시크릿 기반의 HMAC 시그니처 검증을 통과한 요청만 처리합니다. 서명 검증은 타이밍 세이프(timingSafeEqual) 방식으로 수행되어 사이드채널 분석 공격을 완화합니다.

데이터베이스 접근은 파라미터 바인딩 기반의 ORM/쿼리 빌더만 사용하며, 문자열 결합 방식의 원시 SQL은 사용하지 않습니다. 프론트엔드는 React의 기본 이스케이프를 활용하고, dangerouslySetInnerHTML은 서비스 로직에 사용하지 않습니다.

캐치로는 국내 개인정보보호법·정보통신망법·전자상거래법을 준수하도록 설계되었습니다. 개인정보 처리방침·이용약관·환불규정을 공개하고, 증거 자료 등 민감 데이터는 최소 수집·목적 외 이용 금지 원칙을 따릅니다.

관련 문서: 개인정보처리방침 · 이용약관 · 환불규정

의존성 취약점 스캔과 데이터베이스 보안 린터를 개발 파이프라인에 연동하여, 배포 이전 단계에서 잠재적 위험을 검증합니다. 취약점 제보는 support@lawget.co.kr로 보내주시면 신속히 확인하고 조치합니다.