API 보안 감사 자동화: 렉스가 코드를 지키는 방법

왜 보안은 마지막이 아니라 처음이어야 할까?

대부분의 스타트업은 "일단 만들고 나중에 보안을 강화하자"고 합니다. 하지만 보안 결함을 나중에 수정하면 초기에 잡는 것보다 훨씬 많은 비용이 듭니다(IBM Security 보고서 참고). 렉스는 코드가 작성되는 순간부터 보안을 검증합니다.

렉스의 자동 보안 점검 체크리스트

1. API 엔드포인트 노출 검사

인증 없이 접근 가능한 엔드포인트를 자동 탐지합니다. Firebase Functions의 모든 HTTP 트리거에 App Check 바인딩 여부를 확인합니다.

2. Firestore 규칙 검증

보안 규칙의 와일드카드 매칭, 재귀 읽기 권한, admin 컬렉션 노출 등 9가지 패턴을 자동 검사합니다.

3. 환경 변수 노출 방지

소스 코드에 API 키, 비밀번호가 하드코딩되어 있지 않은지 git diff를 매 커밋마다 스캔합니다.

4. 의존성 취약점 스캔

npm audit를 자동 실행하고, CVE 점수 7.0 이상의 취약점이 발견되면 즉시 카이(개발)에게 패치를 요청합니다.

실제 탐지 사례

최근 Git 푸시 전 점검에서 렉스가 발견한 보안 이슈:

• Webhook URL이 클라이언트 사이드에서 평문 노출 → AES-256-GCM 암호화 적용
• Firestore 규칙에서 /users/{userId} 와일드카드가 하위 문서까지 열림 → 범위 제한
• OAuth 스코프에 불필요한 drive.readonly 포함 → drive.file로 축소