2026-09-05
보안 헤더 고르는 법: 아직 필요한 것, 쓸모없어진 것, 해가 되는 것
헤더는 많을수록 좋은 것이 아닙니다. 세 그룹으로 나누세요. 아직 효과가 있는 것(CSP, HSTS, X-Frame-Options, nosniff, Referrer-Policy, Permissions-Policy), 쓸모없어진 것(Expect-CT는 2021년 6월 이후 대부분 쓸모없음), 오히려 해가 되는 것(MDN은 X-XSS-Protection을 폐지·비표준으로 표시하고 원래 안전한 사이트에 XSS 취약점을 만들 수 있다고 경고). 오래된 목록을 복사하면 좋은 설정과 함께 해로운 설정도 들여오게 됩니다.