체크리스트
바로 답하면
AI로 만든 앱을 동료가 쓰기 전에 먼저 네 가지를 확인하세요. 회사 로그인을 거치지 않고는 아무도 들어올 수 없는지, 회사 계정만 들어오는지, 브라우저에서 실행되는 코드에 키가 없는지, 앱을 거치지 않고는 데이터베이스를 읽을 수 없는지. 그다음 앱 안에서 누가 무엇을 할 수 있는지, 내가 떠나면 누가 담당하는지 확인하세요.
AI로 만든 앱에서 생기는 유출은 대부분 교묘한 공격이 아니에요. 열린 문이에요. 공개 링크, 규칙이 꺼진 데이터베이스, 페이지에 들어간 키. 이 체크리스트는 앱을 만든 사람과 그 앱을 검토하는 IT 담당자를 위한 거예요. 항목마다 무엇이 잘못되는지, 평소 말로 확인하는 방법, TeamOnly가 맡는 것과 여전히 내가 챙겨야 하는 것을 적었어요.
01왜 중요한가요
AI 툴은 앱이 돌아가게 만드는 데는 능숙해요. 그 앱이 또 누구에게 열려 있는지는 덜 신경 써요. 지난 2년 동안 나온 세 가지 결과가 그 패턴을 보여 줘요.
어느 것도 교묘한 공격자가 필요하지 않았어요. 문이 열려 있었어요. 좋은 소식이기도 해요. 열린 문은 확인하기 쉽고, 코드를 읽지 않아도 확인할 수 있어요.
2026년 10월 26일 확인. 출처: Security Boulevard on Red Access’s findings(2026년 5월), Matt Palmer, statement on CVE-2025-48757(2025년), Spracklen et al., “We Have a Package for You!”(USENIX Security 2025).
02체크리스트
순서대로 하세요. 앞쪽 항목은 낯선 사람을 막고, 뒤쪽 항목은 회사 안의 실수를 잡아요.
hd 설정은 계정 선택 화면만 좁혀 줄 뿐이고, 요청이 바뀔 수 있어서 Google도 이것에 의존하지 말라고 경고해요. 도메인은 서버에서 확인해야 해요.npx teamonly access only priya@acme.com으로 정해요. 요청마다 확인하기 때문에 누군가를 빼면 1분 안에 적용돼요.site: 뒤에 앱 주소를 붙여 검색하세요. 앱을 만든 플랫폼에서 프로젝트 공개 설정을 확인하세요. 공개로 돼 있다면 다른 무엇보다 먼저 바꾸세요.yourapp.yourcompany.teamonly.app에 있어요. 로그인 화면을 포함한 모든 응답이 검색 엔진에 색인하지 말라고 알리고, 로그인 화면에는 앱 이름과 로그인 방법만 보여요.VITE_, NEXT_PUBLIC_으로 시작하는 변수에 넣어요. 브라우저로 보내지는 건 앱을 여는 누구나 읽을 수 있어요. Supabase는 secret 키가 모든 데이터베이스 규칙을 건너뛰기 때문에 절대 브라우저에 두면 안 된다고 해요.VITE_ 변수, 커밋된 .env 파일에 키, 토큰, 비밀번호가 있어?” 브라우저에서 개발자 도구를 열고 불러온 파일에서 key, secret, sk_를 검색하세요. 키가 한 번이라도 노출됐다면 그 키를 발급한 서비스에서 바꾸세요.npx teamonly secrets set NAME으로 코드 밖에 저장되고, 앱의 서버 코드만 읽을 수 있어요. TeamOnly가 추가하는 안내는 AI 툴에게 VITE_ 키를 절대 쓰지 말라고 해요. 내가 직접 코드에 키를 붙여 넣는 걸 막지는 못하니, 그래도 확인하세요.ctx.user)과 대시보드에서 준 역할(ctx.user.roles)을 받고, 위조된 신원 헤더는 제거돼요. 안내는 AI 툴에게 쿼리 플레이스홀더를 쓰고 서버에서 입력을 확인하라고 해요. 경로마다 역할을 확인하는 건 앱의 코드이고, TeamOnly는 그걸 검토하지 않아요.package.json을 여세요. 모르는 이름이 있으면 npmjs.com에서 찾아보세요. 진짜 패키지는 이력, 연결된 소스 저장소, 꾸준한 다운로드가 있어요. 배포하기 전에 npm audit을 실행하고, 앱이 더 이상 쓰지 않는 패키지는 지우세요.03인쇄해 두세요
예/아니요 질문 11개예요. “아니요”가 나오면 그게 다음에 고칠 거예요.
site: 검색을 하면 아무것도 나오지 않아요.package.json의 모든 패키지가 진짜이고 아직 쓰여요.텍스트로 필요하세요? 이 페이지의 Markdown 버전에 바로 붙여 넣을 수 있는 목록이 있어요(영어).
04IT 팀용
만든 사람과 화면을 공유하며 15분이요. 코드를 한 줄씩 읽는 게 아니라 설정을 확인하는 거예요.
주소를 받으세요. 로그인하지 않은 기기와 개인 계정으로 열어 보세요. 어느 플랫폼이 호스팅하고 누구 계정이 비용을 내는지 물어보세요. 개인 계정이라면 그게 가장 먼저 바꿀 거예요.
무엇이 들어가고 어디서 오는지 물어보세요. 고객 개인정보, 결제 데이터, 건강 데이터, 다른 시스템의 비밀번호가 있다면 기준이 높아지고, 앱을 지정한 목록으로 제한해야 할 수도 있어요.
앱이 호출하는 외부 서비스를 모두 적으세요. 키는 각각 호스팅 서비스의 시크릿 설정에 있어야 하고, 앱에 필요한 범위로 제한돼야 하며, 다른 앱과 같이 쓰지 않아야 해요. 코드나 채팅에 한 번이라도 들어간 키는 바꾸세요.
만든 사람이 일반 사용자로 로그인하거나 동료에게 부탁해서 관리자 동작을 해 보세요. 만든 사람에게 AI 툴로 API 경로마다 어디서 역할을 확인하는지 나열하게 하세요. 여기서 빈틈이 보이면 앱의 코드에서 고쳐요.
package.json을 같이 보고 npm audit을 실행하세요. 코드가 만든 사람의 노트북에만 있지 않고 회사 Git 저장소에 있도록 요청하세요.
앱, 담당자, 대체 담당자, 데이터, 사용자를 앱 목록에 적으세요. 담당자가 떠나면 어떻게 할지 합의하세요. 섀도 AI 앱 가이드에 그대로 복사해 쓸 수 있는 한 페이지짜리 정책이 있어요.
안전할 수 있어요. 흔한 문제는 앱이 어디에 있고 어떻게 설정됐는지예요. 공개 링크, 제대로 된 로그인 없음, 브라우저에 들어간 키, 꺼진 데이터베이스 규칙. 각각 몇 분이면 확인할 수 있어요. 링크를 보내기 전에 이 페이지의 체크리스트를 따라 해 보세요.
로그인하지 않고도 누구나 닿을 수 있는 데이터예요. 보통 두 가지 중 하나로 생겨요. 앱이 로그인 없이 공개 링크에 있거나, 데이터베이스가 요청에 직접 답하는데 접근 규칙(Supabase의 행 수준 보안)이 꺼져 있는 경우예요. 둘 다 AI가 나쁜 코드를 써서가 아니라 설정 문제예요.
anon 키나 publishable 키는 브라우저에 두라고 만든 키예요. 다만 행 수준 보안이 그 키로 닿을 수 있는 범위를 제한하기 때문이에요. 테이블에 행 수준 보안이 꺼져 있으면, 그 키를 가진 누구나 읽고 바꿀 수 있어요. secret 키나 service_role 키는 절대 브라우저에 두면 안 돼요. 모든 규칙을 건너뛰어요.
그것만으로는 안 돼요. 기본적으로 개인 Gmail을 포함해 어떤 Google 계정이든 로그인할 수 있어요. Google의 hd 설정은 계정 선택 화면만 좁혀 줄 뿐이고, Google도 이것에 의존하지 말라고 해요. 앱의 서버가 요청마다 검증된 로그인 토큰의 도메인을 확인해야 해요.
Google에서 site: 뒤에 앱 주소를 붙여 검색하세요. 예를 들어 site:myapp.lovable.app. 페이지가 나오면 앱이 공개돼 있고 색인된 거예요. 앱을 비공개로 바꾸거나 회사 로그인 뒤로 옮기고, 도메인을 소유하고 있다면 Search Console의 삭제 툴로 Google에 페이지 삭제를 요청하세요.
네, 한 번 부탁하는 것보다 항상 적용되는 안내를 주는 게 좋아요. 프로젝트의 규칙 파일(CLAUDE.md, AGENTS.md, Cursor 규칙)이 키를 어디에 두는지, 데이터베이스 쿼리를 어떻게 쓰는지, 역할을 어디서 확인하는지 툴에 알려 줘요. TeamOnly 앱에는 npx teamonly init이 이걸 추가해요. 그래도 확인은 직접 하세요. 안내는 실수를 줄여 줄 뿐 없애 주지는 않아요.
아니요. TeamOnly는 모든 앱 앞에 회사 로그인을 두고, 앱마다 데이터와 키를 분리하고, 앱이 검색 엔진에 나오지 않게 해요. 코드를 검토하거나, 패키지를 검사하거나, 앱 안의 규칙을 확인하지는 않아요. 체크리스트의 그 항목들은 여전히 내 몫이에요.
어디에 호스팅되고 누가 닿을 수 있는지, 로그인이 어떻게 제한되는지, 키가 어디에 있는지, 어떤 데이터를 담는지, 담당자가 누구인지, 그 사람이 떠나면 어떻게 되는지예요. 이 페이지의 “IT 팀용” 섹션은 만든 사람과 함께 15분이면 끝나는 짧은 검토예요.
2026년 10월 26일 확인. 다른 출처: Google, OpenID Connect(hd 매개변수), Supabase, API keys, Supabase, Row Level Security, Supabase, Database Advisors, OWASP Top 10:2025, Retool, Secure vibe coding(호스팅을 직접 운영하는 팀을 위한 더 긴 체크리스트).
얼리 액세스
명령어 하나로 배포하면 앱이 회사 로그인 뒤에, 검색에서 빠진 채로, 자체 데이터베이스와 시크릿과 함께 올라가요. 카드 없이 14일 무료로 써 보세요.
질문은 hello@teamonly.dev로 보내 주세요. 사람이 직접 답해요.