자주 묻는 질문

Cremit Platform은 지원하는 연결 소스에서 노출된 자격증명을 찾습니다. 지원하는 유형은 발급처에서 현재 유효성을 확인하고, 나머지는 직접 검토해야 합니다.

발견 위치를 기록하고, 확인 가능한 경우 지원하는 AWS 액세스 키와 GCP API 키의 접근 정보와 담당자 단서를 보여 줍니다. 소스 작성자나 추천 후보가 곧 현재 조치 담당자는 아닙니다.

Cremit은 알림과 조치 상태를 기록합니다. 누가 담당할지 사람이 확인하고 발급처에서 키를 교체하거나 폐기해야 합니다. Cremit이 자동으로 처리하지는 않습니다.

플랜과 공개 요금 보기. 사용량별 예상 비용도 확인할 수 있습니다.

무료 플랜으로 시작해 소스를 하나 연결하시면 본인 수치 옆에서 플랜을 비교할 수 있습니다.

보안 검토나 자체 구매 절차가 따르는 규모라면 메일로 이야기하는 편이 빠릅니다. sales@cremit.io.

Cremit은 연결된 저장소와 소스를 주기적으로 스캔해 하드코딩된 시크릿을 찾습니다. GitHub pull request는 GitHub App 웹훅으로 생성 즉시 스캔합니다.

검증을 지원하는 유형은 탐지된 값을 발급 서비스에 검증하고, 자동 검증이 없는 유형은 직접 검토 대상으로 표시합니다. 살아 있는 것으로 확인되면 인시던트로 올려 Slack, 웹훅, Telegram, 이메일로 알립니다.

GitHub, GitLab, Bitbucket을 지원합니다. GitHub Enterprise와 GitLab Self-Managed 버전도 지원됩니다.

OAuth 또는 Personal Access Token(PAT) 방식으로 인증하며, 조직 전체 저장소를 한 번에 연결할 수 있습니다.

Cremit은 소스 코드 자체를 저장하지 않습니다.

스캔 시 코드를 읽어 시크릿 패턴을 분석하지만, 원본 코드는 처리 후 즉시 폐기됩니다.

발견 항목의 위치, 시크릿 종류, 검증 상태와 함께, 재검증에 필요한 자격증명 값 자체는 AWS KMS로 암호화해(원하시면 고객 관리형 KMS 키로) 보관합니다.

조직 설정의 멤버 메뉴에서 이메일로 초대할 수 있습니다. 초대 화면에서 Admin, Member, Guest 역할을 선택합니다. 디렉터리 동기화는 호환되는 IdP의 SCIM 2.0 push 또는 Google Workspace API pull 방식으로 사용자를 가져옵니다. Google Workspace는 SCIM push 연동이 아닙니다. 사용 가능 여부는 조직의 플랜과 설정에 따라 다릅니다.

support@cremit.io로 메일 주시면 됩니다. 로그인 후에는 제품 안 채팅도 쓰실 수 있습니다.

심각도별 응답 목표는 지원 페이지에 정리되어 있습니다. 엔터프라이즈 계약 고객은 담당자가 지정됩니다. 응답 시간은 계약서에 적힌 조건을 따릅니다.

네, 무료 플랜에 카드는 필요 없습니다. 저장소나 버킷 하나만 연결해 보시면 첫 스캔 결과가 기능 표보다 많은 것을 알려줍니다.

플랜과 공개 요금 보기. 사용량별 예상 비용도 확인할 수 있습니다.

월간과 연간 모두 있습니다. 각각의 조건은 제품 결제 화면에 나와 있습니다.

스캔량이 어느 정도인지 아직 모르는 단계라면 월간으로 시작하는 편이 편합니다. 그 선택이 고정되는 것은 아니고 나중에 바꿀 수 있습니다.

Cremit은 발견 위치, 확인 가능한 유효성·접근 정보, 담당자 단서와 조치 상태를 기록합니다. 지원하는 유형의 유효한 자격증명은 약 6시간마다 재검증합니다. 교체 주기 경과 보고는 연결한 AWS Secrets Manager 기록에 적용되며 인벤토리의 모든 키에 적용되지는 않습니다.

Ghost Key 점검은 연결한 디렉터리에서 비활성으로 표시된 사람이 작성한 자료에서 유효하거나 수동으로 유효하다고 표시된 자격증명을 찾습니다. 작성자가 현재 담당자라는 뜻은 아닙니다. 조치 담당자를 확인한 뒤 발급처에서 교체하거나 폐기해야 합니다.

AWS S3는 스캔 소스이고, AWS Secrets Manager는 읽기 전용으로 연결해 인벤토리와 교체 주기 정보를 확인할 수 있습니다. AWS 액세스 키와 GCP API 키는 해당 연동과 키 유형을 지원할 때 접근 정보를 분석합니다.

지원하는 연결 소스에서 Azure 서비스의 자격증명 패턴이 발견될 수는 있습니다. 현재 Azure 권한 분석 연동이나 Azure 클라우드 인벤토리는 제공하지 않습니다. 문자열 탐지만으로 키의 유효성이나 전체 권한을 알 수는 없습니다.

데이터는 전송 중(TLS 1.2 이상)과 저장 시 모두 암호화됩니다.

보관하는 자격증명 값은 AWS KMS로 암호화하며, 고객이 관리하는 KMS 키(BYOK)를 연결해 직접 통제하는 키로 암호화할 수 있습니다.

엔터프라이즈 플랜에서 SAML 2.0 기반 SSO를 지원합니다.

Okta, Azure Active Directory, Google Workspace, OneLogin 등 주요 IdP와 연동 가능합니다.

SSO 설정은 대시보드 > 설정 > 보안 > SSO 메뉴에서 진행할 수 있습니다.

연결할 소스와 계정 권한, 데이터 양에 따라 걸리는 시간이 다릅니다. 지원하는 소스는 에이전트 설치 없이 연결할 수 있지만, 관리자 승인이 필요할 수 있습니다.

연결이 완료되면 소스별 방식과 일정에 따라 스캔합니다. AWS·GCP 접근 분석에는 별도 권한 설정이 필요합니다. 첫 발견 결과가 나오는 시각을 일률적으로 약속할 수는 없습니다.

제품의 설정 > 구독 메뉴에서 언제든 바꾸거나 해지할 수 있습니다.

해지해도 이미 결제한 기간이 끝날 때까지는 그대로 쓰실 수 있습니다. 기간 중간에 환불해 드리지는 않습니다.

Identity Inventory는 지원하는 연결 소스에서 찾은 자격증명, 읽기 전용으로 연결한 AWS Secrets Manager 기록, 직접 등록한 항목을 함께 보여 줍니다. 담당자가 지정됐거나 추천 후보만 있거나 아무도 없을 수 있습니다. 지원하는 유형은 발급처 유효성 결과를 보여 주고 나머지는 직접 검토해야 합니다.

확인 가능한 AWS 액세스 키와 GCP API 키의 접근 정보로 권한 범위를 조사할 수 있습니다. AWS Secrets Manager 교체 주기는 별도 신호입니다. 지원하는 유형의 유효한 자격증명은 약 6시간마다 재검증하지만, 소스 파일 날짜만으로 키 발급일을 알 수는 없습니다.

대시보드 > 통합(Integrations) > Slack에서 워크스페이스를 연결하고 알림을 받을 채널을 선택하세요.

심각도(Critical, High, Medium, Low)별로 알림 채널을 다르게 설정할 수 있으며, 알림 유형도 원하는 대로 구성할 수 있습니다.

현재는 아닙니다. SOC 2 감사를 받은 적이 없습니다. 나중에 확인하면 달라지는 답변보다 이렇게 적는 편이 검토에 도움이 된다고 봅니다.

대신 보안 화이트페이퍼가 있습니다. 데이터가 어디에 저장되고 누가 열람할 수 있는지, 고객 KMS 키를 연결하면 어떻게 되는지, 삭제하면 무엇이 언제까지 남는지를 계획이 아니라 구현된 그대로 적었습니다.

검토에 필요한 증빙이 있으면 compliance@cremit.io로 알려주십시오. 제공 가능한지 그대로 답변드리겠습니다.

로그인 페이지에서 "비밀번호를 잊으셨나요?" 링크를 클릭하고 가입한 이메일을 입력하세요.

재설정 링크가 담긴 이메일이 발송됩니다. 링크는 15분 동안 유효합니다.

이메일을 받지 못했다면 스팸 폴더를 확인하거나 support@cremit.io로 문의해 주세요.

Cremit은 1,000가지 이상의 시크릿 유형을 탐지합니다.

API 키, OAuth 토큰, JWT, SSH 개인 키, 데이터베이스 연결 문자열, 클라우드 자격증명(AWS, GCP, Azure), Stripe/결제 키, Slack/협업 툴 토큰 등을 포함합니다.

검증을 지원하는 유형은 발급처에 확인을 거치므로 실제로 인증에 성공하는 것부터 볼 수 있고, 자동 검증이 없는 유형은 직접 검토 대상으로 표시합니다.

보안 검토나 구매 절차, SSO·SCIM, 또는 표준 플랜에 맞지 않는 범위가 있다면 sales@cremit.io로 메일 주십시오.

팀 규모와 연결하실 소스, 컴플라이언스 요건 정도만 알려주시면 형식적인 답장 대신 바로 쓸 수 있는 답을 드릴 수 있습니다.

검증을 지원하는 유형은 발급처에 확인을 거칩니다. 몇 달 전에 폐기된 키가 살아 있는 키와 같은 모습으로 도착하지 않는다는 뜻입니다. 자동 검증이 없는 유형은 유효·무효로 단정하지 않고 직접 검토 대상으로 표시합니다.

반복해서 올라오는 건은 패턴이나 경로를 허용 목록에 넣어 걸러낼 수 있습니다. 오탐으로 표시한 내용은 탐지에 반영됩니다.

Jira는 스캔 소스입니다. 이슈와 댓글에서 노출된 자격증명을 찾습니다.

알림은 Slack, 웹훅, Telegram, 이메일로 보냅니다. Jira 이슈 자동 생성이나 동기화는 현재 제공하지 않지만, 웹훅과 REST API로 자체 트래커에 연결할 수 있습니다.

Cremit은 데이터 처리 계약(DPA)을 제공하며, 처리하는 데이터는 GDPR과 한국 개인정보보호법(PIPA)에 맞춰 다룹니다.

DPA 또는 데이터 처리 관련 문의는 privacy@cremit.io로 연락해 주십시오.

현재는 지원하지 않습니다. Cremit의 스캔 소스는 GitHub, GitLab, Bitbucket, GitHub Packages(GHCR 이미지 포함), AWS S3, Google Drive, Jira, Confluence, Notion, Slack입니다.

Kubernetes 클러스터 스캔은 제공하지 않습니다.