커머스 자격증명 조사

웹사이트에 결제 키가 보입니다. 유출일까요?

발급처와 키 종류에 따라 다릅니다. Stripe 공개 키는 브라우저에서 쓰도록 만들어졌지만 비밀 키와 제한 키는 서버에서 보호해야 합니다. 먼저 무엇이 발견됐는지 구분하세요.

같은 발급처, 다른 키

Stripe가 구분하는 세 가지 키입니다. 아래 접두사는 예시이며 실제 자격증명이 아닙니다.

이 구분은 Stripe에 해당합니다. 다른 키는 해당 발급처의 문서를 확인해야 합니다.

조직이 연결한 소스와 모니터링하는 외부 자산부터 확인합니다.

서버용 결제 키가 저장소 코드나 설정에 복사될 수 있습니다. 발견 위치와 공개 브랜치·배포까지 이어졌는지 살펴보세요.

연결된 문서 저장소나 채팅에 붙여 넣은 키는 발급처 계정 밖에 사본을 남깁니다. 누가 볼 수 있었고 어떤 서비스가 쓰는지 확인하세요.

본문 검사가 켜진 외부 스캔은 정해진 범위의 공개 HTML·JavaScript·JSON을 살펴봅니다. 패턴 일치 후에도 키 종류와 발급처 확인이 필요합니다.

키 종류를 먼저 구분하되, 민감한 키의 노출이 확인되면 로그 조사 때문에 차단을 미루지 마세요.

01
키 종류 구분
발급처와 키 유형, 운영·테스트 환경, 발견 위치를 확인합니다. Stripe 공개 키에는 서버용 비밀 키와 같은 대응이 필요하지 않습니다.
02
발급처에서 차단
민감한 키가 노출됐다면 담당자가 발급처에서 교체·폐기하고 사용 서비스의 설정을 갱신합니다. 발견 위치와 로그는 차단을 미루지 않는 범위에서 보존하세요.
03
남은 노출 조사
지원 유형이면 Cremit의 유효성 결과를 참고합니다. 발급처 권한과 요청 로그, 다른 사본을 살펴보고 결론을 기록하세요. 패턴 일치나 유효성만으로 악용을 단정할 수 없습니다.

발견 기록으로 조사를 시작하고, 계정별 사실은 키 발급처에서 확인하세요.

Cremit은 연결된 코드·클라우드 스토리지·협업 도구와 모니터링하는 외부 자산을 설정에 따라 스캔합니다. 모든 시스템과 키 사본을 확인한다는 뜻은 아닙니다.
자동 유효성 검사는 지원 유형에만 적용됩니다. 키 상태는 이후 바뀔 수 있으며, 검증 결과만으로 악용 여부를 알 수는 없습니다.
AWS 액세스 키·GCP API 키의 권한 분석으로 Stripe·Shopify 등 커머스 키의 권한까지 알 수는 없습니다. 해당 발급처에서 확인하세요.
Cremit은 발급처 키를 직접 교체·폐기하거나 고객 데이터를 단독으로 보호하지 않습니다. PCI DSS 준수도 인증하지 않습니다.