보안 개요

내장 보안 스캔, API 키 보호, 데이터베이스 접근 검사, 의존성 감사, 선택적 보안 통합으로 앱을 보호합니다.

Lovable은 개발 중과 게시 전에 일반적인 애플리케이션 보안 위험을 줄이는 데 도움이 됩니다. 이는 두 가지 주요 방식으로 이루어집니다: 일반적인 보안 실수를 사전에 방지하고, 자동화된 분석을 통해 잠재적 취약점을 식별합니다.

Lovable에는 두 개의 내장 보안 스캐너 Basic scan과 Deep scan이 있으며, 추가 커버리지를 위한 선택적 커넥터가 있습니다. 이러한 도구는 안전한 애플리케이션 개발을 지원하지만 철저한 보안 검토를 대체하지는 않습니다.

특히 민감한 데이터를 처리하거나 중요한 기능을 수행하는 경우, 앱이 사용 사례에 적합한 보안 요구사항을 충족하도록 보장하는 것은 사용자의 책임입니다.

내장 보안 스캐너

Lovable은 두 개의 내장 보안 스캐너 Basic scan과 Deep scan을 제공합니다.

Basic scan

내장 Basic scan은 빠른 구성 및 의존성 검사입니다. 여러 영역을 포함합니다:

• RLS policy linting: row-level security 정책에서 일반적인 실수 확인
• 데이터베이스 스키마 검토: 데이터베이스 스키마 및 접근 제어 검토
• 의존성 감사: npm 의존성에서 알려진 취약점 탐지

Deep scan

내장 Deep scan은 코드베이스의 철저한 agentic 검토를 수행합니다. Deep scan은 Basic scan이 하는 모든 것을 실행하고, 다음과 같은 영역을 추가합니다:

• 접근 제어 검토: 지나치게 허용적인 데이터 접근 규칙과 row-level security를 우회하는 데이터베이스 함수 탐지
• 백엔드 엔드포인트 보호: 적절한 인증 또는 인가가 없는 edge function과 API 플래그
• 코드 수준 취약점: 노출된 시크릿, 안전하지 않은 입력 처리(SQL injection 또는 XSS 등), 안전하지 않은 스토리지 설정, 오류 또는 로그를 통한 정보 유출 식별
• 프로젝트별 이슈: 보안 메모리에 추가한 컨텍스트에 묶인 이슈 노출

선택적 보안 앱 커넥터

워크스페이스는 선택적 보안 통합을 연결하여 Lovable의 내장 스캐너를 넘어 커버리지를 확장할 수도 있습니다.

Wiz 스캐닝

워크스페이스는 Wiz를 연결하여 워크스페이스의 모든 프로젝트에 엔터프라이즈급 취약점 및 코드 보안 탐지를 추가할 수 있습니다.

Wiz는 두 가지 분석을 결합합니다:

• Software composition analysis (SCA): Wiz의 지속적으로 업데이트되는 보안 데이터베이스를 사용하여 transitive 의존성을 포함한 취약한 의존성 식별
• Static application security testing (SAST): 위험한 패턴, 하드코딩된 시크릿, 안전하지 않은 API 사용에 대해 소스 코드 스캔

워크스페이스 수준에서 Wiz 연결이 추가되면 Wiz 스캐닝이 Lovable의 표준 보안 스캔 스위트의 일부로 실행됩니다. 발견 사항은 각 프로젝트의 Security view에서 다른 스캐너의 결과와 함께, Wiz 연결에 귀속된 섹션에 나타납니다.

설정과 세부 정보는 Wiz로 프로젝트의 취약점 스캔을 참조하세요.

Aikido를 사용한 AI 침투 테스팅

내장 스캐너와 Wiz는 코드와 구성을 읽어 위험해 보이는 패턴을 플래그하는 정적 분석을 수행합니다. AI 침투 테스팅은 이를 동적 분석으로 보완합니다: AI 에이전트가 실행 중인 애플리케이션과 상호 작용하고, 실제 페이로드를 보내고, 실제 공격자처럼 인증, 인가, API 흐름을 악용하려 시도합니다.

워크스페이스는 Aikido를 연결하여 개별 프로젝트에 AI 펜테스트를 실행할 수 있습니다. 펜테스트는 실제 공격 시나리오를 통해 각 이슈를 확인하므로 보고된 모든 발견 사항은 이론적이 아닌 악용 가능합니다. 발견 사항은 프로젝트의 Security view의 전용 Agentic penetration test by Aikido 섹션으로 동기화되며, Aikido는 또한 SOC 2, ISO 27001, 보안 설문조사를 위해 구조화된 공유 가능한 보고서를 생성합니다.

권장 순서는 다음과 같습니다: 보안 스캐너를 먼저 실행하고, 그것이 노출하는 것을 수정한 다음, 주요 릴리스 전에 펜테스트로 검증합니다.

설정, 사전 준비 사항, 펜테스트 실행 방법은 Aikido로 AI 기반 침투 테스트 실행을 참조하세요.

보안 스캔 실행 시점

Lovable은 이슈를 일찍 잡는 데 도움이 되도록 워크플로의 다른 시점에서 보안 스캔을 실행합니다.

각 스캔은 프로젝트와 관련이 있고 마지막 실행 이후 변경이 발생한 경우에만 실행됩니다. 예를 들어 데이터베이스 검사는 연결된 데이터베이스가 있는 프로젝트에 대해서만 실행되고, 의존성 감사는 의존성이 변경된 경우에만 실행됩니다.

게시 전

게시 대화상자를 열면 Lovable이 RLS policy linting과 데이터베이스 스키마 검토를 포함한 Basic 보안 스캔을 백그라운드에서 자동으로 실행합니다. Basic scan이 통과되면 Deep scan 실행을 선택할 수도 있습니다. critical 이슈가 발견되면 진행 전에 검토하라는 메시지가 표시됩니다.

앱을 공개적으로 사용 가능하게 만들기 전에 모든 critical 이슈를 해결하세요. 해결되지 않은 critical 이슈가 있는 상태로 게시하는 것은 가능하지만, 특히 운영 앱이나 민감한 사용자 데이터를 처리하는 앱의 경우 강력히 권장하지 않습니다.

온디맨드

세 곳에서 스캔을 온디맨드로 트리거할 수 있습니다:

• 프로젝트 Security view: Code analysis 탭에서 Basic scan을 클릭하여 데이터베이스 및 의존성 검사를 새로 고치거나, Deep scan을 클릭하여 전체 agentic 코드 리뷰를 실행합니다(이는 또한 오래된 basic 검사도 다시 실행합니다). 각 버튼은 결과가 이미 최신 상태이면 비활성화됩니다.
• 워크스페이스 Security center: 프로젝트 행의 Scan을 클릭합니다. 이는 해당 프로젝트에 대해 사용 가능한 모든 스캐너(Basic과 Deep을 함께)를 백그라운드에서 실행합니다.
• 게시 대화상자: 대화상자가 열리면 Basic scan이 자동으로 시작됩니다. 통과되면 Deep scan을 위한 Run scan 버튼이 나타나 게시 전에 실행할 수 있습니다.

온디맨드 스캔은 중요한 코드 변경 후, 특정 발견 사항을 조사할 때, 또는 모든 결과가 프로젝트의 현재 상태를 반영하기를 원할 때 유용합니다.

예약된 스캔 (Enterprise 전용)

Enterprise 플랜의 워크스페이스 admin과 owner는 선택된 프로젝트에 걸쳐 자동으로 실행되도록 Deep 보안 스캔을 예약할 수 있습니다. 예약된 스캔은 admin이 수동으로 스캔을 트리거하지 않고도 프로젝트가 커버되도록 유지하는 데 도움이 됩니다.

설정 세부 정보, 사용 가능한 일정 옵션, 크레딧 사용량은 보안 스캔 예약을 참조하세요.

Lovable이 앱을 안전하게 유지하는 방법

아래 섹션에서는 주요 위험 영역을 더 자세히 설명하고 Lovable이 이를 해결하는 데 도움이 되는 방법을 설명합니다.

안전한 코드 작성과 일반적인 보안 실수 회피에 대한 실용적인 가이드는 Lovable 앱을 위한 보안 모범 사례를 참조하세요.

API 키 보호

Lovable은 브라우저에서 실행되는 프런트엔드 코드를 생성합니다. 이는 API 키와 기타 시크릿을 클라이언트 측 코드에 안전하게 저장할 수 없음을 의미합니다. 자격 증명을 노출하면 데이터 유출 또는 무단 접근으로 이어질 수 있습니다.

민감한 자격 증명이 노출되지 않도록 Lovable은 채팅에 붙여넣은 API 키를 자동으로 탐지하고 코드에 하드코딩하는 대신 Secrets에 안전하게 저장하도록 안내합니다.

자격 증명을 직접 붙여넣는 대신 빌드하고 싶은 것을 설명하면 Lovable이 server-side 함수와 시크릿 스토리지를 사용해 안전한 설정을 구현하는 데 도움을 줍니다.

예시:

I want to integrate service X API to generate text responses

Lovable은 다음을 안내합니다:

1. Secrets에 API 키를 안전하게 저장
2. Edge Function을 만들어 server-side에서 API 호출 수행
3. 프런트엔드 코드에서 해당 Edge Function 호출

이 접근법은 자격 증명을 안전하게 유지하고 웹 보안 모범 사례를 따릅니다.

row-level security(RLS)로 데이터 접근 보호

row-level security(RLS) 정책은 데이터베이스의 데이터에 접근하거나 수정할 수 있는 사용자를 제어합니다. 잘못 구성된 RLS 규칙은 데이터 유출의 일반적인 원인입니다.

Lovable은 사용자가 인가된 데이터만 보고 변경할 수 있도록 RLS 정책을 검토하고 추론하는 데 도움이 됩니다. Basic scan의 RLS policy linting은 민감한 데이터를 노출할 수 있는 지나치게 허용적인 규칙이나 누락된 접근 검사를 강조합니다. Deep scan에도 이 검사가 포함됩니다.

특히 게시 전이나 인증 또는 데이터베이스 구조 변경 후에 RLS 정책을 정기적으로 검토해야 합니다.

데이터베이스 보안 위험 식별

데이터베이스 스키마와 접근 규칙은 함께 작동하여 데이터가 어떻게 노출되는지를 결정합니다. 스키마 설계와 접근 정책의 안전하지 않은 조합은 개별 규칙이 올바르게 보일 때도 보안 위험을 도입할 수 있습니다.

Basic scan의 데이터베이스 스키마 검토는 스키마와 RLS 구성을 함께 검사하여 무단 접근 또는 데이터 노출로 이어질 수 있는 패턴을 식별합니다. 이는 규칙을 단독으로 검토할 때 명확하지 않을 수 있는 이슈를 잡는 데 도움이 됩니다. Deep scan은 이 검토를 포함하고 추가로 지나치게 허용적인 데이터 접근 규칙과 RLS를 우회하는 데이터베이스 함수를 탐지하는 접근 제어 검토를 수행합니다.

의존성의 취약점 식별

서드파티 라이브러리는 보안 위험의 일반적인 원천입니다. 널리 사용되는 패키지조차도 새 이슈가 발견되면 취약점을 도입할 수 있습니다.

Basic scan의 의존성 감사는 프로젝트의 의존성에서 알려진 보안 취약점을 확인하고, 취약한 패키지를 식별하며, 위험을 평가하고 교정하는 데 도움이 되는 정보를 제공합니다.

의존성 취약점 발견 사항은 다음에 나타날 수 있습니다:

• 단일 프로젝트에 대해 세부 정보를 검토하고 조치를 취할 수 있는 프로젝트 수준 Security view
• 워크스페이스 admin과 owner가 여러 프로젝트의 취약점을 모니터링할 수 있는 워크스페이스 수준 Security center

발견 사항에는 영향받는 패키지 이름과 버전, 취약점 유형, 안전한 버전으로 업데이트하는 것과 같은 권장 교정 단계가 포함됩니다.

의존성을 최신 상태로 유지하는 것은 안전한 애플리케이션을 유지하는 중요한 부분입니다. critical 취약점이 공개되면 Security center가 어떤 프로젝트가 영향받는지 식별하는 데 도움이 되어 이슈를 빠르게 해결할 수 있습니다.

애플리케이션 코드의 취약점 식별

애플리케이션 코드는 부적절한 입력 처리, 약한 인가 검사, 노출된 자격 증명 같은 패턴을 통해 보안 위험을 도입할 수 있습니다. 이러한 영역은 Basic scan이 커버하지 않습니다.

Deep scan은 애플리케이션 코드와 데이터베이스 스키마를 분석하여(모든 basic 검사를 실행하는 것 외에) 일반적인 취약점 패턴을 식별하고 보안 개선 권장 사항을 제공합니다. 이러한 검사는 운영에서 악용 가능해지기 전에 이슈를 일찍 노출하는 데 도움이 됩니다.

보안 발견 사항에 대한 조치

스캔이 보안 발견 사항을 식별한 후 프로젝트 수준 Security view, 적격 자동 수정, 또는 대화형 보안 검토를 통해 검토하고 처리할 수 있습니다.

프로젝트 보안 뷰에서 발견 사항 검토 및 수정

프로젝트 수준 발견 사항의 경우 프로젝트 Security view를 사용하세요.

Security view를 사용하면 단일 프로젝트의 발견 사항을 검사하고, 심각도를 이해하고, 권장 교정 단계를 검토하고, 스캔을 실행하고, 개별 발견 사항을 수정하고, Try to fix all을 사용하고, 적용되지 않는 발견 사항을 무시하고, 의존성 취약점을 검토할 수 있습니다.

이는 개발 중, 게시 전, 출시 후 스캔 결과를 처리하는 주요 공간입니다.

Lovable이 적격 발견 사항을 자동으로 수정하도록 하기

Lovable은 정규 에이전트 작업 중에 적격 보안 발견 사항을 자동으로 수정할 수 있습니다. Auto-fix가 활성화되면 채팅할 때마다 Lovable은 error로 표시된 최신 critical Basic scan 발견 사항을 컨텍스트로 받습니다. 그런 다음 Lovable은 다음 응답의 일부로 이를 해결하려고 시도합니다. 이는 표준 채팅 사용으로 취급되며 크레딧을 소비합니다.

Auto-fix는 일반적인 row-level security(RLS) 잘못된 구성과 데이터베이스 접근 패턴 같이 자동으로 교정해도 안전한 발견 사항을 위해 설계되었습니다. Deep scan 발견 사항에는 수정을 적용하지 않습니다.

프로젝트에서 Lovable과 채팅할 때마다 Auto-fix가 확인됩니다:

1. 채팅에서 메시지를 보냅니다.
2. Lovable은 프로젝트에 대해 auto-fix가 활성화되어 있는지 확인합니다.
3. 활성화되어 있으면 Lovable은 적격 error 수준 Basic scan 발견 사항의 현재 목록을 추가 지식으로 받습니다.
4. Lovable은 요청한 작업의 일부로 해당 발견 사항을 수정하려 시도합니다.

Auto-fix는 두 수준에서 구성할 수 있습니다:

• 워크스페이스 기본값: 워크스페이스 admin과 owner는 Workspace settings → Privacy & security → Security automation → Auto-fix security issues에서 프로젝트 전반의 기본 동작을 설정할 수 있습니다.
• 프로젝트 설정: 워크스페이스 기본값이 해당 프로젝트에 대해 auto-fix를 요구하지 않는 한 프로젝트 편집 권한이 있는 누구나 Project settings → Auto-fix security issues에서 특정 프로젝트에 대한 auto-fix를 관리할 수 있습니다.

사용 가능한 워크스페이스 옵션은 플랜에 따라 다릅니다:

Lovable에게 앱 보안 검토 요청

자동화된 보안 스캐너와 별도로 프롬프트하여 언제든지 Lovable에게 대화형 보안 검토를 수행해 달라고 요청할 수 있습니다. 이는 AI 기반 검토이며 일반 채팅 메시지처럼 크레딧을 소비합니다.

예:

Review my app's security

Lovable이 프로젝트를 분석하고 상세한 평가로 응답합니다. 검토는 일반적으로 다음과 같은 영역을 다룹니다:

• 애플리케이션 코드의 잠재적 취약점
• XSS 위험, 입력 처리, 인증 결함 같은 일반적인 이슈
• 데이터베이스 스키마와 row-level security(RLS) 정책
• 구체적인 권장 사항이 있는 전체 보안 상태

검토의 범위와 깊이는 프로젝트에 따라 다릅니다. 특정 영역에 집중하도록 Lovable에게 요청할 수도 있습니다. 예:

Review the authentication flow in my app.

또는

Check if my API routes are secure.

대화형 검토는 중요한 변경 후 또는 주요 릴리스 전에 특히 유용합니다. 현재 경고가 표시되지 않더라도 운영 애플리케이션의 경우 주기적으로 검토를 요청하는 것이 좋은 관행입니다.

보안 관리 위치

Lovable은 두 가지 보안 표면을 제공합니다: 개별 프로젝트를 보호하기 위한 것과 전체 워크스페이스에서 보안을 모니터링하기 위한 것입니다.

프로젝트 보안 (Security view)

특정 프로젝트를 빌드하거나 유지하는 경우 Security view를 사용하세요. Lovable의 Basic scan과 Deep scan, 그리고 Wiz와 Aikido 같은 선택적 통합의 발견 사항을 한곳에 모아 한곳에서 보안 위험을 이해하고 처리할 수 있습니다.

Security view는 다음을 돕습니다:

• Basic scan과 Deep scan을 온디맨드로 실행
• 스캔 결과가 최신인지 새로 고침이 필요한지 확인
• errors, warnings, info를 포함한 심각도별 프로젝트 발견 사항 검토
• 각 발견 사항이 무엇을 의미하는지, 왜 중요한지, 어떻게 수정하는지 이해
• 보안 메모리를 사용해 스캐너에 프로젝트별 컨텍스트를 제공하고 거짓 양성 감소
• 개별 발견 사항 수정, Try to fix all 사용, 또는 수동 변경
• 기록된 이유로 적용되지 않는 발견 사항 무시
• 프로젝트 의존성과 알려진 취약점 검토
• 취약한 패키지 필터링 및 새 의존성 감사 트리거
• 프로젝트 의존성과 취약점의 JSON 보고서 다운로드
• 프로젝트가 게시 준비가 되었는지 검증
• 프로젝트가 변경되면서 게시 후에도 보안 모니터링 계속

이는 개발 중, 게시 전, 출시 후 단일 프로젝트의 보안 이슈를 처리하는 주요 공간입니다.

워크스페이스 보안 (Security center)

Business와 Enterprise 플랜의 워크스페이스 admin과 owner는 Security center를 사용해 워크스페이스의 모든 프로젝트에 걸쳐 보안을 모니터링할 수 있습니다.

Security center는 다음을 돕습니다:

• errors, warnings, 또는 outdated 스캔 결과가 있는 프로젝트 확인
• 한 번도 스캔되지 않은 프로젝트를 포함한 워크스페이스 전반의 스캔 커버리지 모니터링
• 프로젝트를 열지 않고 개별 프로젝트에 대한 보안 스캔 실행
• Enterprise 플랜에서 워크스페이스 전반에 반복되는 deep 보안 스캔 예약
• 프로젝트별 또는 취약점별 의존성 취약점 검토
• 여러 프로젝트에 영향을 미치는 취약한 패키지 식별
• 시크릿 값을 노출하지 않고 모든 프로젝트의 시크릿 보기
• 정리가 필요할 수 있는 오래되거나 중복된 시크릿 찾기
• 감사 또는 내부 보고를 위해 보안, 의존성, 시크릿 데이터 내보내기
• 워크스페이스 수준에서 전체 보안 상태 추적

Security center는 워크스페이스 전반의 보안 정보를 집계하지만 수정은 여전히 프로젝트 수준에서 적용됩니다.

관련 보안 설정

프로젝트와 워크스페이스 보안 검토 외에도 Lovable은 계정 수준 및 인증 관련 보안 설정을 제공합니다. 이러한 구성은 특정 프로젝트에 묶이지 않지만 사용자 계정을 보호하고 손상된 자격 증명의 위험을 줄이는 데 중요한 역할을 합니다.

인증을 설정하거나 사용자가 로그인할 수 있는 앱을 출시하기 전에 이러한 설정을 검토해야 합니다.

유출된 비밀번호 보호

앱이 이메일과 비밀번호 인증을 사용하는 경우 사용자가 알려진 손상된 비밀번호를 선택하지 못하도록 막을 수 있습니다.

이 보호는 사용자 비밀번호를 HIBP(Have I Been Pwned) 데이터베이스와 비교하고 일반적으로 유출되거나 추측하기 쉬운 비밀번호를 거부합니다. 활성화하면 재사용된 자격 증명으로 인한 계정 탈취 위험을 줄이는 데 도움이 됩니다.

• Lovable Cloud 사용: Cloud → Users → Auth settings → Email에서 Password HIBP Check를 활성화하세요
• Supabase 직접 사용: 자세한 지침은 Password strength and leaked password protection에 대한 Supabase 문서를 참조하세요.

비용 및 사용량

Lovable에는 자동화된 도구와 대화형 보안 도구가 모두 포함됩니다. 대부분의 보안 기능은 무료로 사용할 수 있지만 일부 보안 액션은 크레딧을 소비합니다.

자동화된 도구와 대화형 보안 도구는 함께 작동하도록 설계되었습니다. 개발 중과 게시 전 지속적인 모니터링과 타겟팅된 수정에는 자동화된 보안 도구를 사용하세요. 앱의 전체 보안 상태에 대한 더 깊은 탐색적 평가를 원할 때 대화형 보안 검토를 사용하세요.

자동화된 보안 액션 (무료)

다음 자동화된 보안 액션은 크레딧을 소비하지 않습니다:

• 보안 스캔 실행
  Security view, Security center, 또는 게시 대화상자에서 Basic scan 또는 Deep scan을 실행하는 것은 무료입니다.
• 감지된 이슈 수정
  Security view에서 Try to fix all을 사용해 발견 사항을 수정하는 것은 무료입니다.

이러한 액션은 Lovable의 자동화된 보안 스캐너 또는 보안 전용 교정 도구를 사용하며 일반 채팅 사용량으로 계산되지 않습니다.

대화형 보안 액션 (크레딧 사용)

다음 대화형 보안 액션은 일반 채팅 메시지처럼 크레딧을 소비합니다:

• 대화형 보안 검토
  채팅에서 Lovable에게 "내 앱의 보안 검토"를 요청하면 대화형 AI 기반 검토가 실행되며 일반 채팅 메시지처럼 크레딧을 소비합니다.
• 채팅의 일반적인 보안 질문
  자동화된 보안 도구 외부의 메인 채팅에서 보안 관련 질문을 직접 하는 것은 표준 채팅 사용으로 취급되며 크레딧을 소비합니다.
• 채팅에서 발견 사항 참조
  채팅에서 보안 발견 사항을 참조해 Lovable에게 분석하거나 수정해 달라고 요청하는 것은 표준 채팅 사용으로 취급되며 크레딧을 소비합니다.
• 정규 에이전트 작업 중 Lovable이 적격 발견 사항을 수정하도록 하기
  정규 에이전트 작업 중 Lovable이 적격 보안 발견 사항을 수정하도록 하기는 표준 채팅 사용으로 취급되며 크레딧을 소비합니다.

서드파티 통합 (별도 비용)

선택적 통합은 스캐닝 또는 테스팅에 대한 서드파티 비용을 수반합니다. 이러한 비용은 Lovable 크레딧과 별도입니다.

• Wiz 스캐닝은 Lovable의 표준 보안 스캔 스위트의 일부로 실행되며 Lovable 크레딧을 소비하지 않습니다. 단, Wiz 사용량은 Wiz 할당량, 한도, 청구를 포함한 Wiz 배포에 의해 관리됩니다.
• Aikido를 사용한 AI 펜테스트는 Aikido에서 청구되며 Lovable 크레딧을 소비하지 않습니다.

Lovable에서 발견 사항을 수정하거나 논의하는 것은 다른 보안 액션과 동일한 크레딧 규칙을 따릅니다: 자동화된 보안 액션은 무료이며 일반 채팅 기반 보안 액션은 일반 채팅처럼 크레딧을 소비합니다.