홈페이지 해킹을 예방하려면 무엇을 해야 하나요? 중소기업 홈페이지 보안 체크리스트 10가지

중소기업 홈페이지를 노리는 공격은 대부분 사람이 아니라 자동화된 봇이며, 알려진 취약점과 약한 비밀번호를 무작위로 시도합니다. 그래서 특별한 보안 장비 없이도 아래 10가지 기본을 지키면 사고 대부분을 예방할 수 있습니다. 반대로 하나라도 빠지면 그 틈으로 들어옵니다.

보안 체크리스트 10가지

1. CMS·플러그인·PHP 버전 최신 유지 — 그누보드·워드프레스 보안 패치는 공개된 취약점을 막는 것이므로 미루면 바로 표적이 됩니다. 지원이 끝난 PHP 버전은 호스팅에서 상향합니다.
2. 관리자 계정 강화 — admin 같은 기본 아이디 사용 금지, 12자 이상 비밀번호, 가능하면 2단계 인증. 퇴사자 계정은 즉시 삭제.
3. 관리자 경로·접근 제한 — 관리자 디렉터리 이름 변경, 특정 IP만 접근 허용, 로그인 실패 횟수 제한.
4. HTTPS 전면 적용 — 로그인·문의 폼 데이터가 평문으로 오가지 않도록. HSTS 헤더로 https 강제.
5. 파일 업로드 제한 — 게시판·문의 첨부에서 실행 파일(php 등) 업로드 차단, 업로드 폴더에서 스크립트 실행 금지.
6. 자동 백업과 복구 테스트 — 파일·DB를 매일 또는 매주 자동 백업하고, 다른 위치에 보관하며, 실제로 복구되는지 분기마다 확인.
7. 보안 헤더 — X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Content-Security-Policy. 무료 SEO 진단의 보안 항목에서 적용 여부를 볼 수 있습니다.
8. 불필요한 파일·기능 제거 — 설치 파일, 테스트 페이지, 쓰지 않는 게시판·플러그인, phpinfo 같은 정보 노출 파일 삭제.
9. 입력값 검증 — 문의 폼·검색·게시판에 SQL 인젝션·XSS 방어. CMS의 기본 방어 함수를 우회하는 커스텀 코드가 없는지 점검.
10. 모니터링 — 관리자 로그인 알림, 파일 변조 감지, 구글 서치콘솔의 "보안 문제" 보고서 확인. 검색 결과에 "이 사이트는 해킹되었을 수 있습니다"가 뜨면 즉시 대응.

해킹이 의심될 때

1. 관리자·FTP·DB 비밀번호를 모두 변경
2. 최근 변경된 파일과 알 수 없는 파일을 찾아 격리
3. 깨끗한 백업으로 복구 후 취약점 패치
4. 서치콘솔에서 검토 요청, 필요 시 호스팅사·KISA(118) 신고

트윈에이치의 보안 관리

트윈에이치는 제작 시 관리자 계정·업로드·보안 헤더·HTTPS를 기본 적용하고, 유지보수 고객사는 CMS 업데이트와 백업을 정기 점검합니다. 유지보수 범위는 유지보수 가이드를 참고하세요.