필요한 최소한의 권한만 요청합니다
SEO 앱에는 고객의 이름이나 주소, 주문 상세 내역이 필요하지 않습니다. ShopSEO는 해당 데이터를 요청하지 않으므로, 보안 사고가 발생하더라도 고객 정보가 유출될 위험이 없습니다.
최소 권한 원칙
제품, 컬렉션, 페이지, 파일, 메타필드 및 매출 가중치 산출을 위한 주문 읽기 권한만 요청합니다. 그 외의 권한은 일절 요구하지 않습니다.
보호 대상 고객 데이터 미수집
고객 데이터가 전혀 필요하지 않기 때문에 Shopify의 보호 대상 고객 데이터(Protected Customer Data) 승인을 신청하지 않았습니다.
암호화
저장 시 AES-256, 전송 시 TLS 1.3으로 암호화하며, 전용 KMS에서 관리하는 키를 분기별로 교체합니다.
규정 준수 웹훅
Shopify의 필수 GDPR/CCPA 규정 준수 웹훅 3종을 모두 구현하여 모니터링하고 있습니다.
기본 읽기 전용
감사 과정에서는 스토어 데이터를 절대 수정하지 않습니다. 수정 사항을 직접 선택하고 적용하기 전까지는 아무것도 변경되지 않습니다.
깔끔한 앱 삭제
Shopify 관리자에서 앱을 삭제하면 즉시 접근 권한이 만료됩니다. 이후 Shopify의 shop/redact 웹훅이 실행되어 서버에 보관된 데이터가 안전하게 삭제됩니다.
보안 취약점 제보 안내
별도의 유료 포상금 제도는 운영하지 않습니다. 새로 출시된 앱인 만큼 예산이 책정되지 않은 보상을 과장해 홍보하지 않습니다. 다만 담당자가 직접 확인하는 제보 창구를 운영하며, 선의로 제보해 주신 분께 법적 조치를 취하지 않을 것을 약속드립니다.
- 영업일 기준 2일 이내 확인 및 답변
- 확인된 취약점 내용과 조치 일정 공유
- 원할 경우 변경 로그에 기여자 공식 명시
- 직접 관리하는 스토어에 대한 선의의 보안 테스트 시 법적 조치 면제
대상 외 항목
불필요한 시간 낭비를 방지하기 위해 다음 항목은 대상에서 제외됩니다.
- 대용량 트래픽 등을 포함한 DoS/DDoS 서비스 거부 공격
- 운영팀 또는 스토어 운영자를 대상으로 한 사회공학적 기법
- 직접 소유하거나 관리하지 않는 스토어에 대한 보안 테스트
- 실질적인 보안 위협이 증명되지 않은 보안 헤더 누락
- 실제 악용 가능성이 입증되지 않은 자동 스캐너 리포트
- Shopify 플랫폼 자체의 취약점 (Shopify로 직접 제보 필요)
보안 취약점 제보 및 포상
외부 보안 위협을 사전에 방지하고자 공개 버그 바운티를 운영합니다. 선의의 연구 활동을 환영하며 연구자에게 법적 조치를 취하지 않습니다.
- 24시간 이내 접수 확인, 72시간 이내 1차 심사
- 취약점 심각도에 따라 $250에서 $5,000 포상금 지급 (검증 완료 시)
- 원할 경우 변경 로그에 기여자 공식 명시
- 보유한 테스트 스토어에서의 선의의 테스트에 대한 면책 보장
대상 외 항목
불필요한 시간 낭비를 방지하기 위해 다음 항목은 대상에서 제외됩니다.
- 대용량 트래픽 등을 포함한 DoS/DDoS 서비스 거부 공격
- 운영팀 또는 스토어 운영자를 대상으로 한 사회공학적 기법
- 직접 소유하거나 관리하지 않는 스토어에 대한 보안 테스트
- 실질적인 보안 위협이 증명되지 않은 보안 헤더 누락
- 실제 악용 가능성이 입증되지 않은 자동 스캐너 생성 리포트
- Shopify 플랫폼 자체의 취약점 (Shopify로 직접 제보 필요)