보안 헤더 가이드

브라우저가 응답의 Content-Type 헤더를 무시하고 MIME 타입을 추측(sniffing)하는 것을 방지합니다. 이를 통해 MIME 타입 혼동 공격을 차단합니다. 예를 들어, 공격자가 이미지 파일로 위장한 스크립트를 업로드하고, 브라우저가 이를 스크립트로 실행하는 것을 방지합니다.

브라우저가 HTTP 요청 시 Referer 헤더에 얼마나 많은 참조 정보를 포함할지 제어합니다. 사용자가 링크를 클릭하거나 리소스를 로드할 때 이전 페이지의 URL이 목적지 서버에 전송되는데, 이 헤더로 URL에 포함된 민감 정보(세션 토큰, 사용자 ID 등)의 유출을 방지할 수 있습니다.

웹 페이지와 해당 iframe에서 브라우저 기능(카메라, 마이크, 위치 정보, 자이로스코프 등)의 사용을 허용하거나 거부할 수 있는 메커니즘입니다. 이전의 Feature-Policy 헤더를 대체하며, 불필요한 브라우저 API 접근을 제한하여 사용자 프라이버시와 보안을 강화합니다.

COOP(Cross-Origin-Opener-Policy)는 최상위 문서가 다른 출처의 문서와 브라우징 컨텍스트 그룹을 공유하지 않도록 보장합니다. 이를 통해 Spectre와 같은 사이드 채널 공격을 방지하고, 다른 출처의 문서가 window.opener를 통해 현재 문서에 접근하는 것을 차단합니다.

CORP(Cross-Origin-Resource-Policy)는 브라우저가 지정된 리소스에 대한 교차 출처(cross-origin) 또는 교차 사이트(cross-site) 요청을 차단하도록 지시합니다. Spectre 등의 사이드 채널 공격과 교차 출처 데이터 유출을 방지하는 데 효과적이며, CORS와 함께 사용하여 리소스 접근을 세밀하게 제어할 수 있습니다.

COEP(Cross-Origin-Embedder-Policy)는 문서가 명시적으로 허용하지 않은 교차 출처 리소스를 로드하지 못하도록 합니다. COOP와 함께 설정하면 교차 출처 격리(Cross-Origin Isolation)가 활성화되어 SharedArrayBuffer, performance.measureUserAgentSpecificMemory() 등 고정밀 API를 안전하게 사용할 수 있습니다. Spectre 계열 사이드 채널 공격에 대한 방어를 강화합니다.