HTTPS는 무엇을 보호하고, 무엇을 보호하지 못할까?

백엔드 보안 설계를 이야기할 때 HTTPS는 가장 기본적인 전제처럼 다뤄집니다. 로그인 API, 회원 정보 조회, 결제 요청, 외부 API 연동처럼 민감한 데이터를 주고받는 서비스라면 HTTPS는 선택이 아니라 기본입니다.

하지만 HTTPS를 사용하고 있다고 해서 모든 보안 문제가 해결되는 것은 아닙니다. HTTPS는 클라이언트와 서버 사이의 통신 구간을 보호합니다.

네트워크 중간에서 요청과 응답이 그대로 노출되거나 변조되는 위험을 줄여줍니다. 하지만 요청이 서버에 도착한 이후 애플리케이션 내부에서 Payload가 어떻게 처리되는지, 로그에 남는지, DB에 저장되는지, 외부 시스템으로 다시 전달되는지까지 자동으로 보호하지는 않습니다.

그래서 HTTPS를 이해할 때는 “안전하다”라는 표현보다, 무엇을 보호하고 무엇을 보호하지 못하는지를 나누어 보는 것이 중요합니다. 1. HTTPS는 HTTP를 안전한 통신 채널 위에서 주고받는 방식이다 HTTPS는 HTTP 자체가 암호화 기능을 가진 ...