HubSpot의 SSL 및 도메인 보안

도메인을 계정에 연결하면 HubSpot은 Google Trust Services를 통해 표준 SAN SSL 인증서를 자동으로 발급합니다. 표준 SSL 발급에는 보통 몇 분이 소요되지만, 최대 4시간까지 걸릴 수 있습니다.

SSL 인증서 사전 프로비저닝

기존 사이트를 HubSpot으로 이전하는 경우, SSL 중단 시간을 방지하기 위해 SSL 인증서를 미리 프로비저닝하는 것이 좋습니다. 도메인을 HubSpot에 연결하는 동안 SSL 인증서를 미리 프로비저닝할 수 있습니다.

1. 도메인 연결 과정에서 사이트에 기존 SSL 인증서가 있는 경우 배너가 표시됩니다. '사전 프로비저닝'을 클릭하고 대화 상자의 지침에 따라 프로비저닝 프로세스를 시작하십시오.

2. 별도의 브라우저 창이나 탭에서 도메인 제공업체 사이트 (예: GoDaddy 또는 Namecheap)에 로그인하십시오.
3. 도메인 제공업체 사이트에서 DNS 레코드를 관리하는 DNS 설정으로이동합니다.
4. HubSpot의 'SSL 인증서 사전 프로비저닝' 대화상자에 따라 새 DNS 레코드를 생성하십시오.'호스트' 및 '필수 데이터' 값을 복사하십시오.
5. 완료되면 'SSL 인증서 사전 프로비저닝' 대화 상자에서 '확인'을클릭합니다. 변경 사항이 처리되는 데 최대 4시간이 소요될 수 있습니다. '확인'을 클릭했을 때 오류가 발생하면 몇 분간 기다린 후 '확인'을 다시 클릭하여 확인하십시오.

참고: Network Solutions, Namecheap 또는 GoDaddy를 사용하는 경우 루트 도메인을 복사할 필요가 없습니다. 해당 제공업체에서 DNS 레코드 끝에 루트 도메인을 자동으로 추가합니다.

6. 인증서 사전 프로비저닝이 성공적으로 완료되면 도메인 연결 화면에 확인 배너가 표시됩니다. 이후 도메인 연결을 계속 진행할 수 있습니다.

도메인 제어 확인(DCV) 레코드 설정

도메인 설정에서 "웹사이트 중단을 방지하려면 리버스 프록시 도메인에 대한 조치가 필요합니다"라는 오류 메시지가 표시되는 경우, SSL 인증서를 최신 상태로 유지하기 위해 도메인 제어 검증(DCV) 레코드를 추가하는 것이 좋습니다.

1. HubSpot 계정의 상단 탐색 모음에서 설정 아이콘을 클릭합니다.
2. 왼쪽 사이드바 메뉴에서 '콘텐츠 > 도메인 및 URL'로 이동합니다.
3. '조치 필요' 라벨이표시된 각 도메인에 대해'작업' 드롭다운 메뉴를 클릭하고'DNS 레코드 표시'를 선택하세요.
4. 별도의 브라우저 창이나 탭에서 도메인 제공업체 사이트에 로그인하여 DNS 레코드에 액세스하세요. 가장 일반적인 제공업체의 DNS 설정에 대해 자세히 알아보세요.
5. 도메인 제공업체 사이트에서 DNS 레코드를 관리하는 DNS 설정으로이동합니다.
6. HubSpot의 대화 상자에 따라 새로운 DNS 레코드를 생성하세요. DCV 레코드 값을 복사한 후, 도메인 제공업체 사이트의 DNS 설정에서 새 레코드에 붙여넣으세요.
7. DNS 계정에 새로운 DCV 레코드를 추가하면 DNS 변경 사항이 완전히 반영되기까지 최대 24시간이 소요될 수 있습니다.

도메인 보안 설정 업데이트

HubSpot에 연결된 각 하위 도메인의 보안 설정을 업데이트하세요. 보안 설정에는 웹사이트 프로토콜(HTTP 대 HTTPS), TLS 버전 및 웹사이트 보안 헤더가 포함됩니다.

1. HubSpot 계정의 상단 탐색 모음에서 설정 아이콘을 클릭합니다.
2. 왼쪽 사이드바 메뉴에서 콘텐츠 > 도메인 및 URL로 이동합니다.
3. 작업 드롭다운 메뉴를 클릭하고 도메인 보안 설정 업데이트를 선택합니다.

HTTPS 프로토콜

사이트의 모든 페이지가 HTTPS를 통해 안전하게 로드되도록 설정하십시오. 이 설정을 활성화하면 이미지나 스타일시트와 같이 HTTP를 통해 로드되는 콘텐츠는 사이트에 표시되지 않습니다. HTTPS 사이트에서 HTTP를 통해 로드되는 콘텐츠를 혼합 콘텐츠라고 합니다. 페이지의 혼합 콘텐츠 오류를 해결하는 방법을 알아보십시오.

1. HubSpot 계정의 상단 탐색 모음에서 설정 아이콘을 클릭합니다.
2. 왼쪽 사이드바 메뉴에서 콘텐츠 > 도메인 및 URL로 이동합니다.
3. '작업' 드롭다운 메뉴를 클릭하고 '도메인 보안 설정 업데이트'를 선택합니다.
4. 오른쪽 사이드 패널에서 'HTTPS 필수' 확인란을 선택하여 도메인의 모든 페이지가 HTTP 대신 HTTPS를 통해 안전하게 로드되도록 설정합니다.
5. 완료되면 저장을 클릭합니다.

TLS 버전

기본적으로 HubSpot 서버는 TLS 1.2 이상을 사용하는 연결을 허용합니다. 설정된 최소 버전보다 낮은 TLS 버전을 사용하려는 연결은 실패합니다.

참고: 일부 보안 스캔에서는 HubSpot 호스팅 콘텐츠를 전달하는 데 사용되는 Cloudflare IP 주소에서 구형 TLS 버전(예: TLS 1.0)이 표시될 수 있습니다. 이는 사이트 보안에 영향을 미치지 않습니다. 사이트는 TLS 1.2와 같이 도메인에 대해 구성된 TLS 버전을 사용하여 제공됩니다.

1. HubSpot 계정의 상단 탐색 모음에서 설정 아이콘을 클릭합니다.
2. 왼쪽 사이드바 메뉴에서 콘텐츠 > 도메인 및 URL로 이동합니다.
3. '작업' 드롭다운 메뉴를 클릭하고 '도메인 보안 설정 업데이트'를 선택합니다.
4. 오른쪽 패널에서 TLS 버전 드롭다운 메뉴를 클릭하고 옵션을 선택합니다.
5. 완료되면 저장을 클릭합니다.

보안 헤더

도메인 보안을 구성하고 각 도메인에 대해 보안 헤더를 활성화하십시오.

HTTP Strict Transport Security(HSTS)

HTTP Strict Transport Security(HSTS)를 활성화하여 웹사이트에 추가 보안 계층을 적용하세요. HSTS는 브라우저가 모든 HTTP 요청을 HTTPS 요청으로 변환하도록 지시합니다. HSTS를 활성화하면 하위 도메인의 URL로 전송된 요청에 대한 응답에 HSTS 헤더가 추가됩니다. HSTS 헤더에 대해 자세히 알아보세요.

1. HubSpot 계정의 상단 탐색 모음에서 설정 아이콘을 클릭합니다.
2. 왼쪽 사이드바 메뉴에서 콘텐츠 > 도메인 및 URL로 이동합니다.
3. '작업' 드롭다운 메뉴를 클릭하고 '도메인 보안 설정 업데이트'를 선택합니다.
4. 오른쪽 패널에서 보안 헤더 탭을 클릭합니다.
5. HSTS를 활성화하려면 'HTTP Strict Transport Security(HSTS) ' 확인란을 선택하세요. 
   • 브라우저가 HTTP 요청을 HTTPS 요청으로 변환하도록 기억해야 하는 기간을 편집하려면 '기간(max-age)' 드롭다운 메뉴를 클릭하고 기간을 선택하세요.
   • 도메인의 HSTS 헤더에 preload 지시어를 포함하려면 'preload 활성화' 확인란을 선택합니다. HSTS preloading에 대해 자세히 알아보세요.
   • 선택한 도메인 아래의 모든 하위 도메인에 HSTS 헤더를 포함하려면 '하위 도메인 포함' 확인란을 선택하세요. 예를 들어, www.examplewebsite.com에 대해 HSTS가 켜져 있고 '하위 도메인 포함' 확인란이 선택된 경우, cool.www.examplewebsite.com에도 HSTS가 켜집니다.
6. 완료되면 '저장'을 클릭하십시오.

추가 도메인 보안 설정

브라우저가 콘텐츠를 로드하고, 요청을 처리하며, 도메인에 대한 보호 조치를 적용하는 방식을 제어하기 위해 추가 도메인 보안 헤더를 구성하세요. 이러한 설정은 크로스 사이트 스크립팅(XSS) 및 무단 콘텐츠 삽입과 같은 일반적인 취약점을 방지하는 데 도움이 됩니다.

X-Frame-Options

X-Frame-Options 응답 헤더를 켜면 브라우저가 <frame>, <iframe>, <embed> 또는 <object> HTML 태그 내에서 페이지를 렌더링할 수 있는지 여부를 지정할 수 있습니다. X-Frame-Options 헤더에 대해 자세히 알아보세요.

1. HubSpot 계정의 상단 탐색 모음에서 설정 아이콘을 클릭합니다.
2. 왼쪽 사이드바 메뉴에서 콘텐츠 > 도메인 및 URL로 이동합니다.
3. 작업 드롭다운 메뉴를 클릭하고 도메인 보안 설정 업데이트를 선택합니다.
4. 오른쪽 패널에서 '보안 헤더 ' 탭을 클릭합니다.
5. X-Frame-Options를 활성화하려면 X-Frame-Options 확인란을 선택한 다음,지시어 드롭다운 메뉴를 클릭하여 옵션을 선택하세요:
   • 도메인의 페이지가 위 태그가 포함된 다른 페이지에서 로드되는 것을 방지하려면 '거부(deny)'를 선택하세요.
   • 도메인 내의 페이지가 해당 도메인 내에서만 위 태그를 통해 로드되도록 허용하려면 'sameorigin'을 선택합니다.
6. 완료되면 '저장'을 클릭합니다.

X-XSS-Protection

X-XSS-Protection 헤더를 활성화하면 구형 웹 브라우저 사용자를 위한 추가 보안 계층을 제공할 수 있습니다. X-XSS-Protection을 활성화하면 크로스 사이트 스크립팅이 감지될 때 페이지 로딩이 차단됩니다. X-XSS-Protection 헤더에 대해 자세히 알아보세요.

1. HubSpot 계정의 상단 탐색 모음에서 설정 아이콘을 클릭합니다.
2. 왼쪽 사이드바 메뉴에서 콘텐츠 > 도메인 및 URL로 이동합니다.
3. 작업 드롭다운 메뉴를 클릭하고 도메인 보안 설정 업데이트를 선택합니다.
4. 오른쪽 패널에서 '보안 헤더 ' 탭을 클릭합니다.
5. X-XSS-Protection 헤더를 활성화하려면 X-XSS-Protection 확인란을 선택한 다음,XSS 설정 드롭다운 메뉴를 클릭하고 옵션을 선택하세요:
   • XSS 필터링을 비활성화하려면 0을 선택합니다.
   • 크로스 사이트 스크립팅(XSS) 공격이 감지될 때 페이지의 안전하지 않은 부분을 제거하려면 1을 선택합니다.
   • 공격이 감지되면 페이지 렌더링을 차단하려면 1; mode=block을 선택합니다.
6. 완료되면 저장을 클릭하십시오.

X-Content-Type-Options

X-Content-Type-Options 헤더를 활성화하여 페이지가 MIME 유형 스니핑에서 제외되도록 하십시오. 이 설정을 활성화하면 브라우저가 Content-Type 헤더에 명시된 MIME 유형을 따르도록 지시합니다. X-Content-Type-Options 헤더에 대해 자세히 알아보세요.

1. HubSpot 계정의 상단 탐색 모음에서 설정 아이콘을 클릭합니다.
2. 왼쪽 사이드바 메뉴에서 콘텐츠 > 도메인 및 URL로 이동합니다.
3. 작업 드롭다운 메뉴를 클릭하고 도메인 보안 설정 업데이트를 선택합니다.
4. 오른쪽 패널에서 '보안 헤더 ' 탭을 클릭합니다.
5. 페이지에서 MIME 유형 스니핑을 제외하려면 X-Content-Type-Options 확인란을 선택합니다.
6. 완료되면 저장을 클릭합니다.

Content-Security-Policy

Content-Security-Policy 헤더를 활성화하면 사용자 에이전트가 페이지에서 로드할 수 있는 리소스를 제어할 수 있습니다. 이 헤더는 크로스 사이트 스크립팅(XSS) 공격을 방지하는 데 도움이 됩니다.

1. HubSpot 계정의 상단 탐색 모음에서 설정 아이콘을 클릭합니다.
2. 왼쪽 사이드바 메뉴에서 콘텐츠 > 도메인 및 URL로 이동합니다.
3. 작업 드롭다운 메뉴를 클릭하고 도메인 보안 설정 업데이트를 선택합니다.
4. 오른쪽 사이드 패널에서 보안 헤더 탭을 클릭합니다.
5. 사용자 에이전트가 로드할 수 있는 리소스를 제어하려면 'Content-Security-Policy' 확인란을 선택하세요:
   • '정책 지시어' 필드에 지시어를 입력합니다.
     • HubSpot에서 호스팅하는 페이지에서 모든 기능을 정상적으로 사용하려면 다음 표에 나열된 도메인과 지시어를 포함해야 합니다.
     • 사용 가능한 다른 지시어 목록을 보려면Mozilla의 Content-Security-Policy 헤더 가이드를 참조하십시오.
   • 마케팅 이메일의 웹 버전에서 Content-Security-Policy 헤더를 사용하려면, 여기에 설명된 대로 unsafe-inline을 키워드로 입력하십시오. 그렇지 않으면 이메일의 스타일이 차단됩니다.
   • 무작위로 생성된 헤더 값과 일치하는 nonce 속성이 포함된 경우에만 <script> 요소가 실행되도록 하려면'nonce 활성화'확인란을 선택하십시오.
6. 완료되면 '저장'을 클릭하십시오.

참고: HubSpot은 HubSpot에서 제공하는 모든 스크립트와 HubSpot에 호스팅된 모든 스크립트에 대해 각 요청 시 무작위 값을 자동으로 생성합니다.

HubSpot에서 호스팅되는 페이지에서 모든 기능을 정상적으로 사용하려면 다음 도메인과 지시어를 포함해야 합니다:

Content-Security-Policy-Report-Only

정책 지시어를 모니터링하려면 Content-Security-Policy-Report-Only 헤더를 활성화하십시오. 정책 지시어는 적용되지 않지만 그 효과는 모니터링되므로, 정책을 실험할 때 유용할 수 있습니다. Content-Security-Policy-Report-Only 헤더에 대해 자세히 알아보세요.

1. HubSpot 계정의 상단 탐색 모음에서 설정 아이콘을 클릭합니다.
2. 왼쪽 사이드바 메뉴에서 콘텐츠 > 도메인 및 URL로 이동합니다.
3. 작업 드롭다운 메뉴를 클릭하고 도메인 보안 설정 업데이트를 선택합니다.
4. 오른쪽 패널에서 '보안 헤더 ' 탭을 클릭합니다.
5. 이 헤더를 켜려면 'Content-Security-Policy-Report-Only' 확인란을 선택한 다음 정책 지시어를 입력하세요.
6. 무작위로 생성된 헤더 값과 일치하는 nonce 속성이 포함된 경우에만 <script> 요소의 실행을 허용하려면'nonce 활성화' 확인란을 선택합니다.
7. 완료되면 저장을 클릭합니다.

Referrer-Policy

Referrer-Policy 헤더를 활성화하여 요청에 포함될 리퍼러 정보의 양을 제어할 수 있습니다. 사용 가능한 지시어에 대한 정의는 Mozilla의 Referrer-Policy 가이드를 참조하십시오.

1. HubSpot 계정의 상단 탐색 모음에서 설정 아이콘을 클릭합니다.
2. 왼쪽 사이드바 메뉴에서 콘텐츠 > 도메인 및 URL로 이동합니다.
3. 작업 드롭다운 메뉴를 클릭하고 도메인 보안 설정 업데이트를 선택합니다.
4. 오른쪽 패널에서 보안 헤더 탭을 클릭합니다.
5. 요청에 포함될 리퍼러 정보의 양을 제어하려면 'Referrer-Policy' 확인란을 선택한 다음,'Directive' 드롭다운 메뉴를 클릭하고 옵션을 선택합니다.
6. 완료되면 저장을 클릭합니다.

Permissions-Policy

Permissions-Policy 헤더를 활성화하면 <iframe> 요소의 콘텐츠를 포함하여 페이지에서 브라우저 기능의 사용을 제어할 수 있습니다.

1. HubSpot 계정의 상단 탐색 모음에서 설정 아이콘을 클릭합니다.
2. 왼쪽 사이드바 메뉴에서 콘텐츠 > 도메인 및 URL로 이동합니다.
3. 작업 드롭다운 메뉴를 클릭하고 도메인 보안 설정 업데이트를 선택합니다.
4. 오른쪽 사이드 패널에서 '보안 헤더 ' 탭을 클릭합니다.
5. 브라우저 기능 사용을 제어하려면 Permissions-Policy 확인란을 선택한 다음 지침을 입력하세요. 지침 목록은 Mozilla의 Permissions-Policy 가이드를 참조하세요.
6. 완료되면 저장을 클릭합니다.