들어가며: 팀이 커질수록 조용히 쌓이는 보안 부채
Vercel을 쓰는 팀이라면 공감할 거예요. 프로젝트가 몇 개만 늘어나도 "이 팀원 2FA 켰나?", "이 환경변수 민감하게 설정했나?" 하나하나 확인하기가 점점 버거워집니다. 특히 최근엔 AI 코딩 에이전트가 프로젝트를 순식간에 찍어내는 시대라, 작은 설정 실수가 눈에 안 띄게 누적되기 쉬워요.
그래서 Vercel이 Security Dashboard를 모든 플랜에서 정식 출시(GA)했습니다. 계정과 프로젝트 전반의 보안 상태를 한 화면에서 볼 수 있게 된 거죠. 이 글에서는 대시보드가 뭘 잡아주는지, CLI로 어떻게 자동화하는지, 그리고 실무에서 어떻게 써먹을 수 있는지 정리해볼게요.
대시보드는 UI에서 바로 접근할 수 있고, 터미널에서는 vercel security check 명령으로 동일한 점검을 돌릴 수 있습니다.
대시보드가 자동으로 잡아주는 항목들
Security Dashboard는 아래 같은 흔한 설정 오류를 자동으로 플래그합니다.
- 2FA 미적용 팀 멤버: 팀 계정 보안의 기본 중 기본이죠.
- 장기 자격증명(Long-lived credentials): OIDC로 대체 가능한 것들.
- 공개 프리뷰 배포(Public preview deployments): 의도치 않게 외부에 노출되는 경우.
- 민감하지 않거나 오래된 환경변수: 더 이상 안 쓰는데 남아있는 값들.
발견된 항목은 위험도 순으로 정렬되고, 각 항목은 해당 설정을 바로 고칠 수 있는 링크로 연결됩니다. 팀 입장에서 "노이즈"인 항목은 뮤트(mute) 처리할 수 있고, 전체 결과는 CSV로 내보내서 트리아지나 리포트에 쓸 수 있어요.
UI에서의 사용 흐름
- 대시보드에 접속하면 계정 전체의 보안 상태가 한눈에 보입니다.
- 위험도 높은 항목부터 순서대로 확인합니다.
- 각 항목의 링크를 따라가 설정을 수정합니다.
- 필요 없는 알림은 뮤트, 리포트는 CSV로 추출합니다.
이 흐름만으로도 "보안 점검은 분기마다 한 번" 하던 팀이 "상시 모니터링" 체계로 넘어갈 수 있습니다.
CLI와 AI 에이전트: 보안 점검을 자동화하다
터미널에서도 동일한 점검이 가능합니다.
# 전체 계정 보안 점검 실행
vercel security check
# 특정 프로젝트로 범위를 좁혀서 점검
vercel security check --project my-app
# 에이전트가 읽을 수 있는 형태로 결과 확인
vercel security check --findings
여기서 진짜 재미있는 부분은 AI 에이전트가 이 결과를 읽고 직접 수정까지 한다는 점입니다. vercel security check --findings로 실패한 항목을 읽고, 아래 같은 조치를 자동으로 적용한 뒤 다시 점검해서 확인할 수 있어요.
- Git 포크 보호(fork protection) 켜기
- 환경변수를 민감(sensitive)으로 표시하기
- 정적 자격증명을 OIDC 연동으로 교체하기
CI 같은 비대화형 환경에서는 결과가 자동으로 JSON 형태로 stdout에 출력됩니다. 별도 플래그 없이도 에이전트가 구조화된 출력을 바로 받아 처리할 수 있다는 뜻이죠.
장단점 비교
| 항목 | Security Dashboard UI | CLI (vercel security check) |
|---|---|---|
| 접근성 | 웹에서 즉시 확인 | 터미널/CI/에이전트 |
| 자동 수정 | 수동 링크 이동 | 에이전트가 자동 적용 가능 |
| 출력 형태 | 화면 + CSV | JSON (비대화형 시 자동) |
| 범위 지정 | 계정 전체 | --project로 프로젝트 단위 |
| 적합한 상황 | 정기 리뷰, 리포트 | 자동화 파이프라인, 에이전트 워크플로우 |
주의사항
- 자동 수정은 편리하지만, 에이전트가 적용한 변경은 반드시 사람이 최종 검토하는 게 안전합니다. 특히 OIDC 교체는 배포 파이프라인에 영향을 줄 수 있어요.
- 뮤트 기능은 편하지만, 남용하면 진짜 위험한 항목까지 가려질 수 있습니다. 뮤트 사유를 남기는 습관을 권장합니다.
- CSV/JSON 내보내기에는 계정 구조가 드러날 수 있으니, 공유 범위를 신경 쓰세요.
실무 적용 조언 및 마무리
한국 개발 생태계, 특히 SI나 에이전시 환경에서는 프로젝트가 여러 클라이언트 단위로 흩어져 있어 보안 설정이 제각각이 되기 쉽습니다. Security Dashboard를 프로젝트 온보딩 체크리스트에 넣어두면, 새 프로젝트를 만들 때마다 vercel security check를 돌리는 걸 팀 규칙으로 삼을 수 있어요. CI 파이프라인에 넣어두면 배포 전 자동 게이트로도 쓸 수 있습니다.
다만 이 도구는 Vercel 생태계 안에서의 설정 점검이지, 애플리케이션 코드 취약점(SQL Injection, XSS 등)을 잡아주는 건 아니라는 점을 기억하세요. SAST/DAST 도구와는 역할이 다릅니다.
다음 단계 학습 방향으로는 OIDC 페더레이션 개념과 Vercel 환경변수 관리 전략을 함께 보는 걸 추천합니다. 자격증명을 코드에서 떼어내는 습관이 결국 가장 큰 보안 개선이니까요.