4,688개 중소기업 웹사이트 보안 헤더 실태: 49.7%가 7개 기준 모두 미충족

AI 요약

RACKCRUNCH 팀이 2026년 9월 미국 중소기업 디렉터리(Curlie)에 등록된 7,040개 웹사이트를 대상으로 보안 헤더 적용 실태를 조사했다. HTTPS 응답을 반환한 5,642개 중 HTTP-200 응답을 보낸 4,688개 도메인을 분석한 결과, 49.7%가 7개 보안 헤더 기준을 모두 충족하지 못했다. Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy 등은 상황에 따라 유예되지만 전반적 채택률은 예상보다 매우 낮았다.

핵심 포인트

• 2026-09-24 기준 7,040개 디렉터리 등록 사이트 스캔, 4,688개 도메인을 최종 분석 대상으로 확정
• 49.7%가 7개 보안 헤더 기준 모두 미충족
• Referrer-Policy는 브라우저 기본값이 안전하므로 실패로 간주하지 않음
• Permissions-Policy는 실험적·브라우저 지원 불균일, COOP는 팝업·교차 출처 창 사용 사이트에 중요

향후 전망

• 중소기업 대상 보안 헤더 자동 적용 도구·서비스 수요 증가 예상
• 브라우저 정책 변화에 따라 헤더 중요도 재평가 필요