Firebase 보안 규칙 점검 체크리스트 — 내 앱 데이터가 열려 있는지 확인하는 법

가장 위험한 규칙 3가지

// 1. 전부 허용
allow read, write: if true;

// 2. 로그인만 하면 누구 데이터든 허용
allow read, write: if request.auth != null;

// 3. 테스트 모드 기한 규칙 (기한이 지나면 전부 거부 → 서비스 장애)
allow read, write: if request.time < timestamp.date(2026, 1, 1);

2번은 안전해 보이지만, 익명 로그인이 켜져 있으면 사실상 누구나 로그인할 수 있어 1번과 다르지 않습니다.

점검 체크리스트 10

1. Firestore 규칙 맨 아래에 기본 거부(match /{document=**} { allow read, write: if false; })가 있는가
2. 사용자 문서는 request.auth.uid == userId로 본인만 쓰게 되어 있는가
3. 관리자 권한을 클라이언트 필드가 아니라 Custom Claims 등 서버 쪽으로 판정하는가
4. Storage 규칙에 경로별 소유자 확인과 파일 크기·형식 제한이 있는가
5. 한 Firebase 프로젝트를 여러 앱이 같이 쓴다면 컬렉션 접두사별 규칙이 분리되어 있는가
6. 서비스 계정 키(JSON)나 서버용 API 키가 앱 코드·공개 저장소에 들어가 있지 않은가
7. App Check로 앱이 아닌 곳의 요청을 줄이고 있는가
8. Cloud Functions의 호출 권한과 입력 검증이 있는가
9. 연락처·주소 등 개인정보를 필요한 경우 암호화해 저장하는가
10. 규칙 변경이 에뮬레이터 테스트를 거쳐 배포되는가

여러 앱이 한 프로젝트를 쓰는 경우

앱몬스터도 한 Firebase 프로젝트에서 여러 서비스를 컬렉션 접두사로 나눠 운영하며, 통합 규칙 파일 하나에 앱별 규칙과 기본 거부를 함께 관리합니다. 재귀 와일드카드 기본 거부는 새로 만든 하위 컬렉션까지 막기 때문에, 기능을 추가할 때마다 규칙을 같이 갱신해야 합니다.

자주 묻는 질문