비밀번호
비밀번호는 절대 저장하지 않습니다. MyNout은 솔트를 더한 scrypt 해시만 보관하고, 일정 시간에 비교하며, 로그인 시도를 제한합니다. 데이터베이스가 유출돼도 재사용할 수 없고 추측은 느립니다.
실제로 이는, 데이터베이스가 복사되어도 그것이 누구의 비밀번호 사본도 아니라는 뜻입니다. 비교는 일정한 시간에 이루어져 시간차로 떠볼 수 없고, 로그인과 비밀번호 재설정은 주소별·계정별로 횟수가 제한되어 무차별 시도는 해볼 가치가 없을 만큼 느려집니다.
2단계 인증
어떤 인증 앱으로든 시간 기반 일회용 코드를 켤 수 있습니다. 각 코드는 한 번만 쓸 수 있고, 백업 코드가 휴대폰 분실을 대비하며, 2FA 비밀 키는 암호화되어 저장됩니다.
코드는 시간 단계마다 한 번만 쓸 수 있어, 어깨 너머로 흘깃 본 코드를 1초 뒤에 재사용할 수 없습니다. 비밀번호 재설정도 두 번째 단계를 건너뛰지 않습니다. 비밀번호를 바꿔도 계정은 여전히 인증 앱 뒤에 있습니다. 백업 코드는 80비트의 무작위성을 가지며 한 번만 사용되고, 안전한 곳에 보관할 수 있도록 한 번만 표시됩니다.
직접 관리하는 세션
로그인할 때마다 별도의 세션이 만들어지며, 기기와 로그인한 주소, 그리고 지금 사용 중인 주소가 표시됩니다. 계정에서 확인하고 어느 것이든 로그아웃할 수 있으며, 비밀번호를 바꾸면 다른 모든 곳에서 자동으로 로그아웃됩니다.
세션은 토큰의 해시로 저장되므로, 데이터베이스 한 줄이 유출되어도 작동하는 로그인으로 바꿀 수 없습니다. 세션은 사용하는 동안 기한이 밀려나고 30일 동안 조용하면 스스로 만료되며, 비밀번호를 바꾸면 다른 모든 세션이 즉시 로그아웃됩니다.
잠긴 노트
개별 노트를 PIN으로 보호하세요. PIN이 확인되기 전까지 본문은 앱에서도, 공유 링크에서도, 버전 기록에서도 보이지 않으므로 화면을 함께 보는 상황에서도 일기는 비공개로 남습니다.
잠금은 화면 한 곳이 아니라 데이터를 읽는 지점에서 적용됩니다. 잠긴 메모의 본문은 PIN이 확인되기 전까지 앱에도, 어떤 공유 링크에도, 버전 기록에도 전달되지 않습니다. 즉 내보내기도, 미리보기도, 스냅샷도 — 잠금이 감추려는 것을 슬쩍 보여 주는 경로는 없습니다.
원한다면 종단 간 암호화까지
설정에서 켜고 암호 문구를 정하기만 하면 됩니다. 암호화한 메모는 저장되기 전에 브라우저에서 암호화되며, 그 키는 읽을 수 있는 형태로 우리 서버에 절대 도달하지 않습니다. 우리가 저장하는 것은 우리가 열 수 없는 암호문뿐입니다.
이 보호에는 미리 밝혀 두는 조건이 있습니다. 잊어버린 암호 문구는 누구도 재설정할 수 없으므로, 안전한 곳에 보관할 복구 코드를 받게 됩니다. 둘 다 잃어버리면 암호화된 메모는 사라집니다. 암호화된 메모는 공유할 수 없고 이미지를 넣을 수 없으며, 검색은 당신의 브라우저 안에서 이루어집니다. 폴더, 태그, 날짜는 암호화되지 않아 앱이 계속 메모를 정리할 수 있습니다. 기본적으로 꺼져 있으며, 언제든지 모든 것을 다시 복호화할 수 있습니다.
당신의 조건대로 공유
공개 링크는 추측할 수 없고 읽기 전용이며, 비밀번호를 요구할 수 있고 언제든 끌 수 있습니다. 공동 작업자는 초대받은 것만 볼 수 있고, 접근은 클릭 한 번으로 취소할 수 있습니다.
공개 링크는 무작위이고 추측할 수 없는 주소로, 메모 하나만 읽기 전용으로 제공합니다. 검색 엔진에는 색인하지 말라고 알리고 원격 이미지를 막아 아무도 추적 픽셀을 심을 수 없습니다. PIN으로 잠근 메모는 공개 링크에서도 잠긴 상태를 유지합니다. 방문자가 PIN을 입력하기 전까지는 메모의 어떤 내용도 보이지 않습니다. 종단 간 암호화된 메모는 아예 공유할 수 없습니다. 협업자는 주소로 초대되어 당신이 고른 권한만 갖고, 한 번의 클릭으로 제거됩니다.
데이터는 당신의 것
언제든 모든 것을 Markdown, 일반 텍스트, PDF 또는 하나의 아카이브로 내보내고, 계정과 모든 노트를 한 번에 삭제할 수 있습니다. 광고 프로필은 없으며 노트는 절대 판매되지 않습니다.
당신이 쓴 것은 모두 당신의 것입니다. 어떤 메모든 Markdown이나 PDF로 내보내고, 모든 메모·폴더·태그를 한 번에 내려받고, 계정과 그 안의 모든 것을 한 번에 삭제할 수 있습니다. 광고 프로필도 없고, 명시적 동의 없는 제3자 분석도 없고, 떠나는 일이 들어오는 일보다 어렵게 만드는 것도 없습니다.
애플리케이션 자체
사이트는 엄격한 콘텐츠 보안 정책을 설정하고 일반적인 보호 헤더를 보내며, 운영 환경에서는 모든 것을 HSTS가 적용된 HTTPS로 제공합니다.
메모 내용은 원시 HTML로 삽입되지 않고 에디터 자신의 파서를 거쳐 렌더링되므로, 메모가 다른 사람의 브라우저에서 실행되는 스크립트를 실어 올 수 없습니다. 업로드된 이미지는 실제 파일 서명으로 검사되어 웹 루트 밖의 추측할 수 없는 이름으로 저장되며, 파일당·계정당 상한이 모두 있습니다. Google 로그인은 Google이 해당 주소가 확인되었다고 밝힐 때만 기존 계정에 연결되어, 전형적인 계정 탈취 경로를 막습니다.
보안
MyNout이 결코 하지 않는 일
- 당신의 메모, 이메일 주소, 사용 기록을 누구에게도 팔거나 빌려주지 않습니다.
- 광고 프로필을 만들거나 모델을 학습시키기 위해 당신의 메모를 읽지 않습니다.
- 당신이 동의하기 전에 분석이나 광고 스크립트를 불러오지 않습니다.
- 당신의 비밀번호를 평문으로도, 되돌릴 수 있는 어떤 형태로도 저장하지 않습니다.
- 당신의 암호화 암호 문구를 절대 묻지 않습니다 — 암호 문구는 당신의 브라우저를 떠나지 않습니다.
- 데이터를 가두지 않습니다. 언제든 열린 형식으로 전부 내보낼 수 있습니다.
보안에 대해 많이 묻는 질문
내 메모는 암호화되나요?
당신이 선택할 수 있습니다. 기본적으로 메모는 우리 데이터베이스에 저장되며, 계정과 (사용한다면) 메모 잠금, 그리고 암호화된 연결로 보호됩니다. 하지만 종단 간 암호화는 아니므로 서버가 메모를 읽을 수 있습니다. 설정에서 종단 간 암호화를 켜면, 암호화한 메모는 당신의 암호 문구로만 잠금을 해제할 수 있는 키로 브라우저에서 암호화됩니다. 우리는 읽을 수 있는 것을 아무것도 저장하지 않으며, 대신 복구해 드릴 수도 없습니다. 폴더, 태그, 날짜는 암호화되지 않으며, 암호화된 메모는 공유할 수 없습니다.
2단계 인증 기기를 잃어버리면 어떻게 되나요?
2단계 인증을 켤 때 보여 준 백업 코드 중 하나를 쓰세요. 각 코드는 한 번만 사용됩니다. 그 코드마저 없다면 계정에 등록된 이메일 주소로 연락해 주세요. 소유 확인을 거친 뒤 접근을 복구해 드립니다.
링크로 공유한 메모는 누가 볼 수 있나요?
그 정확한 링크를 가진 사람이라면 누구나 볼 수 있습니다. 그래서 링크가 길고 무작위입니다. 그것으로 충분하지 않다면 링크에 비밀번호를 설정하고, 메모가 역할을 다하면 링크를 끄세요. 모두의 접근이 즉시 멈춥니다.