테마는 사이트 보안에 직접적인 영향을 미칩니다. 처음으로 워드프레스(WordPress) 사이트를 만들었을 때를 기억합니다. 당시에는 손에 닿는 무료 테마라면 뭐든 설치해 보고, 디자인하고 다시 디자인하는 재미에 빠져 있었죠. 그때는 테마 하나의 선택이 사이트 보안까지 좌우한다는 사실은 꿈에도 몰랐습니다.
첫 번째 사이트를 만든 지 오랜 시간이 흘렀고, 그동안 여러 개의 웹사이트를 더 구축했습니다. 해킹당하기도 했지만, 공격 목표가 되었음에도 무사히 넘어간 경우도 있었습니다. 그 과정에서 중요한 교훈 하나를 얻었습니다. 워드프레스 자체는 안전한 플랫폼이지만, 그 생태계 때문에 워드프레스 사이트가 취약해질 수 있다는 것입니다. 실제로 해킹당한 사이트 대부분은 오래된 테마와 플러그인을 사용하고 있는 것으로 밝혀졌습니다. 한 예로 Templatic 테마가 해킹당했을 때, 해당 테마를 사용하던 사이트들의 핵심 정보가 해커에게 유출되었고, 일부 사이트 운영자는 아예 몸값을 요구받기까지 했습니다.
많은 워드프레스 사이트 운영자들이 사이트를 업데이트하지 않습니다. 테마에서 취약점이 발견되면 개발자는 이를 수정한 패치 업데이트를 배포합니다. 하지만 테마를 업데이트하지 않으면 그 취약점은 그대로 남아 있습니다. 해커들은 항상 오래되고 취약한 테마를 사용하는 사이트를 찾고 다닙니다. 따라서 테마가 사이트 보안에 영향을 미치는 만큼, 테마를 최신 상태로 유지하는 것은 워드프레스 사이트의 안전을 위해 필수적입니다. 테마 설치 후 반드시 챙겨야 할 예방 조치인 셈입니다. 하지만 설치 전에도 마찬가지로 주의가 필요합니다. 테마를 선택할 때 확인해야 할 핵심 항목들을 정리했습니다.
테마가 손쉽게 업데이트되는가?
업데이트는 불가피할 뿐 아니라 필수입니다. 아무리 코드가 잘 짜여진 테마라도 시간이 지나면 결국 취약점이 발생합니다. 그럴 때마다 개발자는 빠르게 업데이트 형태로 패치를 내놓습니다. 보통 워드프레스 관리자 화면에 접속하면 왼쪽 메뉴에 오래된 플러그인과 테마에 대한 알림이 표시됩니다. 설치된 플러그인 페이지로 이동해 테마나 플러그인을 업데이트하면 끝입니다. 간단하죠?
그런데 일부 테마는 이렇게 간편한 업데이트 방식을 제공하지 않습니다. 업데이트 소식이 개발사의 블로그나 소셜 미디어에만 공지되고, 직접 테마 파일을 내려받아 수동으로 업로드해야 하는 경우입니다. 이런 방식은 단순히 시간이 많이 걸릴 뿐만 아니라 위험하기까지 합니다. 중요한 업데이트를 놓친다면 어떻게 될까요? 새 업데이트 소식을 알게 되기 전에, 해커는 이미 테마의 취약점을 이용해 사이트에 침입했을 수 있습니다.
테마가 지속적으로 유지보수되고 있는가?
매년 수많은 테마가 개발자의 손을 떠납니다. 더 이상 유지보수되지 않는다는 것은 테마의 문제점이 해결될 일이 없다는 뜻입니다. 지원팀에 도움을 요청할 수도 없고, 새로운 업데이트를 기대할 수도 없습니다. 플러그인과 테마는 언젠가 반드시 취약점이 생기는데, 그때 패치조차 나오지 않는다면 큰일 납니다. 선택지는 두 가지뿐입니다. 취약한 테마를 계속 쓰면서 해킹 위험을 감수하거나, 다른 테마로 갈아타느라 사이트를 처음부터 다시 디자인하는 데 상당한 시간과 노력을 들이거나요. 테마가 사이트 보안에 얼마나 큰 영향을 주는지 보여주는 대표적인 사례입니다.
방치된 워드프레스 테마의 예: DeTube
테마는 왜 방치될까?
테마와 플러그인은 부업 프로젝트로 개발되는 경우가 많고, 이런 프로젝트는 대개 수명이 다하면 끝나곤 합니다. 또는 개발자가 무료 테마를 만들었더라도, 본업이 바쁘다면 유지보수할 시간이 없을 수 있습니다. 테마가 좋고 인기가 있어도 그 시간과 노력에 대한 보수를 받지 못하면 어느 순간 동기를 잃고 포기하게 됩니다. 생계를 책임지는 본직에 집중해야 하니, 자신의 작품을 돌볼 여유가 없는 것이죠.
테마가 유지보수 중인지 확인하는 가장 쉬운 방법은 워드프레스 공식 저장소(repository)를 검색하는 것입니다. 테마가 마지막으로 업데이트된 시기를 확인하세요. 1년 넘게 업데이트되지 않은 테마는 피하는 것이 좋습니다. 이미 방치되었을 가능성이 높기 때문입니다. 모든 테마가 저장소에 등록되어 있는 것은 아니므로, 그런 경우에는 해당 테마가 논의되는 포럼이나 커뮤니티를 찾아보세요. 간단한 구글 검색만으로도 관련 그룹을 찾을 수 있습니다. 찾기 어렵다면 일반 워드프레스 커뮤니티나 포럼에서 문의해 보는 것도 좋습니다. 워드프레스는 훌륭한 커뮤니티 문화를 갖추고 있어, 질문과 토론을 시작하기에 늘 환영받는 곳입니다. 사이트에 적용할 테마를 고르기 전에 충분히 조사하세요.
신뢰할 수 있는 출처에서 다운로드하는가?
요즘 불법 복제가 매우 만연합니다. 누구나 한 번쯤 프리미엄 소프트웨어를 헐값에, 심지어 무료로 제공한다며 홍보하는 수상한 웹사이트를 접해본 적이 있을 겁니다. 이런 곳에서 테마를 받기 전에 잠시 멈춰 생각해 보세요. 이 사이트는 왜 크랙(nulled)된 워드프레스 테마를 무료로 풀고 있는 걸까요? 그 테마가 악성 코드에 오염되지 않았다고 어떻게 확신할 수 있을까요? 해커들이 크랙 테마에 악성 코드를 심는다는 것은 잘 알려져 있습니다. 사이트 운영자가 이런 테마를 설치하는 순간, 해커는 사이트에 대한 접근권을 손에 넣게 됩니다.
설령 테마가 오염되지 않았더라도, 불법 다운로드 파일이라면 개발사로부터 정식 업데이트를 받을 수 없습니다. 취약점은 언젠가 발생하고, 그때가 되면 사이트는 무방비 상태로 노출됩니다.
테마가 지나치게 복잡하지 않은가?
화려한 기능이 가득한 테마는 매력적으로 보이지만, 그 이면에서 어떤 코딩이 이루어졌는지는 아무도 알 수 없습니다. 수십만 개의 테마와 플러그인이 경쟁하는 시장에서 두각을 나타내려면 차별화된 기능이 필요하죠. 그래서 개발자들은 마케팅에 활용할 기능을 점점 더 많이 담으려 합니다. 새 기능을 최대한 빨리 선보이기 위해 단시간에 수천 줄의 코드를 작성하다 보면, 필수적인 품질 검증이 뒷전으로 밀려나기 일쑤입니다. 놀라운 기능이 가득한 테마에 설레는 건 당연하지만, 그런 취약한 테마는 해킹당하기 쉽기 때문에 피하는 편이 현명합니다. 테마 선택이 곧 사이트 보안입니다. 신중하게 고르세요.
신뢰할 만한 개발자가 만든 테마인가?
평판이 검증된 회사나 개인이 만든 테마를 사용하면 여러 가지 장점이 있습니다. 첫째, 출시 전에 철저한 품질 관리를 거쳤다는 보장이 있다는 점입니다. 둘째, 부업으로 만들다 버려지는 무료 테마들과 달리 테마가 방치되지 않을 것이라는 확신을 얻을 수 있다는 점입니다.
여기까지 테마가 워드프레스 사이트 보안에 미치는 영향을 살펴봤습니다. 좋은 테마를 고르는 방법을 알려드리는 것이 이 글의 목표 중 하나이므로, 구매 전 다음 사항들도 반드시 확인하시길 권합니다.
서드파티 프레임워크에 의존하는 테마인가?
오늘날 많은 테마가 슬라이더, 페이지 빌더, 이미지 압축 같은 기능을 제공합니다. 하지만 테마 개발자가 이런 기능을 직접 만드는 게 아니라, 서드파티 플러그인과 제휴해 테마에 기능을 붙이는 경우가 많습니다. 이런 의존성은 생각보다 골치 아픈 문제가 될 수 있습니다. 실제로 특정 플러그인과만 호환되는 인기 테마를 본 적이 있습니다. 예를 들어 X 테마를 쓰면 Y 슬라이더만 동작하고, 다른 슬라이더 플러그인은 아예 작동하지 않는 식입니다. 결국 X 테마와 Y 슬라이더를 둘 다 구매해야 하는 상황이 벌어지죠.
연간 플랜인가, 평생 라이선스인가?
테마든 플러그인이든 어떤 소프트웨어를 구매하기 전에, 무엇에 돈을 지불하는지 명확히 이해해야 합니다. 가격 정책 페이지를 봐도 월간, 연간, 평생 라이선스 중 무엇인지 알 수 없는 경우를 종종 봤습니다. 그런 페이지를 만나면 함부로 월간이나 연간이라고 추측하지 말고, 반드시 궁금증을 해소하세요.
온라인 포럼에서는 연간 플랜인 줄 알고 플러그인을 샀는데 알고 보니 월간 구독이었다는 사연도 종종 보입니다. 이러면 매달 예상치 못한 비용을 지불해야 하죠. 다른 선택지는 새 테마를 사거나 무료 테마로 바꾸는 것인데, 이러면 더 이상 쓰지 않을 테마에 든 돈은 물론, 해당 테마에 맞춰 사이트를 세팅하는 데 쓴 시간과 노력까지 물거품이 됩니다.
마무리하며
특히 규모가 작은 사이트라면 테마가 사이트 보안에 영향을 준다는 사실을 깊이 생각하거나 조사해 본 적이 없을 겁니다. '바다의 한 방울' 정도로 여기기 쉽죠. 하지만 요즘 해커들은 대형 사이트만큼 소형 사이트도 적극적으로 노립니다. 왜일까요? 규모가 작은 내 사이트가 왜 표적이 되는지 궁금하다면, "해커는 워드프레스 사이트를 해킹해서 무얼 얻을까?"라는 글을 참고해 보세요.
결국 핵심은 하나입니다. 큰 사이트든 작은 사이트든, 테마 선택에는 신중을 기해야 합니다. 이제 테마가 워드프레스 사이트 보안에 어떤 영향을 주는지 알았으니, 위에서 소개한 질문들을 스스로에게 던져보세요.