바이브 코딩으로 만든 앱이 사용자 500명에서 무너지는 6가지 이유

실용적 조언

Supabase 사용 시 기본 SMTP 대신 Resend나 Postmark를 연동하여 이메일 도달률을 높이세요.
Stripe 연동 시 반드시 constructEvent를 사용하여 웹훅 서명을 검증하세요.
OpenAI API 사용 시 Upstash 등을 이용해 사용자별 요청 횟수를 제한하세요.

섹션별 상세

이메일 전송 신뢰도 문제가 사용자 유지율을 저해한다. Supabase Auth의 기본 SMTP를 사용하면 인증 메일이 스팸함으로 누락되어 실제 가입 완료율이 급감하는 현상이 발생했다. 이를 해결하기 위해 Resend나 Postmark 같은 전용 서비스를 연동하고 SPF, DKIM, DMARC 레코드를 설정하여 도메인 신뢰도를 확보해야 한다.

부적절한 RLS 설정으로 인한 데이터 노출 위험이 심각하다. AI가 생성한 기본 정책은 모든 사용자에게 접근을 허용하는 경우가 많아, URL만 알면 전체 데이터베이스를 조회할 수 있는 취약점이 89%의 앱에서 발견됐다. 각 테이블의 정책이 auth.uid()와 소유자 컬럼을 정확히 대조하는지 수동으로 전수 조사해야 한다.

sql

SELECT tablename, policyname, qual FROM pg_policies WHERE schemaname = 'public';

데이터베이스 내 모든 테이블의 RLS 정책을 조회하여 보안 취약점을 점검하는 쿼리

결제 시스템의 웹훅 서명 검증 누락이 빈번하다. Stripe 결제 연동 시 AI 에이전트가 서명 검증 단계를 생략하는 경우가 많아, 가짜 POST 요청만으로 유료 플랜 승격이 가능한 보안 허점이 존재한다. stripe.webhooks.constructEvent 함수를 사용하여 서버 측에서 반드시 서명을 검증하고 비밀 키를 안전하게 관리해야 한다.

javascript

stripe.webhooks.constructEvent(rawBody, signature, webhookSecret)

Stripe 웹훅 요청의 유효성을 서명 기반으로 검증하는 함수 호출 예시

AI API 호출에 대한 속도 제한 미비로 비용 폭탄 위험이 크다. 프론트엔드 버튼이 OpenAI API와 직접 연결된 경우 봇이나 악의적 사용자의 반복 호출에 무방비로 노출되어 단 몇 시간 만에 수백 달러의 비용이 발생할 수 있다. Upstash Redis 등을 활용해 에지 단계에서 요청 횟수를 제한하고 API 대시보드에서 하드 캡을 설정하는 것이 필수적이다.

용어 해설

행 레벨 보안(RLS): — 데이터베이스 테이블에서 개별 행에 대한 접근 권한을 세밀하게 제어하는 보안 메커니즘이다. 사용자의 ID나 역할에 따라 특정 데이터만 조회하거나 수정할 수 있도록 제한하여 데이터 유출을 방지하는 핵심적인 역할을 한다.
간이 우편 전송 프로토콜(SMTP): — 인터넷을 통해 이메일을 전송할 때 사용하는 표준 통신 규약이다. 서비스 초기 설정 시 기본 SMTP를 사용하면 스팸 분류 가능성이 높으므로, 도메인 인증(SPF, DKIM)이 포함된 전용 SMTP 서비스 설정이 필수적이다.
웹훅(Webhook): — 특정 이벤트가 발생했을 때 서버가 다른 서버로 실시간 알림을 보내는 역방향 API 방식이다. 결제 완료 등의 상태 변경을 처리할 때 사용되며, 보안을 위해 반드시 서명 검증 과정을 거쳐야 위조 요청을 막을 수 있다.
속도 제한(Rate Limiting): — 특정 시간 동안 사용자가 보낼 수 있는 요청의 횟수를 제한하는 기술이다. 특히 유료 AI API를 사용하는 서비스에서 무분별한 호출로 인한 비용 폭탄이나 서비스 마비를 방지하기 위해 필수적으로 구현해야 한다.

언급된 도구

Supabase추천

백엔드 서비스 및 데이터베이스 관리

Stripe추천

결제 처리 및 구독 관리

Upstash추천

에지 레벨 속도 제한(Rate Limiting)을 위한 Redis 서비스

언급된 리소스

문서mail-tester.com