문제 신호

바이브코딩으로 「부업 사이트」를 만들 때 첫 프롬프트가 종종 이렇게 시작한다. 회원가입, 문의폼, 결제, 관리자 대시보드까지 한 번에. 화면은 빨리 나오지만, 그 순간부터 주문·환불·고객 DB·API 키·로그에 쌓인 이메일이 운영자 책임이 된다.

애드센스 부업의 본체는 상품을 직접 파는 일이 아니다. 유용한 콘텐츠로 방문을 모은 뒤, 광고 지면을 통해 수익을 받는 간접 수익화다. Google이 광고 매칭과 정산을 담당하고, 게시자는 콘텐츠·정책·트래픽 품질을 지킨다(How AdSense works).

「애드센스니까 개인정보 문제는 없다」는 착각이 두 번째 신호다. 회원가입을 없애도 광고 쿠키, IP·기기·행태정보, 해외 방문자 동의(특히 EEA·UK·스위스 CMP)는 남는다. 개인정보처리방침과 광고 동의 설정은 정적 사이트에도 필요하다(필수 콘텐츠·쿠키 고지).

오늘 세션 목표는 하나다. 정적 콘텐츠 + 애드센스 + 개인정보 미수집(가입·결제·문의폼 없음) 구조를 고르고, 보안·정책 최소 체크리스트까지 끝낸다.

30초 판정

안전하다는 말은 「돈이 안 샌다」가 아니라 금전 거래·고객 PII·인증 시스템을 운영자가 직접 안 쥐어도 된다는 뜻이다. 대신 검색 의존, 승인·계정 제한, 무효 트래픽, 세금 신고는 남는다. 월급처럼 고정 수입으로 보면 안 된다.

자격 쪽은 공식 문서가 명확하다. 정책 준수 자체 콘텐츠, 고품질·독창·관심 끄는 콘텐츠, 만 18세 이상. 「글 몇 개면 무조건 승인」 같은 보장 기준은 없다(자격 요건). (국내 민법상 성년과 혼동하지 말 것 — AdSense 약관은 18세.)

최소 루프

한 세션에 이 여섯 칸만 닫는다.

1. 주제 1개의 정적 사이트(또는 블로그) 골격만 만든다. 홈·글·소개·개인정보처리방침.
2. 기능을 뺀다. 회원가입, 로그인, 주문, 결제, 배송지, 댓글, 뉴스레터, 문의폼, 파일 업로드 — 전부 보류.
3. 비밀키를 브라우저에 넣지 않는다. AI·DB·메일·결제·관리자 토큰은 서버 Secrets만. .env가 프론트 번들에 섞이는지 확인.
4. 개인정보처리방침에 Google·서드파티 쿠키, 맞춤광고, 거부 경로(광고 설정 / aboutads.info)를 넣는다.
5. 해외 방문자가 있으면 AdSense Privacy & messaging 등으로 EEA·UK·스위스용 인증 CMP를 점검한다(동의 요건).
6. 무효 트래픽 금지 문구를 팀에 고정한다. 본인·지인 클릭 부탁, 「광고 눌러 후원」, 봇·품질 불명 유료 트래픽, 메뉴와 광고 혼동 배치 — 전부 위험(무효 트래픽).

오늘 성공 조건
- 결제·회원·문의폼 없음
- 개인정보처리방침 + 쿠키/광고 고지
- 프론트 번들에 비밀키 없음
- 무효 트래픽 금지 규칙 문서화

레이스 레시피: 개인정보가 새는 경로를 먼저 막기

바이브코딩의 장점은 속도다. 위험은 작동하는 코드 ≠ 안전한 코드다. OWASP Citizen Development는 AI·로우코드에서 미인증 공개 API, 민감 데이터 익명 접근, 공개 로그·저장소, 노출된 키, 불안한 기본설정, 약한 비밀번호·업로드 악용을 경고한다. AI는 요청한 기능을 빨리 붙이지만, 요청하지 않은 보안을 자동 완성한다고 보장하지 않는다.

AI 채팅창에 실제 개인정보를 붙이는 경우

오류를 고치려 고객 이름·이메일·전화·주문·DB 덤프·서버 로그·토큰·비밀번호·결제 데이터를 통째로 넣으면, 도구·모델 제공자 정책과 무관하게 불필요하게 밖으로 나간다.

안전한 요청:

실제 PII 금지. user_001 / test@example.com / 가상 주문만.
로그는 IP·토큰·이메일 마스킹.
DB 전체가 아니라 테이블 스키마 + 재현 단계만.
Privacy Mode(또는 동등 설정) 확인 후 작업.

Cursor는 Privacy Mode에 따라 학습·보관이 달라질 수 있고, 남용 탐지 시 보관 예외가 있다(Data Use). 「유명 도구 = 무조건 비공개」로 가정하지 말고, 학습 여부·보관·제3자·인덱싱·삭제·ZDR을 직접 확인한다.

API 키를 프론트엔드에 넣는 경우

브라우저 JS에 AI·DB 관리·메일·클라우드·결제·관리자 키가 들어가면 방문자가 본다. .env라도 NEXT_PUBLIC_ / VITE_ 등으로 번들에 실리면 공개다.

원칙: 비밀은 서버만. 호스팅 Secrets. 공개 저장소에 .env 금지. GitHub Secret Scanning 켜기. 한 번이라도 노출되면 삭제만이 아니라 폐기·재발급.

참고: 페이지에 보이는 애드센스 게시자 ID(pub-…)와 광고 스크립트는 공개 작동을 전제로 한다. DB 관리자 키·결제 비밀키와 같은 등급으로 취급할 필요는 없다(Publisher ID).

DB 권한(특히 Supabase류) 오류

RLS를 켰다고 끝이 아니다. 모든 행 공개, 비로그인 수정, service_role이 브라우저에 포함, A가 B 데이터 조회, 테스트용 공개 정책을 그대로 배포 — 전형적 사고다. Lovable 등도 과도 RLS·미인증 API·비밀노출·인젝션·로그 노출을 점검 대상으로 적지만, 스캔이 최종 보안 검토를 대체하지 않으며 민감정보 앱의 책임은 운영자라고 명시한다(Security overview).

애드센스형 정적 사이트라면 아예 DB·인증을 안 두는 선택이 가장 짧다.

로그·분석도구

가입 폼이 없어도 IP, 접속 시간, 브라우저·기기, 방문 페이지, 광고 식별자, 리퍼러, 대략 위치가 남을 수 있다. 한국 PIPA 맥락에서도 쿠키·IP 등은 다른 정보와 결합해 개인을 식별하면 개인정보로 볼 수 있다. 방침에 수집·목적·보관·거부 방법을 적고, 분석·광고는 필요할 때만 켠다.

AI에게 붙일 제약 프롬프트 (복붙)

목표: 정적 콘텐츠 사이트. 애드센스만. 수익화는 광고 간접형.
금지 기능: 회원가입, 로그인, 결제, 문의폼, 댓글, 업로드, 뉴스레터.
비밀키: 서버 Secrets만. 프론트·채팅에 실제 키/PII 금지.
필수 페이지: 개인정보처리방침(Google 쿠키·맞춤광고·거부 링크 포함).
검증: 빌드 산출물에서 sk_/service_role/비밀 패턴 grep.
무효 트래픽: 클릭 유도 문구·혼동 배치 금지.

직접 판매·제휴·구독·교육 상품은 Google이 말하는 블로그 수익 축의 다른 갈래다. 같은 사이트에 섞을 수는 있어도(다른 네트워크·제휴), 오늘 세션에서는 광고 간접형만 고수한다. 섞는 순간 결제·약관·세금·개인정보 범위가 다시 커진다.

머지 전 검수

• [ ] 홈·글에 독창 콘텐츠가 있고 빈 템플릿 목록이 없는가
• [ ] 회원·결제·문의·업로드가 코드/내비에 없는가
• [ ] 개인정보처리방침에 쿠키·맞춤광고·거부 방법이 있는가
• [ ] EEA 등 대상이면 CMP/동의 메시지가 준비됐는가
• [ ] 프론트 번들·공개 repo에 비밀키가 없는가
• [ ] (DB 쓴다면) RLS·역할 정책을 실제 역할로 검증했는가
• [ ] 광고 클릭 유도·혼동 배치·품질 불명 트래픽이 없는가
• [ ] 수익이 반복되면 세무 확인 일정을 적어 두었는가(단정 금지)

깨지는 지점

FAQ

애드센스면 세금이 없나요? 없습니다. 계속·반복되는 광고 수입은 소득 신고 검토 대상입니다. 사업자등록·업종 코드는 규모·병행 소득에 따라 달라지므로 본격화되면 국세청 또는 세무 전문가에게 확인하세요.

문의폼 없이 애드센스 승인이 되나요? 문의폼이 필수는 아닙니다. 중요한 것은 정책 준수 콘텐츠와 개인정보·쿠키 고지입니다. 「연락처 페이지」를 두더라도 서버에 저장하는 폼보다 이메일 링크가 공격면이 작습니다.

제휴·디지털 상품을 같이 팔면 안 되나요? 정책상 다른 수익화와 병행은 가능하지만, 결제·고객정보가 생기는 순간 보안·약관·세금 범위가 커집니다. 첫 세션은 광고 간접형만 권합니다.

만 19세여야 하나요? AdSense 약관상 신청자는 만 18세 이상입니다. 미성년은 보호자 계정으로 신청·정산되는 구조입니다. 국내 다른 제도와 혼동하지 마세요.

정적 사이트면 해킹이 불가능한가요? 공격면은 줄지만 호스팅·배포 계정·도메인·서드파티 스크립트(광고·분석) 위험은 남습니다. HTTPS·권한 최소화·비밀키 분리는 그대로 필요합니다.

다음에

• 오늘: 기능 삭제 목록 → 방침 페이지 → 비밀키 grep → 무효 트래픽 규칙.
• 속도·심사 전 PSI 체크는 /vibe-coding/google-adsense-pagespeed-insights-checklist.
• 배포 스모크는 /vibe-coding/deployment-smoke-ai-coding-loop.
• 용어 보강: /vibe-dictionary.
• 공식: How AdSense works · 자격 요건 · 무효 트래픽 · 쿠키 고지.