바이브코딩으로 만든 MVP, 출시 전에 개발자에게 맡겨야 할 것

바이브코딩 MVP, 어디까지는 혼자 해도 되나요?

화면, 문구, 화면 사이 흐름, 랜딩, 지인에게 보여 줄 데모까지는 혼자 해도 돼요. 이 단계의 목적은 "이 흐름을 사람들이 쓰나"를 보는 거예요.

막히는 곳은 보이지 않는 쪽이에요. 비개발자인 한 시민기자는 오마이뉴스 칼럼에서 AI로 만든 화면은 쉽지만, 서버·DB·보안·트래픽을 다루는 뒤쪽이 어렵다고 썼어요. 보도 직접 앱을 만들다 보안과 트래픽 처리가 허술해 보여 프로젝트를 멈췄다고도 했어요.

왜 출시 전에 따로 점검해야 하나요?

AI가 쓴 코드는 작동은 해도 안전하지 않은 경우가 많아요.

• 베라코드는 100개가 넘는 LLM에 80개 코딩 과제를 줬고, 45%의 결과에서 OWASP Top 10 보안 결함이 나왔다고 발표했어요(2025.07.30). 공고 확인 크로스사이트 스크립팅(XSS) 방어는 86%가 실패했어요. 공고 확인
• 러버블로 만든 사이트들의 DB 행 단위 보안(RLS) 정책이 부족해, 로그인하지 않은 사람이 임의 테이블을 읽고 쓸 수 있었다는 취약점(CVE-2025-48757)이 등록됐어요. CVSS 9.3이에요. 공고 확인 러버블은 데이터 보호는 각 고객 책임이라며 이의를 제기했어요. 공고 확인

두 번째 사례의 마지막 문장이 핵심이에요. 도구 회사가 아니라 서비스를 연 대표님 책임으로 남는다는 뜻이에요.

출시 전에 개발자에게 맡길 7가지는?

• 1. DB 행 단위 보안(RLS): 수파베이스의 공개 키(publishable·anon)는 브라우저와 앱에 넣어도 되는 키예요. 대신 이 키로는 RLS가 허용한 데이터까지만 읽을 수 있어요. 공고 확인 RLS가 꺼진 테이블은 사실상 공개예요. 고객사별로 나누는 구조는 B2B SaaS MVP 비용에 있어요.
• 2. 비밀 키 위치: 수파베이스 secret·service_role 키는 RLS를 우회해서, 브라우저·배포한 앱·저장소에 절대 두면 안 돼요. 공고 확인 토스페이먼츠 시크릿 키도 클라이언트와 깃허브에 노출하면 안 돼요. 공고 확인
• 3. 결제 금액 검증: 결제 요청 전에 주문번호와 금액을 서버에 저장하고, 승인 전에 돌아온 금액과 같은지 비교해야 해요. 다르면 결제를 취소하라고 안내해요. 공고 확인 화면에서만 금액을 정하면 조작될 수 있어요.
• 4. 관리자 권한: 관리자 화면을 숨기는 것만으로는 부족해요. 서버에서 관리자인지 다시 확인하는지 봐요.
• 5. 입력값 검증: 이름·게시글 칸에 스크립트를 넣어 봐요. 위 연구에서 XSS 방어 실패율이 86%였어요.
• 6. 배포·백업: 다른 사람이 처음부터 다시 배포할 수 있는지, 개발용과 운영용 DB가 나뉘었는지, 백업에서 복구해 봤는지 확인해요.
• 7. 계정 명의: AI 툴, 수파베이스, 버셀, 도메인 계정이 개인 이메일 여러 개에 흩어져 있지 않은지 봐요. 대표님 명의로 모아 두세요.

앱이라면 스토어 심사 항목이 더해져요. 앱스토어 심사 거절 TOP 7을 함께 보세요. 웹으로 만든 걸 앱으로 감싸려면 웹뷰 앱 비용과 심사 대응을 먼저 보세요.

살릴까, 새로 만들까? 무엇으로 판단하나요?

살릴 신호

• 코드가 깃 저장소에 있고, 다른 사람이 배포를 다시 할 수 있어요.
• 로그인이 수파베이스 Auth처럼 공식 SDK로 되어 있어요.
• 데이터 하나(예: 예약)가 테이블 한 곳에만 저장되고, 이름이 일관돼요.

새로 만들 신호

• 같은 데이터를 화면마다 다른 테이블에 저장해요.
• 키가 코드 곳곳에 직접 적혀 있어요.
• 결제 확정을 화면(클라이언트)에서만 해요.
• 어떻게 배포됐는지 아무도 몰라요.

새로 만들더라도 바이브코딩 결과물은 버리는 게 아니에요. 이미 검증한 화면 흐름이 그대로 범위서가 돼요. 남이 만든 코드를 넘겨받을 때 보는 항목은 개발사 바꾸기에 더 자세히 있어요. 버블 같은 노코드는 코드를 내보낼 수 없어서 판단 기준이 달라요(노코드 vs 외주).

점검만 맡기면 시장에선 얼마인가요?

크몽의 "바이브코딩 웹앱 출시 전 점검" 상품을 예로 보면 이래요. 보도 시장 자료

• 14.9만원(3일, 수정 1건), 49만원(7일, 3건), 99만원(14일, 10건)
• 웹 57개 항목: 배포·접근 10, 인증·권한 9, 키·비밀값 6, 데이터·백업 6, 결제 6, 정책·고지 7, 품질·운영 8, 인수인계 5. 앱 옵션은 10개 추가
• 기준은 저장소 1개·서비스 1개·배포 환경 1개이고, 결제사 계정 설정과 법률 검토는 빠져요.

점검은 "무엇이 문제인지"를 알려 줘요. 문제 수가 많으면 수정 건수가 금방 넘어가니, 결과표를 받은 뒤 새로 만드는 견적과 비교하세요.

모두의 MVP에 맡기면 범위서는 어떻게 생기나요?

기존 코드가 있다고 가격을 깎지는 않아요. 대신 범위를 줄여요. 바이브코딩으로 만든 예약 웹을 출시 가능한 상태로 만드는 웹 MVP 범위서 예시예요.

포함 5줄

1. 검증한 화면 흐름 재사용, DB 권한(RLS)과 키 위치 정리
2. 이메일·카카오 로그인
3. 토스페이먼츠 결제, 서버 금액 검증과 결과 알림(웹훅)
4. 관리자 페이지(예약·결제 조회)
5. 대표님 명의 도메인·서버로 배포·모니터링

미포함 3줄

1. 두 번째 핵심 기능
2. 앱스토어 출시
3. 디자인 리뉴얼

이 범위가 웹 MVP 290만원 · 3주예요. 예산이 290만원 미만이면 범위서 예시와 가격표만 보내 드려요.

---

모두의 MVP는 튜브링고·무비집을 직접 출시하고 운영하는 5년차 풀스택 개발자가 재하청 없이 만들어요. 바이브코딩으로 검증한 흐름을 범위서 1장으로 옮기고, 권한·키·결제·배포를 출시 가능한 상태로 정리해요. 아이디어 한 줄만 보내 주세요.

출처 (2026-10-13 확인)

• 오마이뉴스, 당신이 바이브코딩으로 만든 앱, 출시 즉시 '폭파' 될 가능성이 높습니다(2026.04.11) — ohmynews.com
• Veracode, AI-Generated Code Poses Major Security Risks in Nearly Half of All Development Tasks(2025.07.30) — veracode.com
• CVE-2025-48757(Lovable RLS, 2025.05.30 공개) — cvemon.intruder.io
• Supabase Docs, API keys — supabase.com
• 토스페이먼츠 개발자센터, 결제위젯 연동(금액 검증·시크릿 키) — docs.tosspayments.com
• 크몽, 바이브코딩 웹앱 출시 전 점검하고 수정합니다(시장 자료) — kmong.com