중급약 17.5시간 (예상)

비기능 테스트 종합

성능(부하 유형·k6·JMeter·Core Web Vitals), 보안(OWASP Top 10·SQL Injection·SAST/DAST/SCA·ZAP/Burp·SQLmap·XSS/CSRF/세션), 접근성(WCAG), 사용성, 시각적 회귀와 호환성까지 비기능 전 영역을 다룬다.

학습 목표

이 모듈 한 줄 요약 — "되는 것과 쓸 만한 것은 다른 질문이다". 기능이 다 동작해도 느리면 못 쓰고, 뚫리면 못 쓰고, 어떤 사람에게는 아예 못 쓰는 것이 된다. "맞는가" 말고 "충분히 빠른가·안전한가·누구나 쓸 수 있는가" 를 다룬다. 이쪽은 합격선을 숫자로 먼저 정해야 시험이 성립한다.

이 모듈을 마치면 "기능이 맞다"는 것과 "충분히 빠르고, 안전하고, 누구나 쓸 수 있다"는 것이 별개의 질문이라는 것을 이해한다. k6와 JMeter로 부하 테스트를 만들고 결과를 해석하며, Core Web Vitals로 프런트엔드 성능을 사용자 경험 관점에서 측정할 수 있다. OWASP Top 10을 이해하고 SQL Injection을 직접 확인·리포트하는 법을 익히며, SAST·DAST·SCA로 보안 테스트의 기초를 다지고, WCAG 기준으로 접근성을 검증하며, 시각적 회귀·호환성 테스트로 화면이 의도대로 모든 환경에서 보이는지 확인하는 법을 익힌다. 나아가 XSS·CSRF·세션 관리처럼 전문 도구 없이 QA가 직접 확인할 수 있는 취약점을 손으로 재현하는 법까지 다룬다.

완료 후 할 수 있는 것

기능 테스트와 비기능 테스트의 차이를 설명할 수 있다
부하·스트레스·스파이크·내구성 테스트의 목적 차이를 구분할 수 있다
k6로 부하 테스트를 만들고 결과 지표를 해석할 수 있다
JMeter의 핵심 구성요소를 이해하고 k6와 상황에 맞게 골라 쓸 수 있다
Core Web Vitals 세 지표가 각각 무엇을 측정하는지 설명할 수 있다
OWASP Top 10의 주요 취약점 유형을 설명할 수 있다
SQL Injection을 안전한 환경에서 직접 확인하고 심각도에 맞게 리포트할 수 있다
OWASP ZAP·Burp Suite로 DAST 자동 스캔을 실행하고, 그 결과를 검증 없이 믿지 않을 수 있다
SQLmap이 수동 SQL Injection 확인을 어떻게 자동화·확장하는지, 도구가 대신 못 하는 판단이 무엇인지 설명할 수 있다
사용성을 측정 가능한 지표로 바꾸고, 알파·베타 테스트를 상황에 맞게 판단할 수 있다
SAST·DAST·SCA가 각각 무엇을 검사하는 도구인지 구분할 수 있다
WCAG 기준으로 웹 접근성을 점검할 수 있다
시각적 회귀 테스트와 호환성 테스트의 목적과 한계를 설명할 수 있다
XSS(저장형·반사형·DOM)와 CSRF를 안전한 방식으로 직접 확인하고, 세션 관리·토큰 노출을 점검할 수 있다

채용시장에서의 위치

비기능 테스트는 "기능이 되니까 끝"이라고 여기는 QA와, "이게 실제로 서비스로서 성립하는가"까지 보는 QA를 가르는 지점이다. 성능·보안·접근성 각각은 별도 전문가(성능 엔지니어, 보안 엔지니어, 접근성 전문가)가 있을 만큼 깊은 영역이지만, QA가 이 영역의 기초 언어를 알고 있으면 전문가와 협업할 때도, 전문 인력이 없는 조직에서 최소한의 안전망을 직접 갖출 때도 결정적인 차이를 만든다. 이 모듈은 각 영역을 깊게 파기보다, "이 관점에서 무엇을 놓치고 있는지 알아채는 눈"을 기르는 데 초점을 맞춘다.

보안 영역에서 특히 그렇다. QA의 목표는 취약점을 전부 찾는 것이 아니라 명백한 것을 놓치지 않는 것 이고, 그 결과로 "우리 서비스에 전문 진단이 필요하다"는 논거를 만드는 것이다. XSS 확인은 입력란에 <b>test</b> 를 넣어보는 것으로 시작한다 — 5분짜리 점검으로 심각도 최상 결함을 잡을 수 있다면 안 할 이유가 없다.

학습 목표

완료 후 할 수 있는 것

채용시장에서의 위치

레슨 (14개)