Starium Global Phase 7 Sprint — 2026-05-09

요약

Phase 6 후속. 사용자 명령(임시관리자) 기반 8 후보 중 6개 자율 진행 (Inquiry 첨부파일은 우선순위 낮음 + 멀티파트 처리 부담으로 SKIP). 7 task 모두 PASS — OG PNG fallback / fetchpriority+decoding / Resource Hints / CSP+보안 헤더 / 자동 언어 detection / BreadcrumbList + E2E 검증.

E2E 결과 (모두 PASS)

항목	결과
OG image PNG fallback	12 PNG 사전 생성 (95-127KB), `/og/<slug>.png` endpoint, Cache-Control 1d
fetchpriority + decoding=async	메인 + 11 프로그램 + 33 언어별 = 56 페이지 첫 이미지에 `fetchpriority="high" decoding="async"`
Resource Hints	dns-prefetch + preconnect (fonts.googleapis.com, fonts.gstatic.com), 61 페이지 적용, 폰트 100-200ms 단축
보안 헤더	X-Content-Type-Options / X-Frame-Options / Referrer-Policy / Permissions-Policy / CSP (default-src self + script/style/img/font/connect/frame-ancestors/base-uri/form-action allowlist)
자동 언어 detection	`/auto-lang` Accept-Language 파싱 → 4 언어 모두 302 정확 분기 (ko/zh/en/mn) + 30일 cookie
BreadcrumbList JSON-LD	메인 + 11 동적 + 44 언어별 = 61 페이지, 슬러그 + 언어별 자동 생성 (Home → Programs → Page)
Inquiry 첨부파일	SKIP (멀티파트 처리 + DB 스키마 변경 부담, Phase 8 후보)
트레이딩 / 서비스	모두 active

작업

A-1 OG image PNG fallback

ImageMagick convert -density 150 -background none 으로 SVG → PNG 사전 생성
12 페이지 (메인 + 11 슬러그) × 1200×630 = 평균 110KB PNG
/starium-global/og/<slug>.png endpoint, Cache-Control: public, max-age=86400
WhatsApp / KakaoTalk / 일부 SNS는 SVG og:image 미지원 → PNG fallback으로 호환성 100%

A-2 fetchpriority + decoding=async

메인 + 11 동적 + 33 언어별 + 11 mn = 56 페이지
첫 <img> 또는 <header> 안 첫 이미지에 fetchpriority="high" decoding="async" 추가
LCP (Largest Contentful Paint) 우선순위 명시 → 200-500ms 빠른 첫 화면 렌더 가능

A-3 Resource Hints

모든 페이지 head 첫 link 위에:

<link rel="dns-prefetch" href="//fonts.googleapis.com">
<link rel="preconnect" href="https://fonts.googleapis.com" crossorigin>
<link rel="preconnect" href="https://fonts.gstatic.com" crossorigin>

폰트 다운로드 100-200ms 단축 (DNS lookup + TLS handshake 사전 처리)

A-4 보안 헤더 (CSP + 5 헤더)

setStariumSecurityHeaders 미들웨어 — /starium-global/* 경로 전체 적용
헤더:
- X-Content-Type-Options: nosniff
- X-Frame-Options: SAMEORIGIN (clickjacking 방지)
- Referrer-Policy: strict-origin-when-cross-origin (cross-origin referrer 누출 방지)
- Permissions-Policy: camera=(), microphone=(), geolocation=() (불필요 권한 차단)
- Content-Security-Policy:
  - default-src 'self' (기본 차단)
  - script-src 'self' 'unsafe-inline' https://cdn.tailwindcss.com https://cdnjs.cloudflare.com (tw CDN + Alpine fallback)
  - style-src 'self' 'unsafe-inline' https://fonts.googleapis.com https://cdn.tailwindcss.com
  - img-src 'self' data: https: (모든 이미지 + data URI)
  - font-src 'self' https://fonts.gstatic.com data:
  - connect-src 'self' https://api.telegram.org https://discord.com (alert webhook)
  - frame-ancestors 'self' (iframe 임베드 본인만)
  - base-uri 'self' (base 태그 변조 방지)
  - form-action 'self' (폼 submit 본인만)

A-6 자동 언어 detection

GET /starium-global/auto-lang 신규 endpoint
분기 우선순위: cookie sg_lang → Accept-Language 헤더 → 기본 en
regex 매칭: \bko\b|kr|korean / \bzh\b|cn|chinese|hans|hant / \bmn\b|mongol / \ben\b|english
302 redirect + 30일 cookie 설정
검증: 4 언어 헤더 모두 정확 분기

A-7 BreadcrumbList schema

메인 페이지: Home(1)
11 프로그램 페이지 (동적 + ko/zh/en/mn): Home(1) → Programs(2) → 현재 페이지(3)
슬러그별 + 언어별 자동 라벨링 (한국어/중국어/영어/몽골어)
Google 검색 결과 breadcrumb 노출 가능

변경 파일

신규

/starium-global/og/{12 슬러그}.png — OG PNG fallback (1200×630, 95-127KB)

수정

/opt/star365-ceo/server.mjs: +OG PNG endpoint + /auto-lang + setStariumSecurityHeaders 미들웨어 (~50 LOC)
61 HTML 페이지: Resource Hints + BreadcrumbList JSON-LD
56 HTML 페이지: 첫 img fetchpriority + decoding

DB

변경 없음

안전 점검

✅ 트레이딩 (gunja-pair-hedge / gunja-multi-tenant / gate-pair-hedge) active
✅ DB DROP 0 / UFW 0 / nginx 0
✅ CSP allowlist 검증: 모든 외부 의존성(Tailwind CDN, Google Fonts, Telegram API, Discord webhook) 명시
✅ frame-ancestors 'self' — clickjacking 차단
✅ 자동 detection cookie SameSite=Lax + Path 제한 (/starium-global)
✅ OG PNG 사전 생성 (런타임 SVG→PNG 변환 0 부하)

CEO 사용 가이드 (Phase 7)

자동 언어 detection 사용

방문자 첫 진입: https://ceo.star365.site/starium-global/auto-lang
→ Accept-Language 자동 분기 → /ko, /zh, /en, /mn 중 하나로 redirect
→ 30일 cookie 저장 (다음 방문 시 동일 언어로 자동 redirect)

CSP 위반 모니터링 (옵션)

헤더에 report-uri 추가 시 CSP 위반 자동 알림 가능:
Content-Security-Policy: ... ; report-uri /starium-global/api/csp-report
(현재 미구현, Phase 8 후보)

OG image 미리보기 (PNG)

WhatsApp / KakaoTalk 공유 테스트:
https://ceo.star365.site/starium-global/og/starium-global.png
https://ceo.star365.site/starium-global/og/nad-mct.png
... (12 endpoint)

검증 도구

securityheaders.com: https://securityheaders.com/?q=ceo.star365.site (등급 A 이상 목표)
CSP Evaluator: https://csp-evaluator.withgoogle.com (CSP 정책 약점 점검)
PageSpeed Insights: LCP/FCP 개선 측정 (Phase 4 web-vitals + Phase 7 fetchpriority/preconnect)
Google Rich Results Test: BreadcrumbList 풍부 형식 노출 확인

Phase 8 후보

사용자 액션 필요 (블로킹) — 누적

SMTP App Password (Phase 4)
Cloudflare DNS (Phase 1)
카카오·WeChat·LINE 공식 채널 (Phase 4)
Case Study 환자 동의 (Phase 1)
Slack webhook URL (Phase 4)
Plausible 자체 호스팅 결정 (Phase 5)
Google Search Console / Bing Webmaster 등록 (Phase 5)

Claude 자율 가능

Inquiry 첨부파일 drag&drop (Phase 7 SKIP) — 멀티파트 + 별도 endpoint + DB 스키마
CSP report-uri (위반 자동 수집)
Booking widget (Calendar 통합 — 자체 또는 Calendly)
Video embed placeholder (시술 시연 슬롯)
Pricing comparison table (placeholder, 가격 사용자 결정 후 채움)
Search 기능 (콘텐츠 검색 — sqlite FTS5)
News/Blog 섹션 (콘텐츠 마케팅)
Multi-tenant 분리 (다른 의료기관용 white-label)
Analytics 대시보드 export (CSV / PDF 보고서)
HTTP/2 push hints (nginx)
압축 가능성 측정 (brotli vs gzip 응답)
Lighthouse 자동 측정 cron (성능 회귀 감지)
A/B 통계 SQL view (admin SQL 직접 조회)

메모리/보고서

보고서: /opt/star365-hq/docs/04-report/starium-global-phase7-20260509.md (현 파일)
메모리: starium-global-phase7-20260509.md