MIME 타입 목록

MIME 타입이란

MIME(Multipurpose Internet Mail Extensions) 타입은 파일의 형식과 성질을 식별하기 위한 표준 방식입니다. 타입/서브타입 형식으로 표기되며, 웹 브라우저와 서버가 파일 처리 방법을 판단하는 데 사용됩니다. HTTP 응답의 Content-Type 헤더나 HTML의 <input type="file" accept="..."> 속성 등에서 지정합니다.

이미지(image)

문서(application)

텍스트(text)

음성(audio)

동영상(video)

아카이브·압축(application)

폰트(font)

기타

개발에서의 MIME 타입 사용법

서버 측 설정

웹 서버(Apache / Nginx)에서는 파일 확장자와 MIME 타입의 대응을 설정합니다. 올바르게 설정하지 않으면 브라우저가 파일을 제대로 처리하지 못할 수 있습니다. 예를 들어 .webp 파일에 올바른 MIME 타입이 설정되어 있지 않으면 이미지로 표시되지 않고 다운로드되어 버립니다.

파일 업로드 검증

파일 업로드 기능을 구현할 때는 확장자뿐 아니라 MIME 타입도 검증하는 것이 중요합니다. 다만 MIME 타입은 클라이언트 측에서 위장할 수 있으므로, 보안상 파일 앞부분의 매직 바이트 검증도 함께 사용할 것을 권장합니다.

Content-Type 헤더

API 응답이나 파일 다운로드 시에는 적절한 Content-Type 헤더를 설정하세요. JSON 데이터에는 application/json, CSV 파일에는 text/csv를 지정합니다. 문자 인코딩 지정이 필요한 경우에는 text/html; charset=utf-8처럼 charset 파라미터를 붙입니다.

서버 설정에서의 MIME 타입 지정

WebP / AVIF / WASM / 폰트 등 서버의 기본 매핑에 포함되지 않은 경우가 많은 현대적 포맷을 배포할 때 자주 쓰는 스니펫을 아래에 정리했습니다.

Apache .htaccess

# 최신 이미지 포맷
AddType image/webp .webp
AddType image/avif .avif
AddType image/svg+xml .svg .svgz

# 폰트(적극적으로 캐시)
AddType font/woff  .woff
AddType font/woff2 .woff2

# WebAssembly 와 최신 JSON 변형
AddType application/wasm        .wasm
AddType application/manifest+json .webmanifest
AddType application/ld+json     .jsonld

# 텍스트 계열을 UTF-8 로 제공
AddCharset utf-8 .html .css .js .json .xml

Nginx (mime.types 덮어쓰기)

types {
    image/webp                webp;
    image/avif                avif;
    application/wasm          wasm;
    application/manifest+json webmanifest;
}

# text/* 와 application/json 에 문자 코드 강제
charset utf-8;
charset_types text/css text/plain text/xml application/javascript application/json application/xml;

PHP — Content-Type 전송

// 파일명을 붙여 PDF 를 다운로드시킨다
header('Content-Type: application/pdf');
header('Content-Disposition: attachment; filename="invoice.pdf"');
readfile($path);

// JSON API 응답 (charset 은 항상 명시)
header('Content-Type: application/json; charset=utf-8');
echo json_encode($data, JSON_UNESCAPED_UNICODE);

Node.js / Express

// Express 는 res.type() 이나 확장자로 Content-Type 을 추측한다
app.get('/data.json', (req, res) => {
    res.type('application/json').send({ ok: true });
});

// 명시적인 MIME 지정으로 파일 스트리밍
app.get('/report.csv', (req, res) => {
    res.set('Content-Type', 'text/csv; charset=utf-8');
    fs.createReadStream('report.csv').pipe(res);
});

Python — Flask / FastAPI

# Flask
from flask import Response
return Response(csv_text, mimetype='text/csv', headers={'Content-Disposition': 'attachment; filename="data.csv"'})

# FastAPI
from fastapi.responses import Response
return Response(content=json_str, media_type='application/json')

Go — net/http

w.Header().Set("Content-Type", "application/json; charset=utf-8")
w.Header().Set("X-Content-Type-Options", "nosniff")  // 보안: 아래 참조
json.NewEncoder(w).Encode(data)

보안: X-Content-Type-Options: nosniff가 필요한 이유

브라우저는 역사적으로 Content-Type 헤더가 누락되거나 잘못 지정되었을 때 파일 내용을 '스니핑'하여 종류를 추측해 왔습니다. 이는 알려진 공격 벡터로, image/jpeg로 업로드된 파일의 내용이 실제로는 <script>를 포함한 HTML이라면 브라우저가 HTML로 스니핑하여 XSS가 발생할 수 있습니다.

모든 응답에 X-Content-Type-Options: nosniff를 반드시 전송하세요. '서버가 지정한 Content-Type을 믿고 추측하지 말라'고 브라우저에 알리는 헤더입니다. 사용자 업로드 파일이나 JSON API에서는 특히 필수입니다(악의적인 요청으로 JSON을 HTML이나 JS로 해석시키려는 공격이 있습니다).

업로드 검증 — 3계층 규칙

1. 확장자 검사 — 빠르지만 파일 이름만 바꾸면 뚫립니다. UX 힌트 정도로만 사용하세요.
2. 클라이언트가 보내는 MIME 타입(multipart 경계 내의 Content-Type) — 마찬가지로 위장이 쉽습니다. 브라우저는 파일 확장자로부터 결정할 뿐입니다.
3. 매직 바이트(파일 서명) 검출 — 실제 파일 선두 바이트를 읽어 알려진 시그니처(JPEG는 FF D8 FF, PNG는 89 50 4E 47)와 대조합니다. 신뢰할 수 있는 계층은 이것뿐입니다. 자세한 내용은 매직 바이트 레퍼런스를 참고하세요.

실무 철칙: 세 가지를 모두 실시한다. 앞의 두 가지는 명백한 쓰레기를 걸러내는 빠른 필터로, 세 번째를 권위 있는 최종 검사로 취급하세요.

자주 묻는 질문