클라우드플레어 퀵 터널, 이메일 기반 접근 제어 기능 추가

퀵 터널의 새로운 접근 제어 기능

클라우드플레어가 로컬 개발 환경을 쉽게 공유할 수 있도록 제공하는 퀵 터널(Quick Tunnels)에 이메일 기반 접근 제어 기능을 추가했다. `cloudflared` 2026.9.3 버전부터 사용 가능한 이 기능은 `--allowed-mail` 플래그를 통해 특정 이메일 주소나 도메인만 퀵 터널에 접근하도록 허용한다. 이를 통해 개발자는 클라우드플레어 계정을 생성하거나 복잡한 설정 파일 없이도 로컬에서 실행 중인 서비스를 안전하게 공유할 수 있다.

이메일 기반 접근 제어가 적용된 터널에 접속하는 방문자는 클라우드플레어 Access 로그인 페이지에서 자신의 이메일 주소를 입력한다. 이후 해당 이메일로 전송된 일회성 PIN(One-Time PIN)을 통해 본인임을 인증하며, 이 과정이 완료되면 로컬 서비스에 접근할 수 있다. 이 방식은 개발자와 방문자 모두에게 클라우드플레어 계정을 요구하지 않는다.

기능 도입 배경 및 필요성

2021년 출시된 퀵 터널은 개발자가 로컬 개발 환경의 서비스, 애플리케이션, 프로젝트를 외부에 쉽게 공유할 수 있도록 설계되었다. 특히 코드를 작성하는 에이전트(coding agent)의 활용이 증가하면서 퀵 터널의 사용량은 기하급수적으로 늘었다. 에이전트가 개발한 기능을 시연하거나, 원격에서 로컬 서버에 접근해야 할 때 퀵 터널은 단일 명령으로 URL을 생성하여 효율적인 작업 흐름을 지원했다.

그러나 기존 퀵 터널은 링크만 있으면 누구나 접근할 수 있다는 한계가 있었다. 이는 민감한 정보나 아직 개발 중인 불안정한 애플리케이션을 공유할 때 보안상의 우려를 낳았다. 이러한 문제점을 해결하고 개발자가 안심하고 프로젝트를 공유할 수 있도록, 클라우드플레어는 접근 권한을 제어할 수 있는 새로운 기능을 도입하여 보안을 강화했다.

구체적인 사용 방법 및 동작 원리

보호된 퀵 터널을 시작하려면 `cloudflared tunnel --url --allowed-mail alice@example.com` 명령어를 사용한다. 특정 이메일 주소만 허용하거나, `--allowed-mail` 플래그를 반복하여 여러 이메일 주소를 지정할 수 있다. 또한, `*@example.com`과 같이 와일드카드를 사용하여 특정 도메인 전체를 허용하는 것도 가능하다. `--allowed-mail` 플래그를 생략하면 기존과 동일하게 공개 퀵 터널로 동작한다.

접근 권한을 변경하려면 `cloudflared` 프로세스를 중지하고 새로운 터널을 시작해야 한다. 프로세스가 종료되는 즉시 모든 접근 권한은 만료된다. 클라우드플레어 워커스(Workers)를 기반으로 개발하는 경우, `wrangler` 최신 버전에서도 `--allowed-mail` 플래그를 지원하며, 디버그 로그에서 이메일 값을 제거하여 개인 정보 보호를 강화한다.

방문자가 보호된 URL에 접속하면 클라우드플레어 Access 로그인 페이지로 리디렉션되어 이메일 인증을 거친다. 클라우드플레어는 이메일 주소의 유효성만 검증하며, 이후 클라우드플레어 워커스 기반의 스테이트리스(stateless) 인증 브로커가 단기 서명된 증명(assertion)을 생성한다. `cloudflared`는 이 증명을 검증하고, 개발자가 설정한 규칙과 비교하여 로컬에서 최종적인 접근 권한을 결정한다. 이 과정에서 초대 목록은 개발자 머신을 벗어나지 않으며, 클라우드플레어는 터널이 이메일 인증을 요구한다는 사실만 알 뿐 초대된 사람의 정보는 알지 못한다.

인증된 세션은 최대 4시간 동안 유지되거나, 방문자의 Access 로그인 세션이 먼저 만료되거나, `cloudflared` 프로세스가 중지될 때까지 유효하다. `cloudflared`는 인증 정보를 제거한 후 요청을 로컬 서비스로 전달하므로, 개발 중인 애플리케이션은 별도의 로그인 흐름을 구현할 필요가 없다. 만약 어떤 검증 단계라도 실패하면 요청은 로컬 서비스에 도달하지 않으며, 보호된 터널은 절대 공개 모드로 전환되지 않는다.

개발자 및 사용자에게 미치는 영향

이번 기능 추가로 개발자는 로컬에서 실행 중인 애플리케이션이나 서비스를 더욱 안전하게 공유하여 피드백을 받거나 협업할 수 있게 되었다. 특히 AI 에이전트가 자동으로 터널을 생성하여 작업 결과를 공유할 때, 보안을 강화하는 데 매우 유용하다. 계정 생성이나 복잡한 설정 없이 단일 명령으로 보호된 터널을 시작할 수 있어 개발 워크플로우를 간소화하고 생산성을 높인다.

민감한 개발 중인 프로젝트나 개인 정보를 외부에 노출할 위험을 줄여주며, '이동 중 에이전트 작업(agentic work on the go)'과 같이 유동적인 환경에서도 보안을 유지할 수 있다. 보호된 퀵 터널은 기존 퀵 터널과 마찬가지로 무료로 제공되어 개발 비용 부담 없이 보안을 강화할 수 있다.

적용 조건 및 한계

더 안정적인 호스트 이름이나 아이덴티티 공급자 그룹(identity provider groups)과 같은 풍부한 접근 규칙이 필요한 경우에는 클라우드플레어 Access와 함께 클라우드플레어 터널(Cloudflare Tunnel)을 사용하는 것이 권장된다. 또한, 공개 URL 없이 개인 기기에서 에이전트에 양방향으로 연결해야 하는 시나리오에서는 클라우드플레어 메시(Cloudflare Mesh)를 활용할 수 있다.

접근 제어 목록은 `cloudflared` 프로세스가 실행되는 동안 개발자 머신의 메모리에만 유지된다. 따라서 `cloudflared` 프로세스가 종료되면 해당 터널에 대한 모든 접근 권한도 사라진다. 클라우드플레어는 방문자의 이메일 주소 유효성만 검증하며, 실제 접근 허용 여부는 개발자 머신의 `cloudflared`가 결정한다. 이 기능은 클라우드플레어 인턴들이 제품 요구사항 정의부터 인증 브로커 개발, `cloudflared` 릴리스까지 전 과정을 주도하여 구현되었다.