Cloudflare, Quick Tunnels에 계정 없는 이메일 인증 기능 추가

Cloudflare가 Protected Quick Tunnels 기능을 도입했다. 이 기능을 통해 개발자는 Cloudflare 계정 없이 이메일 인증만으로 로컬 개발 서비스 접근을 제한할 수 있다. cloudflared 2026.9.3부터 사용 가능하며, 명령어에 --allowed-mail 플래그를 추가해 특정 이메일 주소나 도메인 접근만 허용할 수 있다. 이번 업데이트는 무작위 trycloudflare.com URL만 있으면 누구나 호스팅된 서비스를 볼 수 있었던 기존 한계를 해결한다.

에이전트 주도 도입

이 보안 기능 수요는 주로 AI 코딩 에이전트에서 발생했다. 에이전트는 테스트를 위해 로컬 포트를 노출할 때 Quick Tunnels을 자주 사용한다. 가입이 필요 없고 JSON 출력을 쉽게 파싱할 수 있기 때문이다. 하지만 이 편의성으로 인해 민감하거나 보안이 취약한 개발 중인 애플리케이션이 실수로 공개 인터넷에 노출될 위험이 커뮤니티에서 지적됐다.

작동 방식

Quick Tunnels의 계정 없는 특성을 유지하기 위해 인증과 권한 부여를 분리한다:

• 인증: Cloudflare Access가 일회용 PIN을 보내 방문자가 입력한 이메일 주소를 실제로 통제하는지 확인한다.
• 권한 부여: 개발자 머신의 cloudflared 커넥터가 --allowed-mail 플래그로 정의된 로컬 규칙과 검증된 이메일을 대조한다.
• 개인정보 보호: 상태 비저장 Cloudflare Workers 브로커가 신원 전달을 처리해 허용된 이메일 목록이 개발자 머신을 떠나지 않도록 한다. Cloudflare는 터널이 이메일 인증을 요구한다는 사실만 알 수 있으며 목록 내용은 알 수 없다.

구현 및 제한

개발자는 --allowed-mail 플래그에 이메일 주소나 도메인을 전달해 터널을 보호할 수 있으며, 여러 항목을 지정하려면 플래그를 반복한다. Workers 프로젝트용 Wrangler에서도 지원된다. 방문자가 인증되면 최대 4시간 유효한 세션 쿠키를 받는다. cloudflared 프로세스가 중단되면 접근이 즉시 종료된다. 이 기능은 무료이며 Cloudflare Mesh를 통한 프라이빗 연결 등 기존 워크플로우와 통합된다.