이번 소식
Cloudflare Access에 서비스 토큰 요청의 인증 방식을 일관되게 만드는 strict 설정이 추가됐습니다. 자동화 프로그램이 보내는 토큰 요청에서 로그인 리디렉션과 사용자 쿠키에 의존하던 동작이 달라집니다.
주요 변경
- 실패 응답: 인증이나 권한 확인에 실패하면 로그인 페이지로 보내는 302 대신 401 또는 403을 반환합니다.
- 정책·쿠키: Service Auth 정책만 인정하며 Allow 정책과 요청에 포함된 CF_Authorization 쿠키는 무시합니다. 성공해도 새 인증 쿠키를 발급하지 않으므로 다음 요청에도 서비스 토큰 헤더가 필요합니다.
- 적용 대상: 원문 기준 2026년 10월 5일부터 생성되는 Zero Trust 조직은 기본 활성화되며 끌 수 없습니다. 그 전에 만든 조직은 대시보드나 API에서 선택할 수 있습니다.
영향 대상과 필요한 조치
기존 자동화가 쿠키를 재사용하거나 Allow 정책에 기대고 있다면 설정을 켜기 전에 Service Auth 정책과 후속 요청의 토큰 헤더를 확인해야 합니다. 실패 로그는 인식된 토큰의 요청에 남으며, 잘못된 헤더나 알 수 없는 Client ID까지 모두 기록하는 것은 아닙니다.
공식 출처·발표 시점
발표 시각(KST): 세부 시각 미공개. 원문 발표일은 2026년 10월 2일입니다. 10월 5일 적용 경계의 정확한 시각·시간대도 미공개입니다. 같은 날 갱신된 서비스 토큰 가이드를 함께 확인했습니다.
새 글 받아보기
RSS 리더에서 BlogFlow의 새 글을 확인할 수 있습니다.