Cloudflare는 Quick Tunnels 서비스에 이메일 인증을 추가했다고 발표했다. 이에 따라 개발자는 로컬에서 실행 중인 애플리케이션에 접근할 수 있는 이메일 주소 또는 도메인을 지정할 수 있다. 이 기능은 cloudflared 2026.9.3 버전부터 제공되며, 어느 쪽도 Cloudflare 계정을 만들 필요가 없다.
Quick Tunnels는 DNS 설정이나 대시보드 열기, 요금 지불 없이 개발자의 기기에서 실행 중인 서비스를 trycloudflare.com 도메인의 임의 주소를 통해 게시하는 데 사용된다. 기존의 주요 단점은 링크를 가진 사람이라면 누구나 서비스에 접속할 수 있다는 점이었다. 이를 해결하기 위해 개발자는 다음 옵션을 명령어에 추가한다.
cloudflared tunnel --url http://localhost:8080 --allowed-mail alice@example.com
링크를 열면 방문자는 이메일 주소를 입력한 뒤 자신의 받은 편지함으로 전송된 일회용 코드를 입력하라는 요청을 받는다. 이메일을 소유하고 있음이 확인되면 cloudflared는 해당 주소를 개발자가 로컬에서 지정한 접근 규칙과 비교한다. 이 옵션은 여러 주소에 대해 반복해서 사용하거나 *@example.com과 같은 포괄적 도메인을 사용할 수 있다. 이 옵션을 사용하지 않으면 Quick Tunnels는 이전과 같이 공개 상태로 유지된다.
실제로 무엇이 바뀌는가?
이번 업데이트는 로컬 애플리케이션 시연을 빠르게 보호할 수단을 개발자에게 제공한다. 특히 소프트웨어 에이전트가 개인 기기에서 서비스를 생성하고, 소유자가 휴대전화로 이를 미리 보거나 특정 사람들과 공유하려는 경우에 유용하다. 초대된 사용자 목록은 개발자의 기기에 남으며 Cloudflare로 전송되지 않는다. Cloudflare Access는 이메일 주소에 대한 통제권을 증명하고, cloudflared가 로컬에서 허용 여부를 결정한다.
Cloudflare에 따르면 이 설계는 Cloudflare Workers에서 실행되는 상태 비저장 인증 중개자를 사용해 수명이 짧고 서명된 권한을 발급한다. 중개자는 터널 정책, 방문자 세션 또는 방문자의 신원 기록을 저장하지 않는다. 인증에 성공하면 도구가 최대 4시간 동안 유지되는 로컬 세션을 생성하며, 로그인 세션이 먼저 만료되면 더 짧은 기간 동안만 유지된다. 세션은 cloudflared 프로세스를 중지하는 즉시 종료된다.
기능의 제한과 대안
이 인증은 브라우저를 통한 접근을 대상으로 하며, 이메일 소유 여부를 확인할 뿐 그 자체로 고급 권한 시스템을 제공하지는 않는다. 고정 호스트 이름이나 ID 제공업체 그룹과 같은 더 세부적인 규칙이 필요하다면 Cloudflare는 Cloudflare Tunnel과 Cloudflare Access를 사용할 것을 권장한다. 공개 주소 없이 양방향 비공개 연결을 사용하려는 경우 회사는 Cloudflare Mesh를 안내한다.
최신 버전의 Wrangler를 사용해 npx wrangler tunnel quick-start 명령어로 보호된 터널을 실행할 수도 있다. Cloudflare는 이 기능이 Quick Tunnels와 마찬가지로 무료이며, 도구가 디버그 로그에 이메일 주소를 출력하지 않는다고 밝혔다. 다만 허용 목록을 변경하려면 개발자가 터널을 다시 시작해야 한다. 정책을 관리할 중앙 계정 대시보드는 없기 때문이다.
이 소식이 중요한 이유
이번 변경으로 Quick Tunnels가 기업용 신원 관리 인프라를 완전히 대체할 수 있게 되는 것은 아니다. 그러나 누구든 발견하거나 공유할 수 있는 공개 링크로 로컬 테스트 애플리케이션을 게시하는 명확한 실무적 위험을 해결한다. Cloudflare의 이메일 확인과 개발자 기기에서의 로컬 허용 결정이 결합되면서 운영의 간편함을 유지하는 동시에 미완성 애플리케이션의 노출을 줄일 수 있다. 애플리케이션 보호는 여전히 기기의 보안 상태와 개발자가 지정한 이메일 규칙에 달려 있으며, 프로세스를 중지하면 모든 사용자의 접근이 차단된다.