Cloudflare는 2026년 8월 13일에 Certificate Transparency Monitoring 기능을 모든 사용자에게 공개했습니다. Cloudflare에서 웹사이트를 운영 중이라면, 이번 업데이트를 통해 승인되지 않은 보안 인증서를 빠르게 파악할 수 있습니다. 끝없이 쏟아지는 알림 이메일로 골머리를 앓을 필요도 없습니다.
자세한 발표 내용은 Cloudflare — Certificate Transparency Monitoring is now generally available 블로그 게시물에서 확인할 수 있습니다.
노이즈 필터의 작동 원리
Certificate Transparency 로그는 웹에서 발급되는 모든 SSL 인증서를 기록합니다. 이러한 공개 로그를 모니터링하면 비인가 인증서를 빠르게 포착할 수 있습니다. 일상적인 갱신은 60일마다 빈번하게 발생할 수 있으며, 이는 받은편지함을 순식간에 채우게 됩니다.
Cloudflare는 내장 필터를 통해 이 문제를 해결합니다. 다음처럼 사용자를 대신해 관리하는 인증서에 대해서는 알림 이메일을 중단합니다:
– Universal SSL
– Advanced Certificate Manager
– Total TLS
– Backup Certificates
외부 인증서 및 고객이 직접 업로드한 커스텀 인증서는 여전히 알림을 발생시킵니다. 내부 인증서와 외부 인증서를 구분하기 위해 Cloudflare는 spki_sha256이라는 공개키 해시를 확인합니다. 플랫폼은 발급 과정에서 이 해시를 생성한 뒤, 수신되는 로그 항목과 대조합니다.
유의해야 할 벤더의 주장
Cloudflare에 따르면 이 기능은 모든 플랜의 650,000개 이상의 고객 도메인에 활성화되어 있으며 추가 비용은 없습니다. 이러한 수치와 필터링 관련 주장은 Cloudflare의 자체 발표 내용입니다. 회사 외부에서 누락된 인증서나 미탐지(false negatives)를 확인하기 위해 독립적인 감사를 진행한 곳은 없습니다. 받은편지함이 조용하다고 해서 도메인이 안전하다는 증거는 아닙니다. 필터링되지 않은 모든 알림은 침해의 최종 증거가 아니라 조사해야 할 단서로 다루어야 합니다.
아쉬운 점과 향후 시도해 볼 사항
현재는 알림이 이메일로만 전송됩니다. Cloudflare는 향후 웹훅, PagerDuty 및 중앙 Notifications 시스템과의 연동을 계획 중이라고 밝혔습니다. 이는 즉각적인 에스컬레이션이 필요한 팀에게는 아쉬운 부분입니다.
기존 사용자는 이미 필터가 켜져 있습니다. 새 도메인을 추가하는 경우 SSL/TLS → Edge Certificates → CT Monitoring에서 스위치를 찾을 수 있습니다.
시스템을 직접 테스트해 볼 수도 있습니다. 두 개의 서브도메인이 있는 테스트 도메인을 준비합니다. 하나는 Cloudflare를 통해, 다른 하나는 외부 인증 기관을 통해 인증서를 발급합니다. 그런 다음 받은편지함을 확인하여 Cloudflare가 내부 갱신은 알림을 차단하고 외부 인증서에 대해서만 알림을 보내는지 확인해 보세요.