Cloudflare 무료 요금제를 다시 써 보며 겪은 두 가지

시작하며

몇 달 전, Cloudflare에서 운영하던 프로젝트 하나를 익숙한 Vercel로 옮겼습니다. 요즘 Cloudflare를 쓰는 분들이 부쩍 늘어난 것 같아 다시 궁금해졌고, 테스트 겸 블로그 성격의 사이트를 하나 올려 이것저것 시험해 보고 있습니다.

요금제는 이렇습니다.

Workers에는 돈을 내고 있지만, 도메인은 무료 요금제입니다. 이 글에서 다루는 두 가지는 모두 도메인 무료 요금제에서 생기는 일입니다.

1. 한국에서 요청해도 미국 로스앤젤레스에서 응답한다
2. 봇 파이트 모드는 예외를 둘 수 없다

1. 한국에서 요청했는데 LA에서 응답한다

같은 이미지, 다른 거리

같은 집 인터넷(KT)에서 이미지 한 장을 12번씩 받아 본 중간값입니다. 비교 대상은 Vercel에 올려 둔 테스트용 사이트입니다.

파일은 Vercel 쪽이 더 컸는데도 약 10배 빨랐습니다. 차이는 거의 전부 거리입니다. 한 번 오가는 데 0.14초가 걸리고, 연결과 요청에 이 왕복이 여러 번 들어갑니다.

캐시 문제가 아니다

캐시를 의심할 수 있어서 같은 이미지를 10번 더 받아 봤습니다.

• 10번 모두 응답한 곳은 LAX
• 10번 모두 캐시 HIT
• 받기 끝은 0.48~0.57초

이미 캐시된 이미지인데도 매번 0.5초 안팎이었습니다. 느린 이유는 캐시가 아니라 거리입니다.

이미지 한 장의 0.5초는 평소엔 눈에 띌 정도가 아닐 수 있습니다. 하지만 앞서 말한, Vercel로 옮긴 프로젝트도 이미지는 Cloudflare에서 내보냈는데, 이미지 자리가 스켈레톤으로 한참 머무는 경우가 간헐적으로 있었습니다. 따로 측정하진 못했지만 체감될 정도였고, 사용자 경험에도 충분히 영향이 간다고 생각합니다.

왜 LA로 갈까

알려진 이유는 한국 통신사와 Cloudflare 사이의 망 비용 문제로, 무료 · 저가 도메인 요금제 트래픽이 서울 대신 해외로 돈다는 것입니다. 공식 발표가 아니라 사용자들 사이에 알려진 이야기이고, 통신사나 시기에 따라 다를 수 있습니다.

• Workers에 5달러를 내도 도메인이 무료 요금제면 한국에선 LA로 갑니다.
• 상위(엔터프라이즈) 요금제에서는 서울에서 응답받을 수 있다는 이야기도 있지만, 공식 문서로 확인하진 못했습니다.

내 사이트 확인하는 법

Cloudflare를 거치는 사이트는 /cdn-cgi/trace 주소에서 응답한 데이터센터를 알려 줍니다.

curl -s https://내도메인/cdn-cgi/trace | grep colo

colo=ICN이면 서울, colo=LAX면 로스앤젤레스입니다. 걸리는 시간은 이렇게 잴 수 있습니다.

curl -s -o /dev/null -w "연결 %{time_connect} / 첫 바이트 %{time_starttransfer} / 끝 %{time_total}\n" https://내도메인/이미지주소

2. 봇 파이트 모드는 예외를 둘 수 없다

슬랙 미리보기가 안 뜬다

테스트용 사이트 주소를 슬랙에 공유했는데 미리보기 카드(제목 · 이미지)가 뜨지 않았습니다. 같은 슬랙에서 Vercel 사이트는 카드가 잘 떴습니다.

코드부터 의심했는데 문제는 다른 곳에 있었습니다. Cloudflare 보안 이벤트 로그를 열어 보니, 공유한 시각에 슬랙이 보낸 요청을 봇 파이트 모드(Bot Fight Mode) 가 막고 있었습니다.

• 요청한 쪽: Slackbot-LinkExpanding (슬랙 미리보기 봇)
• 출발지: AWS 데이터센터
• 처리: 봇 파이트 모드가 「사람인지 확인」 화면(Managed Challenge)을 보냄

슬랙은 이 화면을 풀 수 없으니 403을 받고 카드를 만들지 못했습니다. 같은 이름으로 집 인터넷에서 보낸 요청은 정상으로 통과했습니다. 같은 하루 동안 열어 두기로 한 AI 검색 봇(PerplexityBot)도 몇 차례 막혔습니다.

물론 상황에 따라 슬랙 공유가 정상으로 될 때도 있을 거라고 생각합니다. Cloudflare 문서에도 슬랙 미리보기는 인증된 봇(페이지 미리보기)으로 분류돼 있습니다. 말하고 싶은 건 슬랙 하나가 아니라, 막히지 않을 거라 기대한 요청이 막힌다는 점입니다.

검색해 보면 비슷한 사례가 꽤 있습니다.

• 결제 서비스(PayPal) 웹훅이 403을 받고, 이벤트 로그에 Bot fight mode가 찍힌 사례
• 서버 감시 도구(HetrixTools, Uptime Kuma)가 계속 막힌 사례
• Mastodon 링크 미리보기가 깨져 봇 파이트 모드를 끄고 해결한 사례

막는 걸 알아도 조정할 수 없다

슬랙만 예외로 빼 주면 될 것 같지만, 무료 요금제의 봇 파이트 모드는 그게 안 됩니다. Cloudflare 문서에 따르면 봇 파이트 모드는 규칙 엔진 밖에서 동작해서, 직접 만든 규칙의 Skip · Allow로 건너뛸 수 없습니다. 예외가 필요하면 끄거나 상위 요금제로 올리라고 안내합니다.

반대로, 막아야 할 것은 생각보다 못 막았다

같은 사이트에 위장 수집기가 몰려온 적이 있습니다. 평범한 크롬 · 파이어폭스로 꾸미고, 가정용 IP 수천 개를 돌려 가며, 브라우저 헤더까지 흉내 낸 수집기였습니다. 봇 파이트 모드를 켠 상태에서도 하루 4,700쪽 넘게 그대로 받아 갔습니다.

데이터센터 IP라고 다 막히지도 않았습니다. 호스팅 업체 IP에서 스크립트까지 실행하는 헤드리스 브라우저는 페이지를 받아 갔고, 같은 위장을 한 AWS IP는 한 곳에서는 막히고 다른 곳에서는 통과했습니다.

결국 무료 봇 파이트 모드는 이렇게 정리됩니다.

• 막지 말아야 할 것은 막고
• 막아야 할 것은 일부 통과하고
• 그 사이를 조정할 수는 없다

무료 요금제에서 고를 수 있는 길

수집기는 봇 파이트 모드보다 행동으로 막는 편이 잘 들었습니다. 같은 IP가 1분에 페이지를 몇십 장씩 받아 가면 막는 식의 빈도 제한입니다.

내 사이트도 확인해 보기

AI에게 점검을 맡기고 싶다면 아래 프롬프트를 써 볼 수 있습니다.

내 사이트(주소)가 Cloudflare를 거치는지 확인하고, 거친다면 어느 나라 데이터센터에서 응답하는지 알려 줘.
이미지 몇 개를 여러 번 받아 보고 평균 응답 시간도 정리해 줘.
그리고 Cloudflare 봇 차단 기능(Bot Fight Mode)을 쓰고 있다면,
슬랙 · 카카오톡 같은 링크 미리보기나 웹훅이 막히고 있는지 보안 이벤트 로그로 점검하는 방법과
무료 요금제에서 할 수 있는 선택지를 정리해 줘.

마치며

Cloudflare가 좋지 않다는 이야기는 아닙니다. 특히 비용 측면에서는 따라올 서비스가 드물고, 봇 차단 같은 기능을 무료로 쓸 수 있다는 것도 큰 장점입니다.

다만 한국 사용자에게는 응답이 해외를 돌 수 있고, 무료 봇 차단은 믿고 있던 요청을 조용히 막을 수 있습니다. 이런 특징도 알고 쓰시면 좋을 것 같아 정리했습니다.

참조자료

• Cloudflare 문서 · Bot Fight Mode
• Cloudflare 문서 · Super Bot Fight Mode
• Cloudflare 문서 · Bot Fight Mode 오탐 처리
• Cloudflare 문서 · 보안 기능 실행 순서
• Cloudflare 문서 · 인증된 봇 분류
• Cloudflare 커뮤니티 · PayPal 웹훅 403 사례
• Nicolas Fränkel · Mastodon 미리보기가 깨진 사례