보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
백엔드 개발자가 반드시 알아야 하지만 대부분 흐릿하게 기억하는 두 보안 흐름 — TLS 핸드셰이크와 OAuth 인가 코드 플로우 — 를 정적 다이어그램 대신 단계별로 직접 진행하며 배우는 무료 브라우저 시뮬레이터 두 개를 소개한다. 인증서 만료·호스트명 불일치·잘못된 redirect URI 같은 실패 시나리오까지 실행해볼 수 있어, 프로덕션 장애 대응에 필요한 재구성 능력을 기르는 데 초점을 둔다.
Cloudflare Pages에서 정적 사이트를 운영하는 개발자가 플랫폼이 조용히 실패하는 두 가지 동작을 실측으로 검증한 기록입니다. _headers로 지정한 Cache-Control이 정적 자산에서 무시되는 문제와, _redirects 규칙이 약 100줄을 넘으면 경고 없이 적용되지 않는 한계를 다룹니다. 콘텐츠 해시 기반 캐시 무효화와 canary 규칙을 활용한 배포 검증 같은 실용적인 우회 방법을 제시합니다.
파일 크기를 결정하는 것은 MP4 같은 컨테이너가 아니라 내부의 코덱이라는 점을 지적하며, 720p 테스트 클립을 H.264, VP9, AV1로 인코딩하고 VMAF 품질 점수로 동일 체감 품질 기준의 크기를 비교했습니다. VMAF 90 기준으로 VP9는 H.264 대비 약 40%, AV1은 약 60% 더 작았습니다. 다만 신형 코덱은 인코딩 CPU 비용이 크므로, 여러 번 스트리밍할 영상이면 AV1/VP9, 일회성 전송이면 H.264가 합리적이라고 정리합니다.
Jim Nielsen이 서비스 상태 페이지의 '99.9% 업타임' 표기 방식을 비판합니다. 100%에 가까운 숫자들의 차이는 비선형이라 일반 사용자가 직관적으로 이해하기 어렵고, 퍼센티지 대신 '지난 30일간 12시간 장애'처럼 시간으로 표현하자고 제안합니다.
한 아버지가 자신의 Google 계정에 저장해 둔 회사 법인카드를 9세 아들이 사용해, Minecraft·Roblox 게임플레이 채널의 YouTube 광고 캠페인에 약 3주간 118,000달러를 결제한 사건이 알려졌습니다. 아이는 아버지가 시범으로 보여준 20달러 프로모션을 '한도'가 아닌 절차로 이해하고 스스로 캠페인을 반복 생성했습니다. Google 결제 프로필이 계정 단위로 저장·공유되는 구조와 미성년자 계정 관리 문제가 함께 드러나 개발자 독자에게도 시사점이 있습니다.
x402 기반 유료 API를 운영하던 팀이 Cloudflare 기본 설정 때문에 Python·Perl 기반 AI 에이전트에게 402 대신 403을 반환하고 있었다는 사실을 외부 에이전트의 제보로 발견한 사례입니다. Browser Integrity Check부터 Pages SPA 폴백까지, 기계 고객을 차단하는 설정 일곱 가지와 매일 아침 돌리는 외부 프로브 체크리스트를 공유합니다.
Cloudflare가 검색 인덱싱과 AI 학습을 함께 수행하는 혼용(mixed-use) 크롤러에 대해, 검색 노출은 유지하면서 AI 학습만 거부할 수 있는 'Disallow AI Training' 설정을 발표했습니다. Apple, Google, Microsoft가 이 설정을 존중하거나 존중하기로 약속했으며, 기존 'Block AI Bots'는 Search·Training·Agent 단위의 세분화된 제어로 대체됩니다.
Internet Archive가 Wayback Machine을 겨냥한 대규모 자동화 트래픽에 대응해 차단 조치를 도입했고, 최근에는 요청이 차단될 때 표시되는 429 오류 메시지를 개선했습니다. 이 보호 장치가 실제 사용자까지 오탐하는 사례가 발생해, Internet Archive는 사과와 함께 오탐 신고 절차를 안내했습니다.
가짜 CAPTCHA를 통해 사용자가 직접 악성 명령어를 터미널에 붙여넣고 실행하게 만드는 ClickFix 공격이 PC와 Mac 사용자를 가리지 않고 급속히 퍼지고 있습니다. 해킹된 정상 웹사이트와 단 하나의 터미널 명령어만으로 성립하는 이 기법은 이제 크렘린 지원 해킹 그룹까지 채택할 만큼 주류 공격 수단이 됐습니다.
Cloudflare가 오리진 서버와의 TLS 1.3 핸드셰이크에서 키 합의 알고리즘을 '추측' 대신 '측정'으로 결정하는 Automatic Key Exchange를 공개했습니다. 각 오리진을 능동 스캔해 지원 알고리즘을 파악한 뒤 첫 ClientHello부터 최적 키쉐어를 보내, HelloRetryRequest 비율을 52%에서 3.7%로 낮추고 p90 지연을 150ms 이상 줄였습니다. 동시에 수십만 도메인이 설정 없이 post-quantum 오리진 연결을 얻게 됐습니다.
이미지 압축 엔지니어인 저자가 과거 JPEG XL 지지자였음을 밝히며, 웹 플랫폼에서의 필요성을 실증적으로 반박합니다. 손실 압축 효율에서 최신 AVIF 인코더에 밀리고, 방향성 예측·디블로킹 필터 부재 같은 구조적 한계와 느린 디코딩, 악용 가능한 'JXL 폭탄' 문제를 지적하며, JPEG XL의 범용성은 웹 밖에서 빛날 것이라고 결론 내립니다.
Forgejo 개인 서버가 스크레이더 부하와 OOM에 시달리던 개발자가, git 호스트 전체를 정적 파일로 서빙하는 읽기 전용 리포 뷰어 sorcery를 만들었습니다. 최신 커밋 뷰는 미리 렌더링된 HTML로, 이력 탐색은 .git 디렉터리와 인브라우저 git 클라이언트 조합으로 처리해 봇 트래픽을 사실상 무시할 수 있는 구조입니다.