최근 클라우드플레어(Cloudflare)의 네임서버를 사용하는 일부 웹사이트에서 사용자 동의 없이 웹 분석 자바스크립트(JavaScript) 코드가 몰래 삽입되었다는 주장이 제기되어 논란이 일고 있습니다. 특히 자바스크립트 없이 HTML만으로 구성된 웹사이트에서도 이러한 코드가 발견되어, 사용자들이 클라우드플레어의 기본 설정 방식과 투명성에 대해 강한 불만을 표출하고 있습니다.
이번 논란은 한 사용자가 자신의 R2 버킷을 서브도메인으로 제공하기 위해 클라우드플레어로 네임서버를 전환한 후, 자바스크립트가 없는 웹사이트에 분석 스니펫이 삽입된 것을 발견하면서 시작되었습니다. 이 스니펫을 끄려면 애널리틱스(Analytics) 대시보드에서 해당 사이트를 분석 기능에 추가한 다음 스니펫을 비활성화해야 하는 복잡한 절차를 거쳐야 했습니다. 이는 클라우드플레어가 웹 분석 기능을 기본으로 활성화(opt-out)하고 있으며, 이를 비활성화하기 위한 사용자 경험이 매우 불편하다는 점을 드러냈습니다. 일부 사용자들은 심지어 비활성화 옵션에 접근하기 위해 먼저 기능을 활성화해야 했다고 주장하며, 캐싱 목적으로만 클라우드플레어를 사용했음에도 코드가 삽입되었다는 경험을 공유했습니다.
이러한 행태는 과거 무료 호스팅 업체들이 페이지에 광고나 스크립트를 삽입하던 방식과 유사하다는 비판을 받고 있습니다. 전문가들은 클라우드플레어가 역방향 프록시(reverse proxy)로 작동하여 HTTPS 연결을 종료하고 콘텐츠를 수정할 수 있는 상태일 때 이러한 스크립트 삽입이 가능하다고 설명합니다. 즉, DNS 전용 모드(회색 구름 아이콘)가 아닌 프록시 모드(주황색 구름 아이콘)에서 발생할 수 있는 일입니다. 사용자들은 이러한 기능이 기본 활성화되는 것이 아니라 사용자가 명시적으로 동의하는 옵트인(opt-in) 방식이어야 한다고 지적하며, 클라우드플레어가 지난 10년간 쌓아온 신뢰를 훼손하고 있다고 비판했습니다. 이는 인터넷 서비스의 투명성과 사용자 통제권에 대한 중요한 질문을 던지며, 인터넷의 개방성을 지키기 위한 대안 서비스의 필요성을 다시 한번 상기시키고 있습니다.