계정 위생열쇠는 좁게, 로그인은 두 겹, 바뀌면 알림

My Profile › API Tokens › Create API Token (계정 소유: Manage account › Account API tokens)

Cloudflare 는 새 고객에게 이 키를 권하지 않고, 쓰던 고객도 토큰으로 옮기라고 합니다.

• 담당자가 떠나도 끊기면 안 되는 연동(CI/CD, SIEM)은 계정 소유 토큰으로 만듭니다.

My Profile › Authentication

• 2단계 인증: 보안 키(Touch ID, Windows Hello, YubiKey 등), 인증 앱(TOTP), 이메일 중 고릅니다. 피싱에는 보안 키가 가장 강합니다.
• 수단 둘 이상, 백업 코드 보관: 수단 분실이 가장 흔한 지원 문의라서 Cloudflare 가 권합니다.
• SSO: 도메인 사용자 전원이 회사 IdP? 로 로그인합니다(Gmail 같은 공용 도메인은 불가).
• 관리자 둘 이상: 한 사람이 떠나도 업무 계정이 묶이지 않습니다.

• 유출 자격증명 탐지: 로그인 아이디·비밀번호를 해시로 바꿔 유출 데이터베이스와 비교합니다(Free 는 기본 켜짐). «표시»까지라 막거나 챌린지하려면 룰을 따로 만듭니다(중급).
• Client-side security?(옛 Page Shield): 결제·로그인 페이지에 끼어든 외부 스크립트(공급망 공격)를 찾습니다.

계정 › Notifications › Create an alert

받는 곳은 이메일과 웹훅(모든 플랜), PagerDuty(Business 이상)입니다.

감사 로그: 계정 › Manage Account › Audit Logs

Global API Key? 는 존 삭제, DNS 변경까지 그 사용자가 할 수 있는 일을 전부 합니다. 사용자당 하나라 바꾸면 이 키를 쓰던 연동이 한꺼번에 멈춥니다.

이 키를 쓰는 곳은 감사 로그의 인증 방식 api_key 로 찾습니다(전문가).

My Profile › API Tokens › Create API Token › Custom token

• 비밀 값은 한 번만 보이니 공유 공간에 평문으로 두지 않습니다.
• 만드는 사람은 자기 권한 안에서만 권한을 줄 수 있습니다.
• 안 쓰는 토큰은 지우고, 만료일로 잊힌 토큰도 끝나게 합니다.

Manage account › Members (SSO 연결도 여기서)

• 구성원 목록에서 사람마다 2단계 인증 상태와 Super Administrator 여부를 봅니다.

도메인 › Security › Settings › (필터: Detection tools) › Leaked credential detection

문서 기본 예시는 쌍 유출 요청에 Managed Challenge 를 거는 커스텀 룰입니다.

cf.waf.credential_check.username_and_password_leaked

• WordPress, Drupal 같은 흔한 로그인 형식은 기본으로 찾고, 우리 앱 형식(JSON 키 이름 등)은 Enterprise 사용자 지정 위치로 알려 줍니다.
• «Add Leaked Credentials Checks Header» 관리형 변환을 켜면 원본 서버에 Exposed-Credential-Check 헤더가 갑니다.

예전 Exposed Credentials Check 를 함께 켜 두면 로그인이 느려지니, 옮긴 뒤 끕니다.

켜기: 도메인 › Security › Settings › (필터: Client-side abuse) › Continuous script monitoring

결과: 도메인 › Security › Web assets › Client-side resources 탭

• Advanced 는 옛 Page Shield 추가 기능의 새 이름입니다(기능과 권한은 그대로).
• 켠 직후에는 목록이 차기까지 시간이 걸립니다.

• 연동 서버의 출구 IP 를 Is in 에 넣습니다. 예: 192.0.2.0/24, 한 대는 198.51.100.7/32.
• 만료일을 걸고, 새 토큰으로 바꿀 날을 달력에 적습니다.

IP 제한은 Verify Token 호출로 시험하지 않습니다. 이 호출은 IP 필터를 적용하지 않아 어디서나 «유효»로 나옵니다.

POST /client/v4/user/tokens
{"name": "logpush-writer",
 "policies": [ … ],
 "not_before": "2026-10-15T00:00:00Z",
 "expires_on": "2027-01-15T00:00:00Z",
 "condition": {"request.ip": {"in": ["192.0.2.0/24"], "not_in": ["192.0.2.10/32"]}}}

• in, not_in 은 CIDR 표기입니다(한 개는 /32).
• 계정 소유 토큰은 계정 API 로 만들고, API Token Provisioning 역할이나 Super Administrator 만 만듭니다.
• 첫 토큰은 대시보드에서 만들고, 토큰을 만드는 토큰(«Create Additional Tokens» 템플릿)에는 다른 권한을 섞지 않습니다(Cloudflare 권고).

이 토큰은 그 사용자의 모든 자원에 닿는 토큰을 만들 수 있으니 가장 엄하게 보관합니다.

계정 › Manage Account › Audit Logs (v2 가 기본 화면)

GET /client/v4/accounts/{account_id}/logs/audit

• api_key 항목의 행위자와 IP 를 따라가면 Global API Key 를 아직 쓰는 연동이 드러나니, 토큰으로 바꿉니다.
• v1 감사 로그로 Logpush 를 쓰던 곳은 v2 작업을 따로 만들어야 합니다.

1. 무효화: My Profile › API Tokens › 그 토큰의 ⋯ › Roll › Confirm.
2. 교체: 연동에 새 값을 넣습니다.
3. 범위 확인: 감사 로그를 기간과 행위자로 걸러 봅니다.
4. 재발 방지: IP 제한과 만료일을 겁니다.

새로 만들거나 Roll 한 열쇠는 접두어가 붙어 비밀 스캔 도구가 알아봅니다.

• GitHub 공개 저장소에 올라가면 Cloudflare 가 통보받아 자동 폐기하고 메일로 알립니다. 비공개 저장소는 GitHub 가 주인에게 알립니다.
• 대시보드 토큰에 «Exposed» 표시가 붙으면 Roll 하거나 지웁니다.

접두어 없는 예전 토큰도 동작하고 유출 시 폐기 대상입니다. Roll 하면 새 형식이 됩니다.

• 비상 토큰: 안전하게 보관하고, 잠기면 이 토큰으로 API 에서 SSO 강제를 끕니다.
• 예비 로그인 수단: 일회용 PIN(One-time PIN) 같은 예비 IdP 를 API 로 붙여 둡니다.
• 강제 전 시험: IdP 를 Zero Trust 에서 먼저 시험합니다.

계정 › Security Insights

고친 뒤에는 수동 점검으로 다시 확인합니다.

SSO 는 그 도메인 사용자 전원에게 걸려, IdP 설정이 바뀌거나 IdP 가 멈추면 관리자도 함께 막힙니다.

• 켜기 전에 위 절의 비상 토큰과 예비 로그인 수단부터 준비합니다.

비상 토큰에도 IP 제한을 걸고, 보관 위치를 아는 사람을 둘 이상 둡니다.