게시일: 2026년 9월 23일
최신 웹 앱은 점점 더 복잡해지고 있으며, 서드 파티 스크립트와 생성형 AI에서 동적으로 생성된 코드를 통합하는 경우가 많습니다. 이러한 통합은 강력하지만 데이터 무단 반출 위험을 크게 증가시킵니다. 이러한 위험을 해결하기 위해 Chrome 152에서는 문서와 작업자를 위한 엄격한 네트워크 샌드박스를 만들 수 있는 새로운 보안 메커니즘인 연결 허용 목록을 도입합니다.
네트워크 통신 보안의 과제
종속 항목을 관리하고 사이트 아키텍처를 보호하려면 페이지가 통신하는 엔드포인트를 명시적으로 제어해야 합니다. 악성 스크립트나 할루시네이션이 발생한 AI 생성 코드는 앱 수준 검사를 우회하여 민감한 정보를 승인되지 않은 서버로 전송할 수 있습니다.
콘텐츠 보안 정책(CSP)은 페이지에서 로드하고 실행할 수 있는 항목을 제어하는 강력한 도구이지만 페이지가 통신하는 위치를 제한하도록 설계되지는 않았습니다. CSP는 요청을 특정 유형으로 분류하므로 광범위한 네트워크 경계만 필요한 경우 과도한 세분화가 발생합니다. 또한 CSP는 모든 웹 플랫폼 API를 포괄적으로 다루지 않으며 DNS 프리패치, 탐색, WebRTC 등과 같은 메커니즘을 생략합니다.
연결 허용 목록이란 무엇인가요?
연결 허용 목록은 브라우저를 페이지에서 시작되는 모든 네트워크 연결의 게이트키퍼로 만들어 이러한 위험을 해결합니다. Fetch 및 기타 웹 플랫폼 API를 사용하여 시작된 명시적 네트워크 요청을 관리하는 직접적이고 간소화된 접근 방식을 제공합니다.
Connection-Allowlist HTTP 응답 헤더를 전송하여 모든 네트워크 통신에 허용되는 정확한 URL 패턴을 지정합니다. 이렇게 하면 프레임워크 수준의 기본 거부 방화벽이 적용됩니다. 연결을 설정하기 전에 브라우저는 허용 목록과 비교하여 대상을 확인하고 일치하는 항목이 없으면 네트워크 수준에서 차단합니다.
연결 허용 목록 사용 방법
정책은 표준화된 URLPattern 문법을 사용하여 허용된 엔드포인트를 정의합니다. 이 정책은 각 창 또는 작업자 컨텍스트마다 별도로 적용됩니다.
기본 구성
response-origin 토큰을 사용하여 특정 API 엔드포인트와 함께 응답이 제공되는 출처를 허용 목록에 동적으로 추가할 수 있습니다.
Connection-Allowlist: ("https://api.example.com/*" response-origin)
리디렉션 및 WebRTC 처리
기본적으로 연결 허용 목록은 모든 리디렉션과 WebRTC 연결을 차단합니다. 허용 목록이 시행되는 경우 명시적으로 선택하지 않는 한 리디렉션을 초래하는 모든 요청이 차단됩니다.
Connection-Allowlist: ("https://api.example.com/*"); redirects=allow; webrtc=allow
위반 신고
서비스를 중단하지 않고 잠재적인 서비스 중단을 모니터링하려면 보고서 전용 모드로 기능을 배포하면 됩니다. 이렇게 하면 정책을 파싱하고 연결을 차단하지 않고 지정된 Reporting API 엔드포인트로 위반 보고서를 전송합니다. 또한 선택한 엔드포인트 이름을 실제 URL에 매핑하도록 Reporting-Endpoints HTTP 응답 헤더를 구성해야 합니다.
Connection-Allowlist-Report-Only: ("https://trusted.com/*"); report-to=security-endpoint
주요 사용 사례
연결 허용 목록은 보안 수준이 높거나 동적인 환경을 위해 설계되었습니다. 특히 다음과 같은 경우에 유용합니다.
- 생성형 AI 보호: 웹 앱이 생성된 코드 또는 신뢰할 수 없는 코드(예: AI 생성 UI 또는 개발 샌드박스)를 실행하는 경우 해당 코드가 외부 도메인으로 데이터를 유출하지 못하도록 방지할 수 있습니다.
- 서드 파티 감독: 서드 파티 스크립트나 웹 게임을 삽입할 때 손상되더라도 승인되지 않은 서버로 데이터를 전송하지 않도록 보장할 수 있습니다.
- 아키텍처 보호 장치: 앱의 민감한 부분에 엄격한 네트워크 경계를 적용하여 승인된 백엔드와만 통신이 이루어지도록 할 수 있습니다.
이 기능은 기존 콘텐츠 보안 정책(CSP) 기반 설정에 대한 점진적 개선으로 사용할 수 있습니다.
연결 허용 목록 테스트
연결 허용 목록 기능은 Chrome 152부터 공식적으로 사용할 수 있습니다. 서버 응답에 헤더를 추가하여 지금 바로 웹 애플리케이션을 보호할 수 있습니다.
개발 중에 구성을 테스트하려면 다음 단계를 따르세요.
Connection-AllowlistHTTP 응답 헤더를 전송하도록 로컬 개발 서버를 구성합니다.- Chrome DevTools를 열고 Network 패널에서 차단된 요청을 확인하거나 Issues 탭에서 자세한 헤더 파싱 보고서를 확인합니다.