Lighthouse에서 내 사이트에 100/100 점을 줬다. 그런데 사이트는 다운이었다.

(dev.to)

Cloudflare의 WAF 설정이 너무 엄격하면 Lighthouse가 실제 사이트가 아닌 차단 페이지를 측정하여 100점이라는 가짜 성능 지표를 생성할 수 있으므로, 보안 설정 후에는 반드시 외부 관점에서 실제 서비스 접근성을 검증해야 합니다.

이 글의 핵심 포인트

1Cloudflare WAF의 공격적인 설정이 Googlebot이나 Lighthouse 크롤러를 차단할 수 있음
2차단된 상태에서 Lighthouse는 실제 사이트가 아닌 가벼운 에러 페이지를 측정하여 100/100이라는 허위 점수를 생성함
3보안 설정이 너무 강력하면 업타임 모니터링 도구조차 잘못된 HTTP 상태 코드를 보고하여 장애를 인지하지 못할 수 있음
4해결을 위해 Cloudflare의 'Events' 로그를 확인하여 차단된 사용자 에이전트(Chrome-Lighthouse, Googlebot 등)가 있는지 점검해야 함
5보안 설정 변경 후에는 반드시 외부 네트워크나 다른 User-Agent를 사용하여 실제 서비스 접근성을 재검증하는 프로세스가 필요함

이 글에 대한 공공지능 분석

왜 중요한가?

성능 지표(Lighthouse)와 가용성 모니터링 도구가 보안 설정으로 인해 잘못된 데이터를 제공할 수 있다는 사실을 경고하기 때문입니다. 이는 개발자가 서비스 장애를 인지하지 못한 채 '완벽한 상태'라고 착각하게 만드는 치명적인 운영 리스크를 발생시킵니다.

어떤 배경과 맥락이 있나?

Cloudflare와 같은 CDN 및 WAF 솔루션은 봇 공격 방어와 보안을 위해 트래픽을 필터링합니다. 이때 설정이 너무 공격적이면 Googlebot이나 성능 측정 크롤러까지 차단되어, 실제 서비스 로직 대신 가벼운 에러 페이지만 측정되는 현상이 발생합니다.

업계에 어떤 영향을 주나?

잘못된 지표는 SEO(검색 엔진 최적화) 순위 하락과 사용자 경험 저하로 이어지며, 모니터링 시스템의 신뢰도를 무너뜨립니다. 이는 인프라 운영팀이 실제 장애 상황을 '정상'으로 오판하게 만드는 데이터 왜곡 문제를 야기합니다.

한국 시장에 어떤 시사점이 있나?

글로벌 서비스를 지향하는 한국 스타트업은 Cloudflare 등 글로벌 보안 솔루션 도입 시, 국내 트래픽뿐만 아니라 해외 크롤러와 모니터링 도구의 접근성을 반드시 검증해야 합니다. 보안 강화가 곧 서비스 가시성 상실로 이어지지 않도록 주의가 필요합니다.

이 글에 대한 큐레이터 의견

보안과 성능 사이의 균형을 잡는 것은 모든 테크 스타트업의 영원한 숙제입니다. Cloudflare와 같은 강력한 WAF 도입은 외부 공격으로부터 서비스를 보호하는 필수적인 방패이지만, 본문에서 지적하듯 '검증되지 않은 보안'은 서비스의 눈을 가리는 장애물이 될 수 있습니다. 특히 성능 지표에만 매몰되어 100점이라는 숫자에 안주하는 것은 기술적 자만심을 부를 수 있는 위험한 신호입니다.

물론, 보안 규칙을 완화하면 공격 노출 범위가 넓어지는 트레이드오프가 존재합니다. 따라서 무조건적인 차단보다는 Cloudflare의 'Verified Bots' 기능을 활용하여 신뢰할 수 있는 크롤러는 허용하되, 의심스러운 패턴만 필터링하는 정교한 접근이 필요합니다. 창업자와 개발자는 지표(Score)를 믿기보다 실제 렌더링된 결과물(Screenshot)과 보안 로그(Events Log)를 교차 검증하는 습관을 통해 '보이지 않는 장애'를 방지해야 합니다.

원문 보기 →