Cloudflare Turnstile은 중국에서 작동하나요? 국경 간 데이터 리스크
Turnstile은 방문자 신호를 읽어 Cloudflare 네트워크에서 평가하는데, Cloudflare는 그것이 중국 본토에서 Turnstile을 돌리지 않는다 밝힙니다. PIPL 국경 간 질문을 컴플라이언스 우선으로 봅니다.
Cloudflare Turnstile은 중국에서 작동하나요?
Cloudflare Turnstile은 프라이버시 친화 CAPTCHA 대안으로 마케팅되지만, 그것을 본토 중국 방문자에게 쓰는 것은 먼저 국경 간 개인 데이터 질문 — 그리고 두 번째로 전달 질문 — 입니다. 그것이 사람과 봇을 가르려고 읽는 신호는 Cloudflare의 네트워크에서 평가되고, Cloudflare 스스로 그 네트워크가 중국 본토 안에서 Turnstile을 돌리지 않는다 밝힙니다.
Cloudflare 자사 문서상, Turnstile은 "client-side security challenges … proof-of-work … probing for web APIs, and various other challenges for detecting browser-quirks and human behavior,"를 돌리고, 그 점검에 "processes only the data strictly necessary"입니다. 그 기기·브라우저 신호는 Cloudflare의 네트워크에서 평가되고 — 그 China Network 문서는 "Turnstile is not supported in Mainland China."라 평이하게 밝힙니다. 그러니 신호는 해외에서 평가되려고 본토를 떠납니다: PIPL이 규율하는 개인정보의 국경 간 이전, 고지·별도 동의·이전 메커니즘이 필요하고, 귀사가 핵심정보인프라 운영자나 대량 취급자가 되면 국내 저장과 함께. 아래 표는 Cloudflare 자신의 표현과 그것이 유발하는 규칙입니다.
이는 판정이 아니라 리스크 그림입니다 — 귀사 의무는 귀사 데이터 볼륨과 역할로 갈리고, 한 CAPTCHA에서 "프라이버시 우선" CAPTCHA로 바꾸는 것은 신호가 어디서 처리되는지를 정하지 않습니다. 저희 중국 팀이 귀사의 노출을 함께 매핑해 드립니다 →
컴플라이언스 스냅샷
- ! 설계상 프라이버시 우선 — 하지만 여전히 기기·브라우저 신호를 읽음
- ! 그 신호는 Cloudflare의 네트워크에서 해외에서 평가됨 — PIPL상 국경 간 개인정보
- ✕ Cloudflare 자사 문서: Turnstile은 "is not supported in Mainland China"
- ! 전달도 흔들림 — 제품 페이지가 중국 내 회선에서 로드를 마치지 못함(측정)
- ✓ 작동하는 경로가 존재 — 이전을 평가하고, 국내에서 사람을 인증
Cloudflare Turnstile 공식 문서의 내용과, 우리가 중국 본토에서 측정한 결과
| 사실 | 1차 출처 |
|---|---|
| Cloudflare 자사 Turnstile 문서에서: Turnstile은 "performs client-side security challenges … to distinguish human visitors from automated traffic,"를, "proof-of-work (computational puzzles), proof-of-space, probing for web APIs, and various other challenges for detecting browser-quirks and human behavior"를 써서 합니다. Cloudflare는 그것이 "processes only the data strictly necessary to provide this security function"이고 "does not access, store, or transmit user communications, form entries, or other page inputs"라 합니다. 최소화되었어도, 그것은 각 방문자에게서 읽혀 Cloudflare가 평가하는 기기·브라우저 신호입니다 — 프라이버시 보존 프레이밍은 무엇이 수집되느냐를 좁히지, 어디서 처리되느냐를 좁히지 않습니다 (21YunBox 메모). | Cloudflare — Turnstile Frequently Asked Questions (developers.cloudflare.com/turnstile), retrieved 2026-10-07 |
| Cloudflare 자사 China Network 문서는 밝힙니다: "Turnstile is not supported in Mainland China." Turnstile은 Cloudflare의 China Network — 본토 안 JD Cloud 운영 데이터센터 — 제품 목록에 나타나지 않습니다. Cloudflare가 Turnstile에 국내 옵션을 제공하지 않으므로, 챌린지는 본토 밖 Cloudflare의 네트워크에서 제공되고 방문자 신호는 거기서 평가됩니다; 그 처리를 본토 안에 유지하는 Cloudflare 구성이 없습니다 (21YunBox 추론). | Cloudflare — China Network FAQ and Available Products, retrieved 2026-10-07 |
| 그 신호가 본토 밖에서 평가되므로, PIPL은 그것을 개인정보의 국경 간 제공으로 다룹니다. 취급자 — Cloudflare가 아니라 Turnstile을 배치하는 웹사이트 운영자 — 는 고지하고, 별도 동의를 받고, PIPL의 메커니즘 하나를 충족해야 합니다: CAC 안전성 평가, CAC 표준계약, 인증, 또는 다른 허용된 근거. | PIPL Chapter III, Articles 38–40 (cross-border provision of personal information) |
| 노출은 도구를 쓰는 것이 아니라 볼륨과 역할에 따라 커집니다: CAC의 2024년 3월 국경 간 규칙 이후, 한 역년에 10만 명 미만의 비민감 개인정보를 이전하는 비핵심정보인프라 운영자는 안전성 평가·표준계약·인증에서 면제됩니다. 핵심정보인프라 운영자나 대량 취급자에, 중국에서 수집된 개인정보는 본토에 저장되어야 합니다(사이버보안법 제39조(구 제37조); PIPL 제40조) — 그리고 Cloudflare가 Turnstile을 중국 본토에서 지원하지 않는다 하므로, 그것을 충족한다는 것은 사람 인증 단계와 그 레코드를 본토 안에 귀사 스스로 세운다는 뜻이고, 그것이 ICP 비안을 요구하는 행위입니다. | CAC — Provisions on Promoting and Regulating Cross-border Data Flows, March 2024; CSL Article 39 (formerly Article 37); PIPL Article 40 |
전달도 신뢰성 없고, 그것이 이차 문제입니다. Cloudflare의 Turnstile 제품 페이지(cloudflare.com/products/turnstile)를 2026-08-28 본토 안 탐침(알리바바 클라우드 cn-zhangjiakou)에서 요청했습니다: 첫 바이트는 빨리(대략 0.7~1.3초) 도착했지만 세 번의 런 어느 것도 60초 안에 로드를 마치지 못했고, 매번 7~10개의 서브리소스가 매달린 채 남았습니다. 이것은 데이터센터 회선 — 최악이 아니라 하한 — 이고 위젯 엔드포인트 자체가 아니라 제품 페이지의 전달을 측정합니다. 결코 로드를 마치지 못하는 인증 단계는 버튼이 결코 활성화되지 않는 단계입니다. | 21YunBox — China delivery measurement, measured from inside mainland China (probe: Alibaba Cloud cn-zhangjiakou), 2026-08-28 |
21YunBox 컴플라이언스 팀이(가) 2026년 10월 7일에 출처를 확인했습니다.
Cloudflare Turnstile이 중국 본토 방문자에게 “작동”하느냐는 성능 질문이기 전에 국경 간 데이터 질문입니다. Turnstile은 프라이버시 친화 CAPTCHA로 마케팅됩니다 — 그것은 전통적 챌린지보다 더 적은 신호를 읽습니다 — 하지만 그것은 여전히 각 방문자에게서 기기·브라우저 신호를 읽고, 그것을 Cloudflare의 네트워크에서 평가합니다. Cloudflare 자사 문서상, 그 네트워크는 본토 안에서 Turnstile을 돌리지 않습니다. 그러니 그 신호는 해외에서 평가되려고 중국을 떠나고, 프라이버시 프레이밍은 무엇이 수집되느냐를 정하지, 어디서 처리되느냐를 정하지 않습니다.
한눈에 보는 중국에서의 Cloudflare Turnstile
| 무엇이 결정하나 | Cloudflare 자신의 표현으로 |
|---|---|
| 그것이 읽는 것 | Turnstile은 “proof-of-work (computational puzzles), proof-of-space, probing for web APIs, and various other challenges for detecting browser-quirks and human behavior”를 돌립니다 — 각 방문자에게서 읽는 기기·브라우저 신호. |
| 그것이 읽는 양 | Cloudflare는 그것이 “processes only the data strictly necessary”이고 “does not access, store, or transmit user communications, form entries, or other page inputs”라 합니다. 프라이버시 프레이밍은 무엇이 수집되느냐를 좁힙니다. |
| 그것이 도는 곳 | Cloudflare의 네트워크에서. 그 China Network 문서는 “Turnstile is not supported in Mainland China”라 밝히므로, 국내 옵션이 없습니다(위 페이지 참조). |
| 그것이 유발하는 것 | 해외에서 평가되는 신호는 PIPL이 규율하는 개인정보의 국경 간 제공입니다 — 고지·별도 동의·이전 메커니즘, 그리고 귀사가 핵심정보인프라 운영자나 대량 취급자가 되면 국내 저장과 함께. |
| 중국에서 닿기 | 신뢰성 없음: 본토 안에서의 측정에서, Cloudflare의 Turnstile 제품 페이지가 세 번의 런 어느 것에서도 60초 안에 로드를 마치지 못했습니다(방법 아래). |
프라이버시 우선 프레이밍은 무엇을 수집하느냐이지 어디서 도느냐가 아니다
Turnstile은 전통적 CAPTCHA보다 더 적게 요구합니다. Cloudflare 자신의 말로 그것은 *“client-side security challenges … to distinguish human visitors from automated traffic,“*를, *“proof-of-work (computational puzzles), proof-of-space, probing for web APIs, and various other challenges for detecting browser-quirks and human behavior,“*를 써서 수행하고, 그것은 *“processes only the data strictly necessary to provide this security function”*이고 “does not access, store, or transmit user communications, form entries, or other page inputs.”
그것은 진정으로 더 작은 데이터 발자국입니다 — 하지만 그 점검 하나하나가 여전히 방문자에게서 기기·브라우저 신호를 읽고, Cloudflare는 그것을 자사 네트워크에서 평가합니다. 무엇이 수집되는지를 최소화하는 것은 어디서 처리되는지를 바꾸지 않고, 본토 중국 방문자에게는 중국 법이 걸려 있는 것이 두 번째 질문입니다.
Cloudflare 자사 문서상, Turnstile은 본토 밖에서 돈다
Cloudflare는 China Network — 현지 파트너가 돌리는 본토 안 데이터센터 — 를 운영하지만, Turnstile은 그것이 거기 제공하는 제품이 아닙니다. Cloudflare 자사 China Network 문서는 “Turnstile is not supported in Mainland China”(위 페이지)라 평이하게 밝히고, Turnstile은 그 China Network 제품 목록에 나타나지 않습니다.
Cloudflare가 Turnstile에 국내 옵션을 제공하지 않으므로, 챌린지는 본토 밖 Cloudflare의 네트워크에서 제공되고 — 각 방문자의 신호는 거기서 평가됩니다. 그 처리를 중국 안에 유지하는 Cloudflare 설정이 없습니다(Cloudflare 문서로부터 21YunBox 추론). 그 단일 사실이 봇 탐지 위젯을 국경 간 데이터 질문으로 바꾸는 것입니다.
그것이 PIPL이 규율하는 국경 간 이전으로 만든다
신호가 본토 밖에서 평가되는 순간, 중국 개인정보 보호법은 중국 방문자에게 Turnstile을 배치하는 것을 개인정보의 국경 간 제공으로 다룹니다. 취급자 — Cloudflare가 아니라 Turnstile을 켜는 웹사이트 운영자 — 는 고지하고, 별도 동의를 받고, PIPL의 메커니즘 하나를 충족해야 합니다: CAC 안전성 평가, CAC 표준계약, 또는 인증.
노출은 CAPTCHA를 바꾸는 것이 아니라 볼륨과 역할에 따라 커집니다. CAC의 2024년 3월 국경 간 규칙 이후, 비핵심정보인프라 운영자가 한 역년에 10만 명 미만의 비민감 개인정보를 이전하면 평가·표준계약·인증에서 면제됩니다. 하지만 핵심정보인프라 운영자나 대량 취급자에, 중국에서 수집된 개인정보는 본토에 저장되어야 하고(사이버보안법 제39조(구 제37조); PIPL 제40조) — Cloudflare가 Turnstile을 본토에서 지원하지 않으므로, 그것을 충족한다는 것은 사람 인증 단계와 그 레코드를 중국 안에 귀사 스스로 세운다는 뜻이고, 그것이 ICP 비안을 켜는 행위입니다.
전달도 흔들린다 — 이차 문제
도달 가능성은 여기서 헤드라인이 아니라 이차 쟁점입니다. Cloudflare의 Turnstile 제품 페이지(cloudflare.com/products/turnstile)를 2026-08-28 본토 안 탐침(알리바바 클라우드 cn-zhangjiakou)에서 요청했습니다: 첫 바이트는 빨리 — 대략 0.71.3초 — 도착했지만, 세 번의 런 어느 것도 60초 안에 로드를 마치지 못했고, 매번 710개의 서브리소스가 매달린 채 남았습니다. 이것은 데이터센터 회선이므로 최악이 아니라 하한이고, 위젯 엔드포인트 자체가 아니라 제품 페이지의 전달을 측정합니다. 스크립트가 결코 로드를 마치지 못하는 인증 단계는 버튼이 결코 활성화되지 않는 단계입니다 — 하지만 위 국경 간 질문은 위젯이 완벽히 로드될 때조차 성립합니다.
이는 판정이 아니라 리스크 지도입니다. 귀사가 Turnstile을 중국에 돌릴 수 있는지, 어떻게 돌리는지는 귀사 데이터 볼륨, 역할, 그리고 귀사가 고르는 별도 동의·이전 메커니즘 경로로 갈립니다 — 그리고 “프라이버시 우선” CAPTCHA로 바꾸는 것은 신호가 어디서 처리되는지를 정하지 않습니다. 법률 자문과 확인할 가치가 있습니다.
21YunBox가 들어맞는 곳 — 마이그레이션이 아니라 컴플라이언스 오버레이
귀사는 스택과 봇 방어 전략을 유지합니다. 저희는 Cloudflare가 본토에서 Turnstile에 제공하지 않는 조각을 더합니다: 중국 안에서 도달 가능하고 ICP 비안된 사람 인증·전달 경로, 귀사 기존 origin 앞단에 두어 — 재구축도, 두 번째 코드베이스도 없이. 저희 중국 팀은 Turnstile(또는 어떤 봇 탐지든) 배치의 국경 간·데이터 레지던시 노출을 귀사 법인·데이터 볼륨에 비추어 매핑하고, 규정에 맞는 중국 존재가 요구하는 국내 인증·저장을 세웁니다.
함께 읽기:
자주 묻는 질문
Turnstile은 프라이버시 친화 CAPTCHA 아닌가요 — 그게 중국 데이터 규칙 밖에 두지 않나요?
그 자체로는 아닙니다. Turnstile은 전통적 CAPTCHA보다 더 적게 수집합니다 — Cloudflare는 그것이 "processes only the data strictly necessary"이고 폼 입력이나 페이지 입력을 읽지 않는다 합니다. 하지만 그것은 여전히 사람과 봇을 가르려고 기기·브라우저 신호를 읽고, Cloudflare의 네트워크에서 평가합니다. PIPL의 국경 간 규칙은 얼마나 수집하느냐가 아니라 개인정보가 본토를 떠나느냐에 걸려 있으므로, 더 작은 데이터 발자국은 위험을 낮추지만 국경 간 질문을 없애지 않습니다. 이것을 전면 금지가 아니라 귀사 데이터 볼륨과 역할에 대해 법률 자문과 평가할 리스크로 다루십시오.
Cloudflare의 China Network가 Turnstile을 중국 본토 안에서 돌게 하나요?
아니요. Cloudflare 자사 China Network 문서는 "Turnstile is not supported in Mainland China"라 밝히고, Turnstile은 China Network가 그 국내(JD Cloud 운영) 데이터센터에서 제공하는 제품 목록에 없습니다. 그러니 Turnstile의 처리를 본토 안에 유지하는 Cloudflare 구성이 없습니다 — 챌린지는 본토 밖 Cloudflare의 네트워크에서 제공되고 신호는 거기서 평가됩니다. 그것이 전달이 신뢰성 없는 이유이기도 합니다: 본토 안에서의 저희 측정에서, 제품 페이지가 로드를 마치지 못했습니다.
21YunBox가 중국에서 Cloudflare Turnstile을 도울 수 있나요?
예. 저희 중국 팀은 Turnstile(또는 어떤 봇 탐지든) 배치의 국경 간·데이터 레지던시 노출을 귀사 데이터 볼륨과 역할에 대해 평가하고, 본토 안에서 도달 가능하고 ICP 비안된 사람 인증·전달 경로 — Cloudflare가 Turnstile에 제공하지 않는 국내 옵션 — 를 세울 수 있습니다. 문의하기 주시면 귀사의 구체적 사례를 짚겠습니다.
