Auth0/Clerk 없이 Cloudflare Workers + Passkey(WebAuthn)로 인증 비용 $0 구축 가이드

서비스 성장의 부메랑: Auth SaaS 청구서 폭탄

스타트업과 개별 개발팀이 새로운 서비스를 출시할 때 가장 먼저 도입하는 것 중 하나가 Auth0, Clerk, Firebase Auth, Firebase Authentication과 같은 외부 인증 SaaS(Software as a Service)다.

비밀번호 암호화, 소셜 로그인(Google, Apple), MFA(다소소 인증)를 직접 구현하는 위험을 피하고 빠르게 프로토타입을 론칭하기에는 최고의 선택이다. 하지만 서비스가 성장하고 월간 활성 사용자(MAU)가 1만 명, 10만 명을 넘어서는 순간, Auth SaaS는 가장 무서운 **“클라우드 요금 폭탄”**으로 돌아온다.

[Auth SaaS 대중적 비용 구조 (2026년 기준)]
- Auth0: B2C Pro Plan 기본 $23/월 + MAU 1만 명 초과 시 사용자당 $0.07 (10만 MAU 시 월 $6,300+)
- Clerk: Pro Plan 기본 $25/월 + MAU 1만 명 초과 시 사용자당 $0.02 (10만 MAU 시 월 $1,800+)
- Firebase Auth: Phone Auth 및 SMS 인프라 건당 $0.01~$0.06 발생
---------------------------------------------------------------------
결과: 사용자 등록이 늘어날수록 유저당 마진이 깎이는 심각한 구조적 문제

더 심각한 문제는 사용자 로그인 시마다 외부 Auth SaaS 서버(미국 또는 동유럽 호스팅)를 왕복하느라 **100ms~300ms 이상의 네트워크 지연시간(RTT)**이 추가되어 애플리케이션의 초기 진입 속도가 느려진다는 점이다.

2026년 현대 웹 및 모바일 생태계는 지문/FaceID 기반의 Passkey (WebAuthn / FIDO2) 패스워드리스 인증을 표준으로 받아들였다. 그리고 Cloudflare Workers의 에지 서버리스 런타임과 **Web Crypto API (crypto.subtle)**를 조합하면, 외부 Auth SaaS에 단 1달러도 내지 않고 전 세계 5ms 미만의 지연시간과 인프라 비용 $0의 차세대 인증 시스템을 직접 구축할 수 있다.

이 글에서는 Auth SaaS의 과금 한계부터, Passkey(WebAuthn) 인증 파이프라인의 내부 작동 원리, Cloudflare Workers + KV + D1 + Web Crypto 연동 실전 코드, 그리고 보안 검증 모듈까지 완전 다룬다.

Auth SaaS vs Cloudflare Native Passkey 아키텍처 비교

Passkey (WebAuthn) 동작 원리: 챌린지 기반 공개키 암호학

Passkey는 사용자의 디바이스(iPhone, Android, Mac, Windows) 내의 보안 칩(Secure Enclave)을 활용한다. 서버는 비밀번호를 저장하는 대신, 유저의 **공개키(Public Key)**만을 데이터베이스(Cloudflare D1)에 보관한다.

+-----------------------------------------------------------------------------------+
| Passkey (WebAuthn) 로그인 흐름                                                      |
+-----------------------------------------------------------------------------------+

[사용자 (지문/FaceID)]      [Cloudflare Workers 에지]           [Cloudflare D1 DB]
         |                              |                                |
         |--- 1. 로그인 요청 ---------->|                                |
         |                              |--- 2. 렌덤 Challenge 생성 ---->| (Workers KV 보관)
         |<-- 3. Challenge 반환 --------|                                |
         |                              |                                |
  (보안칩에서 챌린지에 서명)               |                                |
         |                              |                                |
         |--- 4. 서명(Signature) 전달 ->|                                |
         |                              |--- 5. 저장된 공개키 조회 ------>|
         |                              |--- 6. Web Crypto 서명 검증     |
         |<-- 7. 인증 성공 (JWT 발급) ---|                                |

1. Challenge 발급: 서버가 무작위 난수 챌린지(Challenge)를 생성하고 2분간 유효하도록 Workers KV에 저장한다.
2. 디바이스 서명: 사용자가 지문이나 FaceID로 본인 확인을 마치면 디바이스의 개인키(Private Key)로 챌린지에 서명한다.
3. Web Crypto 서명 검증: 서버는 D1에 저장된 유저의 공개키로 해당 서명이 유효한지 crypto.subtle.verify()로 검증한다.
4. JWT 세션 발급: 검증이 성공하면 HTTP-Only Cookie 또는 Bearer JWT 토큰을 발급한다.

이 모든 과정에서 네트워크를 통과하는 비밀번호나 민감한 정보가 전혀 없다.

1단계: 스토리지 설계 (Cloudflare D1 + Workers KV)

Passkey 인증을 위해 2개의 스토리지 레벨을 사용한다.

• Workers KV: 2분 뒤 자동 만료(TTL)되어야 하는 일회성 로그인 챌린지 보관용 (초고속 읽기/쓰기)
• Cloudflare D1 (SQLite): 유저 계정 정보 및 Passkey 공개키(Credential ID, Public Key, Sign Counter) 영구 보관용

D1 데이터베이스 스키마 (schema.sql)

-- D1 Database Schema: schema.sql

-- 유저 테이블
CREATE TABLE IF NOT EXISTS users (
    id TEXT PRIMARY KEY,
    email TEXT NOT NULL UNIQUE,
    name TEXT NOT NULL,
    created_at INTEGER NOT NULL
);

-- Passkey 자격증명(Credentials) 테이블
CREATE TABLE IF NOT EXISTS passkey_credentials (
    id TEXT PRIMARY KEY,               -- Credential ID (Base64URL)
    user_id TEXT NOT NULL,
    public_key TEXT NOT NULL,          -- COSE / WebCrypto 호환 공개키 (Base64)
    counter INTEGER NOT NULL DEFAULT 0,-- 클론 공격 방지용 서명 카운터
    transports TEXT,                   -- 'internal', 'hybrid', 'ble' 등
    created_at INTEGER NOT NULL,
    FOREIGN KEY (user_id) REFERENCES users(id) ON DELETE CASCADE
);

CREATE INDEX IF NOT EXISTS idx_credentials_user_id ON passkey_credentials(user_id);

wrangler.jsonc 바인딩 추가:

// wrangler.jsonc
{
  "$schema": "node_modules/wrangler/config-schema.json",
  "name": "edge-passkey-auth",
  "main": "src/index.ts",
  "compatibility_date": "2026-01-01",
  "compatibility_flags": ["nodejs_compat"],

  // 1. 챌린지 임시 보관용 KV
  "kv_namespaces": [
    {
      "binding": "AUTH_KV",
      "id": "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
    }
  ],

  // 2. 유저 및 공개키 영구 보관용 D1
  "d1_databases": [
    {
      "binding": "DB",
      "database_name": "passkey_db",
      "database_id": "yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy"
    }
  ]
}

2단계: Web Crypto API 및 Passkey 백엔드 구현 (Hono.js)

SimpleWebAuthn 커뮤니티 표준 라이브러리와 Cloudflare의 Native crypto.subtle을 결합하여 경량 백엔드를 작성한다.

패키지 설치

npm install hono @simplewebauthn/server jose

서버리스 인증 API 서버 (src/index.ts)

// src/index.ts
import { Hono } from "hono";
import { cors } from "hono/cors";
import {
  generateRegistrationOptions,
  verifyRegistrationResponse,
  generateAuthenticationOptions,
  verifyAuthenticationResponse,
} from "@simplewebauthn/server";
import { SignJWT, jwtVerify } from "jose";

type Env = {
  Bindings: {
    AUTH_KV: KVNamespace;
    DB: D1Database;
    JWT_SECRET: string;
  };
};

const app = new Hono<Env>();

app.use("*", cors({ origin: "*", credentials: true }));

const RP_NAME = "EffiDev App";
const RP_ID = "effidev.dev"; // 실제 가동 도메인
const ORIGIN = `https://${RP_ID}`;

// -------------------------------------------------------------------
// 1. Passkey 등록 (회원가입/기기 추가) - Step 1: 챌린지 생성
// -------------------------------------------------------------------
app.post("/api/auth/register/options", async (c) => {
  const { email, name } = await c.req.json();

  // D1에서 유저 조회 또는 임시 생성
  let user = await c.env.DB.prepare("SELECT * FROM users WHERE email = ?").bind(email).first();
  const userId = user ? (user.id as string) : crypto.randomUUID();

  if (!user) {
    await c.env.DB.prepare(
      "INSERT INTO users (id, email, name, created_at) VALUES (?, ?, ?, ?)"
    ).bind(userId, email, name, Date.now()).run();
  }

  // 기존 등록된 Passkey 조회
  const credentials = await c.env.DB.prepare(
    "SELECT id FROM passkey_credentials WHERE user_id = ?"
  ).bind(userId).all();

  const excludeCredentials = credentials.results.map((cred) => ({
    id: cred.id as string,
    transports: ["internal" as const, "hybrid" as const],
  }));

  // WebAuthn 등록 옵션 생성
  const options = await generateRegistrationOptions({
    rpName: RP_NAME,
    rpID: RP_ID,
    userID: new TextEncoder().encode(userId),
    userName: email,
    userDisplayName: name,
    attestationType: "none",
    excludeCredentials,
    authenticatorSelection: {
      residentKey: "required",
      userVerification: "preferred",
    },
  });

  // KV에 챌린지 저장 (TTL: 2분)
  await c.env.AUTH_KV.put(`reg_challenge:${userId}`, options.challenge, { expirationTtl: 120 });

  return c.json({ options, userId });
});

// -------------------------------------------------------------------
// 2. Passkey 등록 - Step 2: 디바이스 서명 검증 및 공개키 D1 저장
// -------------------------------------------------------------------
app.post("/api/auth/register/verify", async (c) => {
  const { userId, response } = await c.req.json();

  const expectedChallenge = await c.env.AUTH_KV.get(`reg_challenge:${userId}`);
  if (!expectedChallenge) {
    return c.json({ error: "Challenge expired or invalid" }, 400);
  }

  // 챌린지 즉시 폐기
  await c.env.AUTH_KV.delete(`reg_challenge:${userId}`);

  const verification = await verifyRegistrationResponse({
    response,
    expectedChallenge,
    expectedOrigin: ORIGIN,
    expectedRPID: RP_ID,
  });

  if (!verification.verified || !verification.registrationInfo) {
    return c.json({ error: "Registration verification failed" }, 400);
  }

  const { credential } = verification.registrationInfo;

  // D1에 공개키 저장 (Base64 인코딩)
  await c.env.DB.prepare(
    `INSERT INTO passkey_credentials (id, user_id, public_key, counter, created_at)
     VALUES (?, ?, ?, ?, ?)`
  ).bind(
    credential.id,
    userId,
    Buffer.from(credential.publicKey).toString("base64"),
    credential.counter,
    Date.now()
  ).run();

  return c.json({ success: true, message: "Passkey registered successfully" });
});

// -------------------------------------------------------------------
// 3. Passkey 로그인 - Step 1: 챌린지 발급
// -------------------------------------------------------------------
app.post("/api/auth/login/options", async (c) => {
  const options = await generateAuthenticationOptions({
    rpID: RP_ID,
    userVerification: "preferred",
  });

  const sessionChallengeId = crypto.randomUUID();
  await c.env.AUTH_KV.put(`auth_challenge:${sessionChallengeId}`, options.challenge, { expirationTtl: 120 });

  return c.json({ options, sessionChallengeId });
});

// -------------------------------------------------------------------
// 4. Passkey 로그인 - Step 2: 서명 검증 및 초고속 JWT 발급
// -------------------------------------------------------------------
app.post("/api/auth/login/verify", async (c) => {
  const { sessionChallengeId, response } = await c.req.json();

  const expectedChallenge = await c.env.AUTH_KV.get(`auth_challenge:${sessionChallengeId}`);
  if (!expectedChallenge) {
    return c.json({ error: "Challenge expired" }, 400);
  }
  await c.env.AUTH_KV.delete(`auth_challenge:${sessionChallengeId}`);

  // D1에서 저장된 Passkey 자격증명 조회
  const credRecord = await c.env.DB.prepare(
    "SELECT * FROM passkey_credentials WHERE id = ?"
  ).bind(response.id).first();

  if (!credRecord) {
    return c.json({ error: "Passkey not found" }, 404);
  }

  const publicKey = new Uint8Array(Buffer.from(credRecord.public_key as string, "base64"));

  // 서명 검증
  const verification = await verifyAuthenticationResponse({
    response,
    expectedChallenge,
    expectedOrigin: ORIGIN,
    expectedRPID: RP_ID,
    credential: {
      id: credRecord.id as string,
      publicKey,
      counter: credRecord.counter as number,
    },
  });

  if (!verification.verified) {
    return c.json({ error: "Invalid signature" }, 401);
  }

  // 클론 공격 방지를 위한 Counter 업데이트
  await c.env.DB.prepare(
    "UPDATE passkey_credentials SET counter = ? WHERE id = ?"
  ).bind(verification.authenticationInfo.newCounter, credRecord.id).run();

  // 5ms 이내의 초고속 JWT 발급 (Web Crypto 연동 jose 사용)
  const secret = new TextEncoder().encode(c.env.JWT_SECRET || "fallback-secret-key-32-chars-min");
  const token = await new SignJWT({ userId: credRecord.user_id, role: "user" })
    .setProtectedHeader({ alg: "HS256" })
    .setIssuedAt()
    .setExpirationTime("7d")
    .sign(secret);

  return c.json({ success: true, token });
});

export default app;

3단계: 프론트엔드 (Web / Flutter) 연동

웹(Web) 브라우저 연동 코드

브라우저 표준 @simplewebauthn/browser 패키지를 활용하면 지문/FaceID 인증 팝업이 1줄로 호출된다.

import { startRegistration, startAuthentication } from "@simplewebauthn/browser";

// 1. Passkey 회원가입
async function registerPasskey(email, name) {
  const optRes = await fetch("/api/auth/register/options", {
    method: "POST",
    headers: { "Content-Type": "application/json" },
    body: JSON.stringify({ email, name }),
  });
  const { options, userId } = await optRes.json();

  // 브라우저 지문/FaceID 생체인증 팝업 트리거
  const attResp = await startRegistration(options);

  const verifyRes = await fetch("/api/auth/register/verify", {
    method: "POST",
    headers: { "Content-Type": "application/json" },
    body: JSON.stringify({ userId, response: attResp }),
  });

  return await verifyRes.json();
}

// 2. Passkey 1초 간편 로그인
async function loginWithPasskey() {
  const optRes = await fetch("/api/auth/login/options", { method: "POST" });
  const { options, sessionChallengeId } = await optRes.json();

  // 생체 인증 진행
  const asseResp = await startAuthentication(options);

  const verifyRes = await fetch("/api/auth/login/verify", {
    method: "POST",
    headers: { "Content-Type": "application/json" },
    body: JSON.stringify({ sessionChallengeId, response: asseResp }),
  });

  const { token } = await verifyRes.json();
  localStorage.setItem("access_token", token);
}

벤치마크 및 비용 절감 리포트

10만 MAU(월간 활성 사용자)를 보유한 모바일/웹 서비스 기준, 전통적 Auth0/Clerk SaaS 대비 Cloudflare Native Passkey 시스템의 비용 및 성능 지표 비교 결과다.

비용 및 성능 비교표

Cloudflare Workers의 무료 요금제(하루 10만 건 요청) 및 Paid 요금제($5/월 포함 1,000만 건)를 활용하면, 월 6,000달러(한화 약 800만 원) 이상 발생하는 Auth SaaS 비용을 100% 절감할 수 있다.

결론: 2026년 독립적인 서버리스 보안 아키텍처

외부 Auth SaaS는 초기 시제품 개발 시 유용하지만, 서비스가 본 궤도에 오르는 순간 기업의 마진을 조이는 거대한 비용 부담이 된다.

Cloudflare Workers와 **Passkey(WebAuthn)**의 조합은 다음과 같은 차세대 보안 이점을 선사한다:

1. 비용 $0 파이프라인: MAU 증가에 따른 가파른 SaaS 수수료 폭탄 완전 제거
2. 5ms 미만의 초고속 응답: 외부 서버 왕복 없는 전 세계 300+ 에지 데이터 센터 직접 검증
3. 완벽한 보안성: 비밀번호 자체가 존재하지 않으며, Web Crypto API와 보안 칩 기반의 래스 공격 완전 방어
4. 데이터 소유권 확보: 사용자 계정 및 공개키 데이터가 SQLite D1에 안전하게 보관되어 벤더 락인 방지

외부 인증 서비스에 다달이 청구서를 지불하는 대신, Cloudflare 에지 네이티브 Passkey 인증 파이프라인을 구축하여 최고 수준의 UX와 인프라 효율성을 동시에 달성해보자.

관련 글: Drizzle ORM + Cloudflare D1: 번들 99% 절감 에지 SQLite 아키텍처에서 에지 데이터베이스 스키마 구축 가이드도 함께 확인할 수 있다.