Anthropic OAuth 정책 변경, TokFresh는 어떻게 대응했나
Steve Kang · 2026년 3월 23일
무슨 일이 있었나
2026년 3월 17일, Anthropic은 OAuth로 인증된 요청을 Claude API에서 검증하는 방식을 변경했습니다. 세부 사항이 공개 문서화되진 않았지만, 실질적인 영향은 분명했습니다. 예전에는 문제없이 인증되던 요청들이 형태에 따라 거부되거나 플래그가 붙기 시작했습니다.
TokFresh는 설계상 API 키를 다루지 않고 OAuth에만 의존합니다. Anthropic이 OAuth 트래픽을 검증하는 방식이 조금이라도 바뀌면, TokFresh의 핑이 제대로 도착하는지에 직접 영향을 미칩니다.
어떤 영향이 있었나
일정 기간 동안, 정책 변경 이전에 배포된 Worker들이 예전 방식으로는 더 이상 인증되지 않았습니다. 리셋 창을 트리거하는 핑이 아예 실패하거나, 받아들여지긴 했지만 카운트다운을 제대로 시작시키지 못했습니다. 이 시기에 예약된 리셋 창이 밀리거나 아예 발동하지 않는 것처럼 느끼셨다면 바로 이 때문입니다.
범위를 분명히 말씀드리면, 계정이나 데이터, Cloudflare Worker 배포 자체가 침해된 건 전혀 아닙니다. 이는 순전히 TokFresh Worker가 보내는 요청의 형태와 Anthropic API가 현재 기대하는 형태 사이의 인증 호환성 문제였습니다.
무엇을 바꿨나
이후 며칠간 Anthropic의 업데이트된 검증 로직이 정확히 무엇을 기대하는지 파고들었고, 공식 Claude Code CLI가 요청을 어떻게 구성하는지와 비교하며 TokFresh의 Worker 템플릿을 조정했습니다. 이번 업데이트로 나간 변경 사항은 세 가지입니다.
모델 변경. 핑 요청은 기존에 claude-sonnet-4-20250514를 사용했습니다. 이를 claude-haiku-4-5로 옮겼습니다. 핑은 큰 모델이 필요 없고, 세션 시계를 시작시키는 최소한의 유효한 요청으로만 인식되면 됩니다. Haiku는 더 빠르고 비용도 저렴하며, 실제 대화가 아니라 본질적으로 하트비트(heartbeat) 동작에 가까운 이 작업에 더 적합합니다.
헤더 업데이트. 이번 수정의 핵심입니다. Anthropic의 업데이트된 검증 로직이 프로그래밍 방식 요청에서 기대하는 claude-code 베타 플래그를 추가했습니다. user-agent 문자열도 공식 CLI가 보고하는 값과 일치하도록 claude-cli/2.1.80으로 업데이트했고, x-app 헤더와 빌링 헤더도 추가했습니다. 이 둘은 Anthropic이 정상적인 CLI 트래픽을 다른 자동화된 요청과 구분하는 방식의 일부로 보입니다.
max_tokens 증가. 핑의 max_tokens 값을 10에서 128로 늘렸습니다. 원래 값은 핑을 최대한 가볍게 유지하려고 조정된 것이었지만, 새 검증 로직은 요청이 유효하려면 최소값이 조금 더 커야 하는 것으로 보였습니다.
이 변경 사항들이 TokFresh가 하는 일의 개념 자체를 바꾸는 건 아닙니다. 여전히 5시간짜리 창을 시작시키는 최소한의 핑을 보냅니다. 달라진 건 그 요청의 정확한 형태이고, 이제 Anthropic API가 공식 Claude 도구에서 오는 요청과 동일한 방식으로 이 요청도 받아들입니다.
해야 할 일
3월 23일 이전에 TokFresh Worker를 배포하셨다면, 설정을 한 번 다시 실행하셔야 합니다. 재구성이 아닙니다. 스케줄, 계정 연결, 기존 옵션이 그대로 넘어갑니다. 설정을 다시 실행하는 건 업데이트된 템플릿으로 Worker를 재배포하는 것뿐이라, 새 헤더와 모델이 그대로 적용됩니다.
과정은 처음 설정하셨을 때와 동일한 세 단계입니다. 연결하고, 기존 스케줄을 확인하고, 배포합니다. 이미 저장된 설정이 있으니 1분도 채 걸리지 않을 겁니다.
3월 23일 이후에 배포하거나 재배포하셨다면, 이미 업데이트된 템플릿을 사용 중이니 별도로 하실 일은 없습니다.
앞으로의 계획
Anthropic의 OAuth 정책은 TokFresh가 통제할 수 있는 영역이 아니고, 이번이 마지막 변화도 아닐 겁니다. 이런 변경 사항이 조용히 묻히지 않도록 이메일 구독 옵션을 추가했습니다. 구독하시면 TokFresh 인증에 영향을 주는 변경 사항을 파악하는 즉시 알림을 받으실 수 있고, 업데이트가 필요한지와 방법에 대한 안내도 함께 받으실 수 있습니다.
몇 주 뒤에야 리셋 스케줄에 조용히 생긴 공백을 발견하시는 것보다는, 며칠 안에 TokFresh로부터 수정 소식을 듣는 편이 낫다고 생각합니다.