먼저 구분할 두 문제

브라우저 쿠키는 웹사이트가 HTTP 요청 사이에 로그인이나 설정 같은 상태를 이어 가도록 돕습니다. 하지만 다른 사이트에 삽입된 위젯이나 결제·지도 서비스가 쿠키를 공유하면, 사이트 간 요청에서 상태가 언제 전송되는지와 임베디드 서비스의 상태가 어디까지 공유되는지가 별개의 문제가 됩니다.

SameSite 속성은 요청이 같은 사이트 맥락인지 교차 사이트 맥락인지에 따라 쿠키 전송을 제한하는 정책입니다. CHIPS(쿠키의 독립 분할 상태)는 임베디드 서비스가 최상위 사이트별로 분리된 쿠키 저장소를 선택적으로 사용하게 합니다. 하나는 전송 맥락 정책이고 다른 하나는 저장소 분할입니다. 같은 문제의 다른 이름이 아니며 함께 사용할 수 있습니다.

SameSite 요청 맥락 규칙과 최상위 사이트별 CHIPS 저장소 분할을 비교한 개념도

SameSite 값이 바꾸는 요청 맥락

IETF HTTP 작업그룹의 RFC6265bis 초안은 Strict, Lax, None을 구분해 쿠키의 SameSite 동작을 설명합니다. Strict는 교차 사이트 요청에서 전송을 더 제한하고, Lax는 일부 최상위 탐색 흐름을 허용하는 방식으로 기술됩니다. None은 교차 사이트 사용을 허용하도록 표시하는 경우에 쓰이며 Secure와 함께 설정해야 합니다. 실제 요청이 허용되는지는 브라우저의 구현과 요청 유형을 확인해야 합니다.

SameSite는 사이트 간 요청 위조(CSRF)에 대한 방어 심층화 수단이지 완전한 보안 경계가 아닙니다. 인증된 사용자를 대신해 수행되는 모든 작업을 막아 주지 않으며, 사이트 정의와 탐색·리디렉션·폼 요청의 차이를 무시해서도 안 됩니다. 서버는 별도의 CSRF 방어, 권한 확인, 안전한 상태 변경 설계를 계속 유지해야 합니다.

CHIPS가 임베디드 상태를 나누는 방식

Google Privacy Sandbox 문서는 Partitioned 속성을 지정하면 쿠키가 최상위 사이트별 파티션 안에 저장되는 CHIPS 동작을 설명합니다. 예를 들어 여러 뉴스 사이트에 삽입된 같은 댓글 위젯도 각 뉴스 사이트 맥락에서 별도 상태를 가질 수 있습니다. 한 최상위 사이트에서 만들어진 파티션 쿠키를 다른 사이트의 임베드에서 자동으로 공유하지 않는 것이 목적입니다.

문서의 예시는 Set-Cookie: __Host-example=123; Secure; Path=/; SameSite=None; Partitioned 형태입니다. 여기서 SameSite=None은 교차 사이트 임베드 요청에 쿠키가 포함될 수 있도록 하고, Partitioned는 상태를 최상위 사이트별로 나눕니다. Secure는 보안 연결을 요구합니다. 속성 하나가 빠지면 의도한 쿠키가 저장되지 않거나 전송되지 않을 수 있으므로 실제 응답 헤더와 브라우저 저장소를 함께 검사해야 합니다.

전문가 관점: CHIPS는 추적이나 CSRF의 만능 해결책이 아니다

CHIPS는 임베디드 서비스가 모든 사이트에 걸쳐 하나의 공유 쿠키를 읽는 대신, 사이트별 세션·설정을 유지하는 사용 사례를 지원합니다. 이는 교차 사이트 식별을 줄이는 방향의 저장 설계지만, 쿠키 값과 애플리케이션 데이터 자체를 자동으로 익명화하거나 보안 취약점을 고치지는 않습니다. 동일한 퍼스트파티 맥락에서의 행위나 서버 로그 등 다른 데이터 흐름도 별도로 고려해야 합니다.

또한 Partitioned만으로 CSRF 방어가 완성되지는 않습니다. SameSite와 CHIPS는 서로 다른 축이며, 인증·권한·요청 검증을 대체하지 않습니다. 어떤 파티션 키가 사용되는지와 서브도메인·사이트 경계가 기대와 일치하는지를 확인하고, 상태 변경 엔드포인트에는 별도 방어를 적용해야 합니다.

구현 전에 확인할 체크포인트

먼저 쿠키를 사용하는 기능이 최상위 사이트 간 공유 상태를 정말 필요로 하는지 정합니다. 사이트별로 분리되어야 하는 임베디드 기능이라면 CHIPS가 적합한지 검토하고, 서버가 올바른 Partitioned·Secure·SameSite 속성을 보내는지 확인합니다. 로그인, 리디렉션, 새 탭, 교차 사이트 폼과 임베디드 iframe 등 실제 경로를 여러 브라우저에서 시험합니다.

브라우저 지원과 기본 정책은 시간이 지나며 변할 수 있습니다. IETF 자료는 2025년 12월 공개된 RFC6265bis -22 작업 초안이며, 페이지에 표시된 만료일은 2026년 6월 4일입니다. 따라서 현재 확정 RFC라고 인용하지 말고 구현 시 Datatracker의 최신 상태와 각 목표 브라우저 문서를 다시 확인해야 합니다. Google CHIPS 문서의 지원 범위도 실제 배포 대상 브라우저에서 검증하세요.

출처