Only secure origins are allowed

브라우저 콘솔에 Only secure origins are allowed가 표시되면 현재 페이지가 보안 컨텍스트로 판정되지 않아 요청한 브라우저 기능이 차단된 상태입니다. unsafely treat insecure origin as secure를 먼저 설정하지 말고, 실패한 API와 현재 Origin을 확인합니다.

오류 원문이 없거나 Mixed Content와 구분해야 한다면 HTTP 개발 주소에서 브라우저 기능이 실행되지 않을 때 확인할 항목을 먼저 확인합니다.

이 문서가 맞는 조건

다음 중 하나가 확인될 때 사용합니다.

• Service Worker, Geolocation, 알림, 카메라·마이크처럼 보안 컨텍스트가 필요한 기능을 HTTP 주소에서 실행했습니다.
• 브라우저 콘솔에 Only secure origins are allowed 또는 보안 컨텍스트가 필요하다는 메시지가 표시됩니다.
• window.isSecureContext 결과가 false입니다.

JavaScript 구문 오류, API 권한 거절, 인증서 경고는 같은 문제가 아닙니다. 콘솔에서 실제로 실패한 API 이름과 오류 원문을 함께 기록합니다.

현재 Origin과 판정을 확인합니다

브라우저 개발자 도구의 Console에서 다음 값을 확인합니다.

({  origin: location.origin,  protocol: location.protocol,  isSecureContext: window.isSecureContext,});

HTTPS로 열린 iframe이라도 상위 문서가 안전하지 않으면 해당 문서가 보안 컨텍스트로 인정되지 않을 수 있습니다. iframe을 사용하는 경우 최상위 문서부터 현재 문서까지의 프로토콜을 확인합니다.

운영 환경은 HTTPS로 해결합니다

원격 운영 주소의 해결책은 브라우저 예외가 아니라 HTTPS 제공입니다.

1. 대상 호스트 이름에 유효한 TLS 인증서를 적용합니다.
2. HTTP 요청을 같은 호스트의 HTTPS 주소로 이동시킵니다.
3. 페이지와 필요한 하위 자원을 HTTPS로 불러옵니다.
4. 같은 URL에서 window.isSecureContext가 true인지 확인합니다.
5. 실패했던 브라우저 기능을 다시 실행해 같은 오류가 사라졌는지 확인합니다.

인증서 오류가 표시되면 예외로 우회하지 말고 NET::ERR_CERT_DATE_INVALID 같은 실제 인증서 오류 원문부터 확인합니다.

unsafely-treat-insecure-origin-as-secure는 개발 테스트에만 사용합니다

Chrome은 개발자가 특정 HTTP Origin을 보안 Origin처럼 임시 취급해 기능을 시험할 수 있는 플래그와 명령행 옵션을 제공합니다. 이 설정은 인증·암호화를 추가하지 않으며 해당 HTTP 연결을 실제로 안전하게 만들지 않습니다.

사용 조건은 다음으로 제한합니다.

• HTTPS를 아직 적용하지 않은 내부 개발 Origin에서 기능 동작만 확인해야 합니다.
• 대상 스킴·호스트·포트를 정확히 알고 있습니다.
• 테스트용 브라우저 프로필에서 한시적으로 사용합니다.
• 테스트 뒤 예외를 제거하고 실제 HTTPS 환경에서 다시 검증합니다.

일반 방문자에게 Chrome 플래그를 바꾸라고 안내하거나, 여러 HTTP Origin을 한꺼번에 예외 처리하거나, 운영 배포의 완료 조건으로 사용하지 않습니다. Chrome for Developers도 이 방법을 개발자용으로 한정하고 사용자에게 사용을 지시하지 말라고 경고합니다.

수정 후 확인

1. 변경 전후의 Origin과 window.isSecureContext 값을 기록합니다.
2. 같은 브라우저·같은 기능에서 오류 원문이 재현되는지 확인합니다.
3. 카메라·위치처럼 별도 사용자 권한이 필요한 기능은 보안 컨텍스트 통과와 권한 허용을 구분합니다.
4. 테스트 플래그를 사용했다면 제거한 뒤 HTTPS 운영 주소에서 마지막으로 재검사합니다.