CocoaPods 서비스 종료와 패키지 매니저의 읽기 전용 전환 전략

핵심 요약

1. CocoaPods가 2026년 12월 2일부터 trunk 서버를 읽기 전용으로 전환하며, 신규 포드 및 버전 등록을 영구 중단한다.
2. 기존 10만 개 이상의 라이브러리는 GitHub Specs 저장소와 jsDelivr CDN을 통해 계속 제공되어 프로젝트 빌드 안정성을 유지한다.
3. 이번 전환은 인력 부족과 보안 취약점 노출에 따른 결정이며, 사용자는 수동으로 Swift Package Manager(SPM)로 마이그레이션해야 한다.

도입

CocoaPods가 2026년 말 서비스를 읽기 전용으로 전환한다. Apple의 Swift Package Manager(SPM)가 iOS 개발 표준 도구로 자리 잡은 데다, 기존 인프라의 치명적인 보안 취약점이 운영상 큰 부담이 되었기 때문이다. 서비스 종료 후에도 기존 라이브러리는 외부 인프라로 계속 제공되지만, 새로운 기능 추가나 버전 업데이트는 불가능하다.

상세 요약

CocoaPods의 읽기 전용 전환 계획

2026년 12월 2일, CocoaPods trunk 서버가 읽기 전용(Read-only) 모드로 전환된다. 이 시점부터 서버는 새로운 포드(Pod) 등록이나 기존 포드의 신규 버전 업로드를 허용하지 않는다. 다만 이미 게시된 10만 개 이상의 라이브러리는 그대로 유지된다. CocoaPods 팀은 Specs 인덱스를 GitHub 저장소에 두고 패키지 서빙을 jsDelivr CDN에 맡기는 구조를 설계했다. 덕분에 운영 서버가 중단되어도 기존 pod install 명령은 정상적으로 작동한다.

서비스 종료 배경

이번 결정은 세 가지 핵심 요인으로 이루어졌다.

• 인력 부족: 프로젝트 유지보수를 위한 운영 인력이 한계에 도달했다.
• SPM의 부상: Apple의 Swift Package Manager가 iOS 생태계의 주력 도구로 자리 잡으며 CocoaPods의 역할이 축소되었다.
• 보안 취약점: 2024년에 발견된 세 가지 치명적 취약점이 결정적이었다. 세션 하이재킹(CVSS 9.6)과 trunk 서버의 원격 코드 실행(RCE, CVSS 10.0) 취약점이 포함되어 서버 운영 자체가 보안 리스크가 되었다.

패키지 매니저 종료 사례 비교

패키지 레지스트리의 서비스 종료 방식은 다양하며, CocoaPods는 데이터 보존에 중점을 둔 사례다.

• Bower (2017): 레지스트리에 패키지 이름과 Git URL만 저장하는 구조였다. 신규 등록은 중단됐으나 개별 저장소의 Git 태그를 직접 참조하므로 기존 패키지 설치는 여전히 가능하다.
• JCenter (2021): JFrog는 3년간 읽기 전용 상태를 유지한 뒤, 2024년 8월부터 모든 요청을 Maven Central로 리다이렉트했다. 두 레지스트리가 동일한 아티팩트 좌표를 공유했기에 가능했다.
• Atom apm (2022): GitHub가 에디터를 아카이브하며 백엔드 서버도 함께 종료했다. 이로 인해 apm install 명령 자체가 작동을 멈췄다.

다양한 도구의 관리 방식은 패키지 관리 환경 종합 안내서에서 더 자세히 확인할 수 있다.

마이그레이션과 보안 패치의 한계

CocoaPods에서 SPM으로 전환하는 것은 단순한 도구 교체가 아니라 매니페스트 파일을 수동으로 재작성해야 하는 작업이다. 특히 React Native처럼 여전히 CocoaPods에 의존하는 프레임워크 사용자에게는 큰 과제가 될 수 있다. AI 생성 React Native 코드의 숨겨진 비용과 안정화 가이드에서도 의존성 관리의 중요성을 다룬 바 있다.

가장 큰 문제는 보안 패치다. 읽기 전용 전환 이후 특정 라이브러리에서 심각한 취약점이 발견되어도 공식 레지스트리로 수정 버전을 배포할 방법이 없다. 개발자는 해당 라이브러리를 포크(Fork)하여 소스 코드 주소를 직접 지정하는 방식으로 대응해야 한다. 이는 불변의 레지스트리 좌표 대신 가변적인 Git 저장소에 의존하게 됨을 의미하며, 공급망 보안 측면에서 새로운 관리 비용을 발생시킨다.

결론

패키지 매니저 종료는 단순한 서버 중단이 아니라 생태계 영속성을 고려한 정교한 설계가 필요한 작업이다. CocoaPods는 외부 인프라 의존 방식을 택해 설치 가능성은 유지했으나, 보안 패치 경로가 차단되는 문제는 개발자의 몫으로 남았다. 결국 모든 프로젝트가 SPM 같은 현대적 대안으로 전환해야 함을 보여준다.