📌 1. 상황 정리
2026년 6월 30일, Spring Boot 3.5의 무료(OSS) 보안 패치가 종료된다. 이후 선택지는 세 가지다.
- Spring Boot 4로 마이그레이션한다 — 무료, 대신 코드 수정 필요
- 유료 지원을 구매한다 — 3.5에 대한 보안 패치를 계속 받는다
- 아무것도 안 한다 — 새 CVE가 나와도 패치 없음
이 글은 두 번째 선택지, 유료 지원의 구체적인 내용을 정리한다. 누가 제공하고, 얼마이고, 어떻게 동작하는가.
📌 2. 유료 지원 제공자는 두 곳이다
2.1 Tanzu Spring (Broadcom/VMware) — 본가
Spring Boot를 만든 팀이 직접 제공하는 상용 지원이다. Spring의 모든 커미터가 Tanzu 팀 소속이므로, OSS 코드를 만든 사람이 직접 패치를 만든다.
지원 범위:
- Spring Boot, Spring Framework, Spring Security, Spring Data 등 50개 이상 Spring 프로젝트
- OpenJDK, Apache Tomcat, Apache HTTP Server까지 포함
- 24/7 글로벌 기술 지원 (Broadcom 지식베이스, 전문가 직접 상담)
추가 기능:
- Spring Enterprise Repository: OSS 종료 후 패치 버전을 별도 Maven 저장소로 제공
- Application Advisor: Spring 앱의 의존성·소스코드·설정을 자동으로 업그레이드해주는 도구
- Spring Health Assessment: 포트폴리오 전체의 의존성과 보안 이슈를 스캔
2.2 HeroDevs NES (Never-Ending Support) — 서드파티
Spring 오픈소스 커뮤니티 기여자들이 참여하는 서드파티 회사다. Spring 팀과는 별개 조직이지만, Spring 코드를 분석해서 자체적으로 보안 패치를 만들어 제공한다.
지원 범위:
- Spring Boot 1.5부터 3.5까지 전 버전
- Spring AI 1.0, 1.1 포함
- Boot가 관리하는 전체 의존성 트리(Spring Security, Spring Data 등) 포함
추가 기능:
- 드롭인 교체: 코드 변경 없이 Maven 저장소 URL만 바꾸면 패치된 라이브러리를 받을 수 있음
- SLA 기반 인시던트 대응: SOC 2, FedRAMP, PCI, HIPAA 컴플라이언스 지원
- 매출의 일부를 Spring 오픈소스 메인테이너에게 환원
📌 3. 가격
Tanzu Spring
공개 가격이 없다. 영업팀에 문의해야 견적을 받을 수 있다.
알려진 참고 정보:
- Azure Spring Apps Enterprise 플랜 기준으로 vCPU당 시간당 $0.05의 Tanzu 라이선스 비용이 부과된다
- 단독 구독(Tanzu Spring Runtime) 가격은 비공개이며, 앱 수·코어 수·지원 등급에 따라 달라진다
- 업계 추정치로는 연간 수천만 원 ~ 수억 원 규모 (기업 규모에 따라 크게 차이)
- Tanzu Application Service(Cloud Foundry 기반 PaaS) 사용 기업은 추가 비용 없이 포함
핵심: 개인 개발자나 소규모 팀이 접근할 수 있는 가격대가 아니다. 기업용 구독이다.
HeroDevs NES
역시 공개 가격이 없다. "Contact Sales"를 통해 맞춤 견적을 받아야 한다.
알려진 참고 정보:
- 사용 중인 Spring 프로젝트 목록 기반으로 커스터마이징된 패키지를 제공한다
- 불필요한 프로젝트를 제외하여 비용을 줄일 수 있다
- Tanzu보다는 저렴하다는 것이 업계 평가이나, 구체적 금액은 비공개
- AngularJS, Vue 2, Drupal 7 등 다른 EOL 프레임워크와 번들로 구매 가능
핵심: Tanzu보다는 접근성이 높지만, 역시 기업 대상이다. 개인 개발자에게는 현실적이지 않다.
📌 4. 지원 기간
| 무료 OSS | 2024.11 ~ 2026.06 (약 19개월) |
| Tanzu Spring | 2026.07 ~ 최대 2031년 (메이저 마지막 마이너에 최대 5년 추가) |
| HeroDevs NES | 2026.07 ~ 무기한 ("Never-Ending"이 이름인 이유) |
Tanzu는 Spring Boot 3.5가 3.x 메이저의 마지막 마이너 버전이므로, 기존 OSS 지원 기간에 5년을 추가한 엔터프라이즈 지원을 제공한다. 즉 최대 2031년경까지 패치를 받을 수 있다.
HeroDevs는 이름 그대로 "끝나지 않는 지원"을 표방한다. Spring Boot 1.5(2019년 EOL)도 아직 지원하고 있으므로, 실질적으로 무기한이다.
📌 5. 보안 패치 적용 방식
두 제공자 모두 Maven/Gradle 저장소를 바꾸는 것이 핵심이다. 코드를 고칠 필요가 없다.
Tanzu Spring — Spring Enterprise Repository
EOL 이후 패치 버전은 Maven Central이 아닌 Tanzu 전용 저장소에 배포된다.
<!-- build.gradle.kts 또는 pom.xml에 저장소 추가 -->
<repositories>
<repository>
<id>spring-enterprise</id>
<url>https://repo.spring.io/enterprise</url> <!-- Tanzu 구독 인증 필요 -->
</repository>
</repositories>Tanzu 구독 계정으로 인증하면, 3.5.14, 3.5.15 같은 패치 버전을 계속 받을 수 있다. 기존 코드의 spring-boot-starter-parent 버전만 올리면 된다.
HeroDevs NES — HeroDevs Registry
HeroDevs는 자체 Maven 저장소를 운영한다. NES 토큰으로 인증한다.
<!-- Maven settings.xml -->
<servers>
<server>
<id>herodevs-nes-registry</id>
<username>any_text_here_not_used</username>
<password>YOUR_NES_ACCESS_TOKEN</password>
</server>
</servers>
<!-- pom.xml -->
<repositories>
<repository>
<id>herodevs-nes-registry</id>
<url>https://registry.nes.herodevs.com/maven</url>
</repository>
</repositories>
<parent>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-parent</artifactId>
<!-- 버전 형식: [마지막OSS]-spring-boot-[NES버전] -->
<version>3.5.13-spring-boot-3.5.15</version>
</parent>Gradle도 동일한 구조다:
// build.gradle
repositories {
maven {
url = uri("${herodevs_nes_registry_url}")
credentials {
username = "${herodevs_nes_registry_user}"
password = "${herodevs_nes_registry_token}"
}
}
mavenCentral()
}
plugins {
id 'org.springframework.boot' version '3.5.13-spring-boot-3.5.15'
}두 방식 모두 공통점: 기존 코드를 한 줄도 수정하지 않는다. 의존성을 받아오는 저장소만 바뀐다. CI/CD 파이프라인에서 인증만 설정하면 기존 빌드 프로세스 그대로 동작한다.
📌 6. 두 유료 지원의 차이 정리
| 제공자 | Broadcom/VMware (Spring 본가) | 서드파티 (커뮤니티 기여자 기반) |
| 패치 제작자 | Spring 커미터 본인 | HeroDevs 자체 보안팀 |
| 가격 | 비공개 (기업 영업) | 비공개 (기업 영업, Tanzu보다 저렴 추정) |
| 최소 규모 | 기업 단위 | 프로젝트 단위 커스터마이징 가능 |
| 지원 기간 | 최대 5년 추가 (3.5 기준 ~2031) | 무기한 |
| 적용 방식 | Spring Enterprise Repository | HeroDevs Maven Registry |
| 코드 변경 | 없음 (저장소 URL만 추가) | 없음 (저장소 URL + 버전 형식 변경) |
| 추가 기능 | Application Advisor, Health Assessment | SOC 2/FedRAMP/PCI/HIPAA SLA |
| Spring AI 지원 | 미확인 | 1.0, 1.1 명시적 지원 |
| 컴플라이언스 | Broadcom 엔터프라이즈 인증 기반 | SLA 기반 인시던트 대응 |
📌 7. 누구에게 어떤 선택이 맞는가
Boot 4로 마이그레이션 (무료)
- 개인 개발자, 스타트업, 소규모 팀
- 신규 프로젝트이거나 코드베이스가 작은 경우
- 마이그레이션에 투입할 시간이 있는 경우
Tanzu Spring (유료 본가)
- 대기업, 금융권, 공공기관
- 수십~수백 개의 Spring 앱을 운영하는 조직
- Spring 커미터의 직접 패치와 24/7 지원이 필요한 경우
- 이미 Tanzu Application Service를 쓰고 있는 경우 (추가 비용 없음)
HeroDevs NES (유료 서드파티)
- 중견 기업, Spring AI를 포함해 패치가 필요한 경우
- Tanzu 구독보다 낮은 비용으로 보안 패치만 받고 싶은 경우
- Boot 4 마이그레이션까지 시간을 벌기 위한 "브릿지" 용도
- 다른 EOL 프레임워크(AngularJS, Vue 2 등)도 함께 지원받고 싶은 경우
📌 8. 실무자 관점의 핵심
유료 지원이 존재한다는 것 자체는 좋은 소식이다. 하지만 현실을 직시하면:
가격이 비공개라는 것은 비싸다는 뜻이다. "Contact Sales"를 거치는 B2B 구독은 개인이 결제할 수 있는 수준이 아니다. 개인 개발자나 소규모 팀에게 유료 지원은 사실상 선택지가 아니다.
결국 개인 개발자의 답은 하나다. Spring Boot 4로 올리는 것. 무료이고, Spring 팀이 활발하게 지원하는 버전이다.
유료 지원은 "Boot 4로 올리고 싶은데 당장 못 올리는 기업"을 위한 것이다. 수백 개의 마이크로서비스가 3.5에 묶여 있고, 마이그레이션에 6개월~1년이 걸리는 조직이 시간을 사는 용도다.
📌 9. 정리
| 6월 이후 Spring Boot 3.5를 무료로 쓸 수 있나? | 쓸 수 있다. 하지만 보안 패치가 없다. |
| 유료로 쓰면 패치가 나오나? | Tanzu 또는 HeroDevs 구독 시 계속 받는다. |
| 얼마인가? | 비공개. 기업 영업 기반이다. |
| 코드를 고쳐야 하나? | Maven 저장소 설정만 바꾸면 된다. 코드 변경 없다. |
| 개인 개발자도 살 수 있나? | 현실적으로 어렵다. Boot 4로 올리는 것이 답이다. |
| 언제까지 지원되나? | Tanzu는 ~2031년, HeroDevs는 무기한. |
한 줄 요약 👉 Spring Boot 3.5 유료 지원은 **"기업이 마이그레이션 시간을 사는 보험"**이다. 개인 개발자에게 진짜 답은 Boot 4 마이그레이션이다.
'Software > Maker(Spring & Python & node)' 카테고리의 다른 글
| Spring Boot 3.5 무료 지원 종료, Spring AI 팀이 지금 준비해야 하는 이유 (0) | 2026.04.13 |
|---|---|
| 2026년 전자정부프레임워크의 방향과 JSP의 운명: SI 개발자가 알아야 할 현실 (0) | 2026.04.10 |
| 분산 시스템 기반 대규모 트래픽 처리(WIL 5) (0) | 2026.04.10 |
| 백엔드 API의 응답이 느려 사용성에 악영향이 발생하는 상황에서 어떻게 대응하실 건가요? (0) | 2026.04.10 |
| AI 연구실: Gemma 4 31B 모델을 3070 환경에서 돌리는 법 (0) | 2026.04.10 |
