보안 인증서(SSL)가 뭔가요?자물쇠·주의 요함 경고와 http·https 차이

보안 인증서(SSL)는 홈페이지와 방문자 사이에 오가는 내용을 잠가서 보내고, 이 주소가 진짜 그 홈페이지가 맞다고 확인해 주는 전자 증명서입니다. 인증서가 붙은 홈페이지는 주소가 https로 시작하고 주소창에 자물쇠나 '연결이 안전함' 표시가 뜹니다. 인증서가 없으면 같은 자리에 '주의 요함', '안전하지 않음' 경고가 뜨고, 기간이 지나면 화면 전체를 가리는 경고가 뜹니다.

엽서와 봉투로 비유하면

http로 보내는 내용은 엽서와 같습니다. 집배원이든 중간에 지나는 누구든 적힌 글을 그대로 읽을 수 있습니다. https로 보내는 내용은 봉인된 봉투에 담긴 편지입니다. 중간에 누가 봉투를 가로채도 열쇠가 없으면 안의 글을 읽을 수 없습니다. 여기서 http는 홈페이지 내용을 주고받는 약속(규칙)의 이름이고, 끝에 붙은 s는 '안전하게(Secure)'라는 뜻입니다.

봉투에는 보낸 곳 도장도 찍혀 있습니다. 인증서는 믿을 수 있는 발급 기관이 "이 주소의 주인이 맞다"고 확인해 찍어 준 도장입니다. 그래서 방문자의 휴대폰은 가짜 홈페이지가 진짜인 척하는 것을 알아챌 수 있습니다. 예를 들어 카페 공용 와이파이로 상담 신청서에 이름과 전화번호를 적어 보낼 때, http라면 같은 와이파이에 붙은 누군가가 그 내용을 엿볼 수 있지만 https라면 알아볼 수 없는 글자로만 보입니다.

SSL·TLS·HTTPS·인증서, 이름이 넷인 이유

제작사나 호스팅 안내문에는 비슷한 말이 섞여 나옵니다. 넷은 '주고받는 내용을 잠가 보낸다'는 한 가지 일을 이루는 서로 다른 부분의 이름이라, 무엇이 무엇을 맡는지만 알면 헷갈리지 않습니다.

그래서 "SSL 인증서를 설치했다", "TLS 인증서를 갱신했다", "HTTPS를 적용했다"는 말은 사장님 입장에서는 모두 같은 일입니다. 견적서나 안내문에서 이 중 어떤 이름이 보이든 '주소창 자물쇠가 뜨게 해 주는 것'으로 읽으시면 됩니다.

주소창 경고, 문구별로 뜻이 다릅니다

경고는 한 가지가 아닙니다. 문구를 보면 원인이 어디인지 대략 알 수 있고, 제작사에 전할 말도 정해집니다. 아래 문구는 크롬을 기준으로 한 예이며, 쓰는 브라우저(크롬·사파리·삼성 인터넷·네이버 앱 등)와 버전에 따라 문구와 화면 구성은 바뀔 수 있습니다. 요즘 크롬은 자물쇠 대신 작은 조절 버튼 모양 아이콘을 보여 주는데, 눌러서 '연결이 안전함'이 나오면 정상입니다.

두 번째 경고가 가장 급합니다. 화면 전체를 가리기 때문에 방문자는 '고급'이나 '계속' 버튼을 일부러 찾아 눌러야 들어올 수 있고, 처음 온 손님은 그 수고를 하기보다 뒤로 가기를 누르기 쉽습니다. 이 경고를 봤다면 그날 바로 제작사에 화면을 캡처해 보내는 것이 순서입니다.

인증서가 없으면 생기는 일

인증서가 없어도 홈페이지는 열립니다. 문제는 열리기 전과 연 다음입니다. 브라우저는 설정에 따라 http 주소를 열기 전에 한 번 더 묻는 경고 화면을 띄우는 쪽으로 바뀌고 있고, 구글도 https를 검색 평가 요소 가운데 하나로 본다고 밝혀 왔습니다. 휴대폰의 위치 찾기, 일부 결제·지도 기능은 https 주소에서만 작동하기도 합니다.

예를 들어 입주 청소 업체를 찾는 분은 이사 날짜에 쫓기며 여러 곳을 빠르게 훑습니다. 팬텀디자인이 만든 클린넘버원은 이런 분이 오래 읽지 않아도 필요한 답을 얻고 곧바로 연락하도록 구성한 사이트입니다. 이런 사이트일수록 주소창 경고 하나가 흐름을 끊습니다. 손님은 따지지 않고 다음 업체로 넘어가기 때문입니다.

또 예를 들어 사무실 정기 청소를 맡길 곳을 고르는 회사 담당자는 회사 컴퓨터로 들어옵니다. 회사 보안 설정이 엄격하면 경고가 뜬 사이트를 아예 막기도 합니다. 샬롬클린처럼 읽다가 바로 문의를 남기게 만든 사이트라면, 문의를 남기는 칸이 있는 모든 페이지가 https인지가 곧 연락 창구가 열려 있는지와 같은 말입니다.

SSL이 지켜 주는 것과 못 지켜 주는 것

'보안'이라는 말에는 뜻이 둘 섞여 있습니다. 하나는 오가는 길의 보안으로, 방문자와 홈페이지 사이에서 내용이 새지 않게 하는 것입니다. 인증서가 맡는 일은 이쪽뿐입니다. 다른 하나는 건물 안의 보안으로, 서버와 관리자 계정이 뚫리지 않게 하고 자료가 사라져도 되살리는 일입니다. 이것은 인증서가 아니라 운영이 맡습니다.

• 인증서가 지켜 주는 것 — 신청서에 적은 이름·연락처, 로그인 비밀번호가 오가는 동안 엿보이지 않는 것, 가짜 주소를 알아채는 것
• 인증서와 관계없는 것 — 관리자 비밀번호가 쉬워서 뚫리는 일, 프로그램을 오래 고치지 않아 생기는 빈틈, 실수로 글을 지운 일

자물쇠가 떠 있어도 건물 안은 따로 챙겨야 합니다. 자료를 되살리는 방법은 홈페이지 백업은 왜 필요한가요?, 운영에서 누가 무엇을 맡는지는 홈페이지 유지보수, 어디까지 해 주나요? 글을 보시면 됩니다.

인증서 종류, 무엇을 고르면 되나요

인증서는 발급 기관이 무엇까지 확인했느냐에 따라 나뉩니다. 잠그는 힘은 셋이 같고, 다른 것은 확인 범위와 발급에 드는 시간입니다. 무료 인증서도 잠그는 힘은 유료와 똑같습니다.

거래처나 입점처가 서면으로 특정 종류를 요구한 경우가 아니라면 도메인 확인 인증서로 충분합니다. 비싼 인증서로 바꿔도 손님 휴대폰의 주소창 모양은 달라지지 않으니, 그 대신 자동 갱신이 제대로 되는지를 먼저 확인하시는 편이 얻는 것이 큽니다.

갱신이 필요한 이유

인증서에는 유효기간이 있습니다. 발급 기관이 "지금도 이 주소의 주인이 맞는지"를 주기적으로 다시 확인하고, 잠그는 열쇠도 새것으로 바꾸게 하려는 것입니다. 같은 열쇠를 오래 쓸수록 새어 나갔을 때 피해가 길어지기 때문에, 인증서를 쓸 수 있는 최대 기간은 단계적으로 짧아지는 쪽으로 정해지고 있습니다. 대신 열쇠가 자주 새것으로 바뀌어, 만에 하나 새어 나가도 쓸 수 있는 기간이 짧아집니다. 바뀌는 일정과 만료일 보는 법은 SSL 인증서 유효기간 단축 — 내 홈페이지 만료일·자동 갱신 확인법에 따로 적어 두었습니다.

감을 잡기 위해 예시로 계산해 보면 이렇습니다. 인증서 한 장을 90일 쓴다면 1년 365일 동안 네 번 넘게 새로 받아야 합니다. 한 번 갱신에 사람이 들어가 10분이 걸린다 해도, 홈페이지가 세 개면 1년에 열두 번 넘게 날짜를 챙겨야 하고 그 시간만 두 시간이 넘습니다. 최대 기간이 47일로 줄어드는 2029년부터는 같은 계산으로 1년에 일곱 번 넘게 새로 받아야 합니다. 그래서 요즘은 사람이 기억해서 바꾸는 대신, 서버가 만료 전에 스스로 새 인증서를 받아 붙이는 자동 갱신이 기본입니다.

자주 하는 실수 세 가지와 바로잡는 법

인증서를 설치하고도 경고가 뜨는 경우는 대개 아래 세 가지 중 하나입니다. 모두 홈페이지를 만든 뒤 무언가를 바꿨을 때 생깁니다.

1. 도메인 연결을 바꾼 뒤 자동 갱신이 멈춘 경우 — 도메인 관리 업체나 서버를 옮기면 자동 갱신이 새 서버에 다시 설정되지 않아 경고 없이 멈추는 경우가 있습니다. 바로잡는 법: 연결을 바꾼 날 만료일을 확인하고, 새 서버에서 갱신이 잡혔는지 담당자에게 물어 답을 받아 둡니다. 업체를 옮길 때의 전체 순서는 홈페이지 업체 변경 체크리스트에 있습니다.
2. www가 붙은 주소와 안 붙은 주소 중 하나만 된 경우 — 인증서에는 발급할 때 적어 넣은 주소만 해당되므로, 한쪽만 넣어 받으면 다른 쪽으로 들어온 손님에게 화면 전체 경고가 뜹니다. 바로잡는 법: 두 주소를 모두 넣어 발급하고, 한쪽으로 들어오면 다른 쪽으로 자동으로 넘어가게 합니다.
3. 예전 http 주소가 그대로 남은 경우 — 명함, 네이버 플레이스, 블로그 프로필에 http로 적어 둔 주소로 들어오면 경고를 보게 됩니다. 바로잡는 법: http로 들어와도 https로 자동으로 넘어가게 설정하고, 눈에 띄는 곳의 주소부터 https로 고칩니다.

세 가지 모두 처음 설치할 때가 아니라 그 뒤에 생긴다는 점이 같습니다. 도메인·서버·주소 표기를 바꾸는 날을 '인증서 확인하는 날'로 함께 정해 두면 대부분 미리 막을 수 있습니다.

팬텀디자인 구독에서는

팬텀디자인 홈페이지 구독(월 99,000원, VAT 별도, 제작비 0원, 24개월 약정)에는 보안 인증서(SSL)가 도메인 연결, 서버 운영과 함께 들어 있습니다. 사장님이 인증서를 따로 사지 않아도 됩니다.

앞에서 말한 '건물 안의 보안'에 해당하는 매일 자동 백업과 월 1회 무상 유지보수도 같은 구독에 포함됩니다. 포함 항목은 요금 안내에서 보실 수 있습니다.

내 홈페이지, 5분 점검 순서

휴대폰 하나로 대부분 지금 바로 해 볼 수 있습니다. 단계마다 '여기서 확인할 것'만 보시면 됩니다.

1. 주소창 보기 — 홈페이지를 열고 주소창 왼쪽 아이콘을 누릅니다. 여기서 확인할 것: '연결이 안전함' 또는 자물쇠가 나오는지.
2. 만료일 보기 — 같은 창에서 인증서 정보를 엽니다. 휴대폰 브라우저에 따라 인증서 정보가 보이지 않으면 PC 크롬에서 같은 아이콘을 눌러 보시면 됩니다(화면 구성은 바뀔 수 있습니다). 여기서 확인할 것: 만료일이 한 달 안쪽이면 자동 갱신이 되는지 제작사에 묻기.
3. http로 직접 쳐 보기 — 주소창에 http://로 시작하게 주소를 입력합니다. 여기서 확인할 것: 저절로 https로 바뀌는지.
4. www 있이·없이 둘 다 열기 — 여기서 확인할 것: 두 주소 모두 경고 없이 같은 화면이 나오는지.
5. 신청서 페이지 열기 — 문의·예약 칸이 있는 페이지에 글자를 하나 넣어 봅니다. 여기서 확인할 것: '안전하지 않음' 표시가 뜨지 않는지.

다섯 단계 중 하나라도 걸리면 그 화면을 캡처해 페이지 주소와 함께 제작사에 보내면 됩니다. 어느 단계에서 걸렸는지 적어 보내면 원인을 찾는 시간이 줄어듭니다.