왜 지금은 대부분의 사이트가 SSL을 적용하나요?
예전에는 SSL 인증서가 유료였고 발급 절차도 까다로워, 로그인이나 결제가 필요한 사이트 정도만 적용하는 경우가 많았습니다. 하지만 2016년 Let's Encrypt가 등장해 누구나 무료로, 자동화된 절차로 SSL 인증서를 받을 수 있게 되면서 상황이 완전히 바뀌었습니다. 여기에 구글이 HTTPS 적용 여부를 검색 순위에 반영하기 시작하고, 크롬 등 주요 브라우저가 HTTPS가 아닌 사이트에 "안전하지 않음" 경고를 표시하면서, 지금은 개인 블로그부터 소규모 사업자 사이트까지 SSL 적용이 사실상 기본이 되었습니다.
내 사이트에는 어떤 방법이 맞을까요?
직접 서버를 운영하지 않고 호스팅사 서비스를 이용 중이라면 호스팅 관리자 화면의 무료 SSL 신청 버튼이 가장 간단합니다. 서버 설정 없이 도메인만 옮기고 싶다면 Cloudflare가 좋은 선택이고, 리눅스 서버를 직접 운영한다면 Certbot으로 세밀하게 제어할 수 있습니다. Cloudflare Pages, Netlify, Vercel 같은 정적 사이트 호스팅을 쓴다면 별도로 신경 쓸 것 없이 이미 자동으로 적용되어 있을 가능성이 높습니다.
네 가지 적용 방법 비교
| 방법 | 누구에게 맞나 | 갱신 | 주의할 점 |
|---|---|---|---|
| 호스팅 관리자 원클릭 | 서버를 직접 만지지 않는 일반 운영자 | 대개 호스팅사가 자동 처리 | 호스팅사 정책에 종속, 와일드카드 지원 여부 확인 |
| Cloudflare | 네임서버를 옮길 수 있고 서버 설정을 줄이고 싶은 경우 | 자동 | SSL 모드 선택이 중요(원본 서버 구간 암호화 여부가 달라짐) |
| Certbot | 리눅스 서버를 직접 운영하는 중급 이상 | 예약 작업으로 자동화해야 함 | 갱신 작업이 실제로 도는지 직접 검증 필요 |
| 정적·서버리스 호스팅 | Cloudflare Pages, Netlify, Vercel 등 사용자 | 자동 | 커스텀 도메인 DNS 연결 상태에 따라 발급 지연 가능 |
실제 사례: 인증서가 서비스를 흔든 순간들
사례 1. 브라우저가 HTTP에 '안전하지 않음'을 붙이다: 크롬 68 (정책의 사례)
2018년 2월 구글 보안 블로그는 크롬 보안 제품 관리자 에밀리 셰터가 쓴 글에서, 그해 7월 출시되는 크롬 68부터 모든 HTTP 사이트의 주소창에 '안전하지 않음(Not secure)'을 표시하겠다고 밝혔습니다. 같은 글은 그 시점에 이미 상위 100개 사이트 중 81곳이 기본적으로 HTTPS를 쓴다고 소개했습니다. 그전에도 로그인이나 결제 입력란이 있는 HTTP 페이지에는 경고가 붙고 있었고, 이 발표는 경고의 범위를 전면으로 넓힌 것입니다. 무료 인증서의 보급이 이런 정책을 가능하게 한 배경으로 흔히 설명됩니다. 비용이 걸림돌이 아니게 되면서 브라우저가 HTTPS를 사실상 기본값으로 요구할 수 있게 된 셈입니다. 배울 점은, 개인 블로그라도 HTTPS가 없으면 방문자가 가장 먼저 보는 곳에 경고가 붙는다는 것입니다.
사례 2. 한 번의 점검으로 300만 장이 대상이 된 일: Let's Encrypt의 2020년 CAA 오류 (발급기관의 사례)
2020년 2월 29일 Let's Encrypt는 자사 발급 소프트웨어의 도메인 소유권 점검 과정에서 오류를 발견했습니다. 도메인 소유자가 특정 발급기관만 허용하도록 DNS에 적어 두는 CAA 기록을, 발급 직전에 다시 확인해야 하는 경우에 확인하지 않은 경우가 있었던 것입니다. 이 규칙을 지키지 못한 인증서는 정책상 폐기해야 했고, 대상은 3,048,289장으로 집계되었습니다. 회사는 2020년 3월 4일까지 갱신하지 않으면 해당 인증서가 폐기되어 방문자에게 경고가 뜬다고 공지했습니다. 이후 갱신 현황 공지에서는 170만 장 이상이 교체·폐기되었고 100만 장 넘게는 아직 교체 여부가 확인되지 않았다고 밝혔습니다. 실제 잘못 발급된 사례는 많지 않을 것으로 보았지만, 규정은 규정이라 폐기를 진행했다고 전해집니다. 배울 점은 자동 갱신이 걸려 있는 사이트는 조용히 넘어갔지만, 갱신이 자동화되지 않은 사이트는 하루아침에 경고창을 맞을 수 있다는 것입니다. 발급기관 쪽 문제도 갱신 자동화로 대부분 흡수됩니다.
사례 3. 인증서는 멀쩡한데 옛 기기가 막힌 일: 2021년 루트 인증서 만료 (호환성의 사례)
Let's Encrypt 인증서는 오랫동안 'DST Root CA X3'라는 오래된 루트와 교차 서명으로 연결되어 구형 기기에서도 통했습니다. 이 루트가 2021년 9월 30일 만료되면서, 새 루트(ISRG Root X1)를 신뢰 목록에 갖지 못한 구형 단말에서는 접속 오류가 발생할 수 있다고 Let's Encrypt가 사전에 알렸습니다. 회사는 대부분의 방문자는 영향이 없고 새 루트를 신뢰하지 않는 구형 기기만 영향을 받는다고 설명했으며, 업데이트되지 않는 기기에서는 인증서 오류가 난다고 설명했습니다. 영향 범위는 자료마다 조금씩 달라 일부 호스팅사는 구형 안드로이드·iOS 버전을 기준으로 안내했고, Let's Encrypt는 안드로이드 7.1.1 미만 버전이 주로 거론된다고 설명했으나 정확한 버전 경계는 출처마다 서술이 달라 세부 판단은 공식 공지를 확인하는 것이 좋습니다. 배울 점은 '내 인증서가 유효한가'와 '모든 방문자의 기기가 이 인증서를 신뢰하는가'는 별개의 문제라는 것입니다. 방문자층에 오래된 기기가 많다면 이 점을 염두에 두어야 합니다.
적용 후 확인 목록
- 주소가 https로 열리는가: 브라우저에서 자물쇠를 눌러 발급기관과 만료일을 확인합니다.
- http 접속이 https로 넘어가는가: 두 주소가 따로 살아 있으면 방문자와 검색엔진에 중복 주소가 생길 수 있습니다.
- 혼합 콘텐츠가 없는가: 페이지는 https인데 이미지·스크립트가 http로 불러와지는 경우를 점검합니다.
- 갱신이 자동인가: Certbot이라면 갱신 명령을 시험 실행하는 옵션(
certbot renew --dry-run)으로 실제로 도는지 확인합니다. 설정을 바꾸는 명령이니 서버 환경을 이해한 상태에서 실행하세요. - 만료 알림을 받는가: 외부 모니터링이나 달력 알림 하나만 있어도 갱신 누락을 늦게 발견하는 일을 줄입니다.
- 점검 도구로 한 번 확인: SSL Labs 같은 무료 진단 도구로 체인 구성을 점검합니다.
도메인과 DNS 개념이 낯설다면 도메인 이름 이해하기와 DNS 레코드 종류 가이드를 먼저 보면 이 페이지가 쉬워집니다.
흔한 오해와 정정
- 오해: 자물쇠가 있으면 안전한 사이트다. 실제: 자물쇠는 통신 구간이 암호화되고 도메인 소유권이 확인되었다는 뜻이며, 운영자가 믿을 만한지는 알려 주지 않습니다. DV 인증서는 누구나 받을 수 있으므로 피싱 사이트도 자물쇠를 가질 수 있습니다. 자세한 대응은 피싱 예방 가이드를 참고하세요.
- 오해: 무료 인증서는 암호화가 약하다. 실제: 암호화 방식은 유료와 같은 TLS를 쓰며, 차이는 검증 수준과 보증·지원 같은 부가 요소입니다.
- 오해: 한 번 발급하면 끝이다. 실제: 인증서에는 유효기간이 있고 Let's Encrypt는 기본 90일입니다. 자동 갱신이 되고 있는지가 운영의 핵심입니다.
- 오해: Cloudflare를 쓰면 원본 서버까지 항상 암호화된다. 실제: SSL 모드에 따라 방문자와 Cloudflare 사이만 암호화되고 Cloudflare와 원본 서버 사이는 평문일 수 있습니다. 원본 서버에도 인증서가 있다면 Full(Strict)을 선택하는 것이 안전하다고 설명됩니다.
한계와 앞으로의 변화
무료 DV 인증서는 사업자 실재 여부 같은 기관 정보를 확인해 주지 않습니다. 또한 인증서만으로는 서버 취약점, 비밀번호 유출, 악성 스크립트 같은 문제가 해결되지 않습니다. 한편 인증서 유효기간은 업계 전반에서 짧아지는 추세입니다. Let's Encrypt는 2025년 12월 발표에서 기본 인증서 유효기간을 단계적으로 90일에서 45일로 줄이는 일정을 공개했는데, 2026년 5월 선택 프로필, 2027년 2월 64일, 2028년 2월 45일로 전환된다고 알려져 있습니다(최신 일정은 Let's Encrypt 공식 블로그에서 확인하세요). 이는 키 유출 시 피해 기간을 줄이려는 취지로, 수동 갱신으로 운영하던 사이트에는 자동화가 사실상 필수가 된다는 뜻입니다.
유의사항
이 페이지는 무료 SSL 인증서의 개념과 일반적인 적용 방법을 소개하는 교육용 콘텐츠입니다. 실제 서버 설정이나 명령어는 운영체제, 웹서버 종류, 호스팅사 환경에 따라 달라질 수 있으므로, 적용 전 Let's Encrypt·Certbot 공식 문서나 이용 중인 호스팅사의 최신 가이드를 함께 확인하시길 권장합니다.
자주 묻는 질문
무료 SSL과 유료 SSL은 보안 수준이 다른가요?
암호화 강도 자체는 거의 차이가 없습니다. 차이는 주로 검증 수준(DV·OV·EV)과 부가 서비스(보증금, 기술지원, 와일드카드 인증서 등)에 있습니다. 일반적인 개인·소규모 사업자 웹사이트라면 무료 DV 인증서로도 충분히 안전합니다.
SSL을 적용하면 사이트 속도가 느려지나요?
암호화·복호화 과정에서 아주 미세한 연산 비용이 있지만, 최신 서버와 브라우저 환경에서는 체감할 수 없는 수준입니다. 오히려 최신 통신 프로토콜(HTTP/2 등)은 HTTPS 환경에서만 사용할 수 있어, 실제로는 SSL 적용이 속도에 도움이 되는 경우도 많습니다.
인증서 갱신을 깜빡하면 어떻게 되나요?
인증서가 만료되면 방문자 브라우저에 강한 보안 경고가 뜨면서 사이트 접속 자체가 사실상 막히게 됩니다. 그래서 이 페이지의 방법 대부분이 자동 갱신을 함께 다루고 있으니, SSL을 적용할 때 갱신도 자동화되어 있는지 반드시 함께 확인하세요.
도메인 하나에 서브도메인이 여러 개인데 인증서 하나로 되나요?
와일드카드 인증서(*.example.com 형태)나 여러 도메인을 한 장에 담는 방식이 있습니다. 와일드카드 인증서는 일반적으로 DNS를 통한 소유권 확인이 필요하며, 호스팅사나 Cloudflare 같은 서비스는 서브도메인을 자동으로 처리해 주는 경우가 많으니 이용 중인 서비스 안내를 확인하세요.
HTTPS로 바꾸면 기존 검색 노출이 사라지나요?
주소가 http에서 https로 바뀌므로, 옛 주소에서 새 주소로 영구 이동(리다이렉트)이 설정되어 있지 않으면 중복 주소가 생기거나 일시적으로 순위가 흔들릴 수 있습니다. 리다이렉트와 사이트맵 주소 갱신을 함께 점검하는 것이 일반적인 권장입니다. 자세한 영향은 검색엔진 공식 안내를 확인하세요.
인증서 오류가 뜨는데 방문자에게 "계속 진행"을 누르라고 해도 되나요?
권하지 않습니다. 만료·도메인 불일치 같은 오류는 운영자 쪽에서 고쳐야 하며, 방문자가 경고를 무시하는 습관은 진짜 가로채기 공격 상황에서도 위험합니다. 먼저 만료일과 도메인 이름, 인증서 체인 상태를 점검하세요.
도메인을 새로 연결했는데 인증서가 바로 발급되지 않아요.
DNS 변경이 전 세계에 반영되는 데 시간이 걸리고, 발급기관은 도메인이 실제 서버를 가리키는지 확인한 뒤 발급합니다. DNS 설정이 맞는지 점검하고 잠시 기다린 뒤 다시 시도하세요. 관련 개념은 DNS 변경 가이드에서 볼 수 있습니다.
이어서 읽을 만한 가이드
인증서 자체의 구조는 SSL/TLS 인증서 가이드에서, 사이트를 어디에 올릴지 고민된다면 웹 호스팅 종류 가이드에서, 전송 속도와 보안 계층은 CDN 기초 가이드에서, 통신 규격의 변천은 HTTP 프로토콜 발전사에서 이어서 볼 수 있습니다.