SSL 인증서가 만료되면 실제로 벌어지는 일

인증서가 만료되면 브라우저는 즉시 전체 화면 경고를 띄우고, 대부분의 방문자는 "뒤로 가기"를 누릅니다. 검색엔진도 HTTPS를 순위 신호 중 하나로 반영하고 있어, 만료 상태가 며칠만 지속돼도 신뢰도·트래픽 모두에 영향을 줍니다.

특히 무료 인증서(예: Let’s Encrypt 계열)는 유효기간이 90일로 짧아, 수동 갱신에 의존하면 갱신을 놓치는 사고가 실제로 자주 발생합니다.

자동 갱신 구조의 핵심: 만료 전 갱신 + 재시작

자동 갱신은 두 단계로 이뤄집니다.

1. 만료 30일 전부터 매일 갱신 시도 (인증기관 서버와 재검증)
2. 갱신 성공 시 웹서버 프로세스에 새 인증서를 적용(reload)

1번만 되고 2번이 빠지면 "인증서는 갱신됐지만 서버는 여전히 옛 인증서를 서비스하는" 상태가 됩니다. 갱신 스크립트에 서버 reload 명령이 포함되어 있는지 반드시 확인해야 합니다.

# certbot 자동 갱신 + 서버 reload 예시
certbot renew --quiet --deploy-hook "systemctl reload nginx"

자동 갱신 정상 동작 점검법

# 갱신 시뮬레이션 (실제 발급 없이 절차만 확인)
certbot renew --dry-run

# 현재 인증서 만료일 확인
echo | openssl s_client -servername example.com -connect example.com:443 2>/dev/null \
  | openssl x509 -noout -dates

운영 서버라면 위 확인을 월 1회 정기 점검 항목에 넣고, 크론(cron) 작업이 실제로 실행되고 있는지 로그로도 함께 확인합니다.

HTTP를 HTTPS로 강제 이동시키는 이유

인증서를 설치해도 http://로 접속하면 여전히 암호화되지 않은 연결이 열립니다. 강제 이동(301 리다이렉트)을 걸어야 모든 트래픽이 HTTPS로만 흐르고, 검색엔진도 HTTPS 버전을 표준 URL로 인식합니다.

Nginx 예시:

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://example.com$request_uri;
}

Apache(.htaccess) 예시:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

HSTS까지 적용할지 판단하는 기준

강제 이동에서 한 단계 더 나가면 HSTS(HTTP Strict Transport Security) 헤더를 추가해, 브라우저가 애초에 HTTP로 요청 자체를 시도하지 않게 만들 수 있습니다.

Strict-Transport-Security: max-age=31536000; includeSubDomains

다만 서브도메인 중 HTTPS가 준비되지 않은 것이 남아 있으면 includeSubDomains 적용 시 접속이 막힐 수 있어, 전체 서브도메인의 인증서 상태를 먼저 확인한 뒤 적용해야 합니다.

인증서 종류와 갱신 방식 비교

무료 인증서를 쓴다면 자동화는 선택이 아니라 필수입니다.

장애 발생 시 체크리스트

1. 인증서 만료일 확인 (openssl 명령으로 즉시 확인)
2. 갱신 크론이 최근에 정상 실행됐는지 로그 확인
3. DNS 인증(도메인 소유 확인) 방식을 쓰는 경우 DNS 레코드가 여전히 유효한지 확인
4. 웹서버 reload/restart 명령이 갱신 후 실제로 실행됐는지 확인

와일드카드·멀티도메인 인증서 자동화 시 주의점

서브도메인이 여러 개거나 앞으로 늘어날 계획이라면, 서브도메인마다 개별 인증서를 발급받는 대신 와일드카드 인증서(*.example.com)를 검토할 수 있습니다. 다만 와일드카드 방식은 대부분 DNS 인증(DNS-01)을 요구하기 때문에, HTTP 인증(HTTP-01)만 써오던 서버라면 자동화 스크립트를 DNS API 연동 방식으로 다시 구성해야 합니다.

DNS 제공업체가 API를 지원하지 않는다면 갱신 시점마다 수동으로 TXT 레코드를 등록해야 해 자동화 이점이 사라지므로, 인증서 전략을 정할 때 DNS 인프라의 API 지원 여부를 먼저 확인하는 것이 좋습니다.

실무 정리

SSL은 "한 번 설치"가 아니라 만료 전 자동 갱신 + 강제 이동이 함께 있어야 완성됩니다. 도메인이나 서버를 옮기는 계획이 있다면 DNS 무중단 이관 문서와 함께 인증서 재설치 타이밍을 조율하세요. 인증서 자동화 스크립트 점검이나 강제 이동 설정이 필요하면 무료 견적요청으로 현재 서버 환경을 알려주세요.