SSL인증서발급기관 고를 때 확인하는 방법

얼마 전 작은 쇼핑몰의 인증서 만료 장애를 봤다. 새 인증서는 이미 발급돼 있었다. 그런데 웹서버가 여전히 예전 파일을 읽고 있었다. 방문자 수나 서버 사양과는 관계없는 사고였다. SSL인증서발급기관을 고를 때 제가 먼저 보는 것도 가격보다 발급 후 갱신과 적용 절차다.

발급기관과 판매업체를 구분한다

브라우저가 신뢰하는 인증서를 실제로 발급하는 곳이 인증기관이다. 호스팅 업체나 인증서 판매업체는 신청과 설치를 대신 처리할 수 있다. 견적서에 적힌 업체 이름만 보고 발급기관을 판단하면 헷갈리기 쉽다. 설치된 인증서의 발급자와 체인, 호스팅 업체가 제공하는 관리 범위를 각각 확인해야 한다.

개인 블로그나 일반적인 서비스라면 도메인 통제권을 확인하는 DV 인증서로 충분한 경우가 많다. 무료 인증서도 브라우저가 신뢰하고 서버 설정이 올바르다면 전송 구간을 암호화한다. 유료 DV를 샀다고 암호화 자체가 더 강해지는 것은 아니다. OV나 EV는 조직 정보 확인 절차가 추가되는 상품이다. 거래처가 조직 확인을 요구하거나 계약 조건에 명시했을 때 검토할 만하다.

돈을 낼 이유는 따로 있다. 발급 신청을 대신 처리해 주는지, 설치와 갱신 실패에 대응하는지, 여러 서버에 배포할 수 있는지다. 월 1만 원짜리 호스팅에 연 수십만 원짜리 인증서를 붙이기 전에, 그 비용으로 어떤 운영 업무를 덜 수 있는지부터 물어보는 편이 낫다.

도메인 수보다 운영 위치를 먼저 센다

인증서 한 장으로 덮어야 할 이름을 적어 보면 상품 선택이 쉬워진다. 사이트 이름 하나만 쓰는지, 여러 하위 도메인이 있는지, 서로 다른 서비스가 같은 이름을 공유하는지 확인한다. 와일드카드 인증서는 여러 하위 도메인에 편리하지만 기본 도메인까지 자동으로 포함된다고 가정하면 안 된다. 신청할 이름과 인증서에 실제로 들어간 이름을 대조해야 한다.

그다음은 암호화 연결이 끝나는 위치다. CDN 앞단에서 연결을 종료하고 원본 서버로 다시 연결한다면 앞단 인증서와 원본 서버 인증서를 따로 관리할 수 있다. 로드밸런서 뒤에 웹서버가 세 대 있다면 인증서를 어느 장비에 설치하는지도 정해야 한다. 발급기관이 좋아도 한 대에만 새 인증서를 배포하면 접속 경로에 따라 만료 오류가 번갈아 나타난다.

저는 이 단계에서 장비 수와 갱신 담당자를 함께 적는다. 서버 한 대에 도메인 하나라면 자동 발급이 간단하다. 서비스가 여러 계정과 장비에 흩어져 있다면 인증서 가격보다 배포 권한과 작업 절차가 더 큰 비용이 된다.

자동 갱신이 실제로 끝까지 되는지 확인한다

무료 인증서를 쓸 때 흔한 착각은 자동 발급 설정이 곧 자동 운영이라는 생각이다. 발급, 서버 파일 교체, 서비스 재적용, 외부 접속 확인까지 이어져야 갱신이 끝난다. 갱신 명령이 성공해도 웹서버 재시작이나 설정 반영이 빠지면 이용자는 만료된 인증서를 계속 보게 된다.

웹 경로로 도메인 통제권을 확인하는 방식은 검증 요청이 해당 서버에 도달해야 한다. 방화벽, 리다이렉트 설정, CDN 캐시, 여러 대의 프런트 서버가 걸림돌이 될 수 있다. 와일드카드처럼 DNS 레코드로 확인하는 방식은 DNS 변경 권한과 전파 시간을 관리해야 한다. 자동화에 쓰는 DNS 권한은 가능한 범위로 제한하고, 담당자가 바뀔 때 접근 권한도 점검한다.

CA/Browser Forum 기준으로 2026년 3월부터 새로 발급되는 공개 신뢰 TLS 서버 인증서의 최대 유효기간은 200일이다. 유효기간이 짧아질수록 수동 갱신에 기대기 어렵다. 저는 만료일 한 번만 알리는 대신 30일 전부터 경고하고, 실제 외부 접속에서 보이는 인증서의 남은 기간을 확인한다. 갱신 작업 기록과 서비스가 내보내는 인증서는 다를 수 있기 때문이다.

장애가 나면 발급보다 접속 경로를 확인한다

인증서 오류가 뜨면 먼저 브라우저에 보이는 인증서의 대상 이름과 만료일을 본다. 이름이 다르면 잘못된 가상 호스트나 접속 경로를 의심한다. 만료일이 지났다면 갱신 실패인지, 갱신 후 배포 실패인지 구분한다. 발급 파일은 새것인데 외부 접속에서 오래된 인증서가 보이면 로드밸런서, CDN, 웹서버의 적용 순서를 따라가면 된다.

중간 인증서 누락이나 서버 시계 오류도 확인할 항목이다. 도메인을 이전한 직후라면 이전 서버와 새 서버가 각각 어떤 인증서를 내보내는지 살핀다. DNS 전환 중에는 두 서버 모두 정상 인증서를 제공해야 이용자마다 다른 오류가 나지 않는다. 개인키가 외부로 노출된 경우에는 단순 재설치로 끝내지 말고 새 키로 재발급하고 기존 인증서의 폐기 절차도 밟아야 한다.

작은 사이트라면 무료 인증서와 자동 갱신으로 시작해도 충분하다. 대신 갱신 시험, 외부 접속 감시, 담당자 변경 시 권한 점검은 운영 항목으로 남겨둬야 한다. 제가 인증서를 고를 때 확인하는 것은 발급기관의 광고 문구가 아니라, 만료 전날에도 새 인증서가 모든 접속 경로에 적용될 수 있는 구조인지다.