SSL 인증서 만료, 생각보다 자주 일어납니다
운영 중인 서비스의 SSL 인증서가 조용히 만료되는 사고는 생각보다 흔합니다. Let's Encrypt 인증서는 90일마다 갱신해야 하고, 유료 인증서도 1~2년마다 교체가 필요합니다. 바빠서 놓치거나, 서버 이전 후 자동 갱신 설정이 풀리거나, 담당자가 바뀌면서 인수인계가 안 되거나. 이유는 다양하지만 결과는 하나입니다. 사용자가 사이트에 접근했을 때 빨간 경고 화면을 보게 됩니다.
만료되면 정확히 어떤 일이 벌어지나요?
1. 브라우저가 즉시 차단합니다
Chrome, Firefox, Safari 모두 만료된 SSL 인증서를 가진 사이트에 접근하면 "연결이 비공개로 설정되어 있지 않습니다" 또는 "이 사이트는 안전하지 않습니다"라는 경고를 전체 화면으로 표시합니다. 일반 사용자 대부분은 이 화면에서 이탈합니다.
2. 검색 순위가 떨어집니다
Google은 HTTPS를 랭킹 신호로 사용합니다. SSL이 만료되면 HTTPS가 무효화되고, 이는 SEO 점수에 직접 영향을 줍니다. 며칠 만에 순위가 급락하는 사례가 보고되어 있습니다. 쇼핑몰이나 블로그라면 트래픽 손실이 곧 매출 손실입니다.
3. 결제가 불가능해집니다
PG사(이니시스, 토스페이먼츠 등)는 SSL이 유효하지 않은 사이트에서 결제 모듈 로딩 자체를 차단합니다. 결제 페이지에서 오류가 나는데 원인을 SSL 만료에서 찾지 못하고 한참 헤매는 경우가 많습니다.
4. API 연동이 끊깁니다
외부 서비스가 Webhook이나 API로 여러분의 서버를 호출할 때도 SSL 인증서를 검증합니다. 만료되면 연동이 모두 끊기고, 주문 알림, 결제 콜백, 데이터 동기화 같은 기능이 조용히 멈춥니다.
자동 갱신 설정 방법
Let's Encrypt + Certbot (Linux)
# 자동 갱신 크론 설정 (90일 주기로 자동 갱신)
0 0 1 * * /usr/bin/certbot renew --quiet
# 갱신 테스트
certbot renew --dry-run
Certbot은 만료 30일 전부터 갱신을 시도합니다. 크론탭이나 systemd 타이머로 주기적으로 실행되도록 반드시 확인하세요.
Cloudflare를 사용하는 경우
Cloudflare의 SSL 인증서는 자동으로 관리됩니다. 다만 오리진(실제 서버)과 Cloudflare 사이의 인증서가 따로 존재하는 경우 이쪽도 갱신 대상임을 잊지 마세요. SSL 설정을 "Full (Strict)"으로 사용하는 경우 특히 중요합니다.
만료 30일 전에 알림 받는 방법
자동 갱신을 설정해도 실패하는 경우가 있습니다. 방화벽 설정 변경, DNS 이전, 서버 재부팅 후 Certbot 데몬이 멈추는 경우 등이 대표적입니다. 따라서 별도의 모니터링이 필요합니다.
- 외부 모니터링 서비스 활용: 사이트 외부에서 SSL 만료일을 주기적으로 체크하고 이메일/슬랙으로 알림을 보내는 방식입니다. 서버 내부 문제로 Certbot이 실패해도 감지할 수 있습니다.
- 수동 확인:
openssl s_client -connect yourdomain.com:443 2>/dev/null | openssl x509 -noout -dates명령으로 만료일을 확인할 수 있습니다.
CodeScan의 보안 점검 기능을 사용하면 SSL 인증서 만료일, 설정 오류, 프로토콜 취약점을 한 번에 확인할 수 있습니다. 구독 모니터링 기능을 활용하면 만료 전 자동 알림도 받을 수 있습니다.
요약
SSL 인증서 만료는 예방 가능한 사고입니다. 자동 갱신 + 외부 모니터링 두 가지를 모두 갖추는 것이 기본입니다. 하나만 있으면 언젠가는 놓칩니다. 지금 운영 중인 사이트의 SSL 만료일을 확인해 보세요.