어제까지 멀쩡하던 회사 홈페이지에 오늘 아침 '이 연결은 비공개 연결이 아닙니다'라는 경고가 뜹니다. 코드를 고친 적도, 서버를 건드린 적도 없습니다. 그런데 방문자에게는 붉은 경고 화면이 먼저 보이고 문의 전화가 걸려옵니다.
이런 사고의 상당수는 해킹이 아니라 SSL 인증서 만료입니다. 인증서는 유효기간이 박혀 있는 파일이라 날짜가 지나면 브라우저가 알아서 차단합니다. 더 곤란한 점은, 만료가 다가와도 아무도 알려주지 않는 구조로 바뀌었다는 것입니다.
인증서는 서비스가 아니라 유효기간이 박힌 파일입니다
주소창의 자물쇠는 서버에 설치된 인증서 파일 하나로 유지됩니다. 이 파일에는 언제부터 언제까지 유효한지가 적혀 있고, 브라우저는 접속할 때마다 그 날짜를 확인합니다. 만료일이 하루만 지나도 사이트 자체는 정상인데 경고 화면이 뜹니다.
서버가 죽은 것이 아니라 서류의 기한이 끝난 상태입니다. 그래서 재부팅해도, 코드를 되돌려도 복구되지 않습니다. 새 인증서를 받아 설치하고 웹서버가 그 파일을 다시 읽게 만드는 것 외에는 방법이 없습니다.
인증서 만료는 장애가 아니라 일정 관리 실패입니다. 고쳐야 할 대상은 서버가 아니라 달력입니다.
무료 인증서의 기본 수명은 90일입니다
국내외에서 가장 많이 쓰이는 무료 인증서인 Let's Encrypt의 기본 수명은 90일입니다. 공식 문서 기준으로 2015년 서비스 시작 때부터 지금까지 기본값이 90일입니다. 1년에 네 번씩 갱신이 돌아온다는 뜻입니다.
2026년 1월 15일부터는 160시간, 약 6일짜리 단기 인증서도 정식 제공됩니다. 다만 이것은 발급 도구에서 별도 프로파일을 골라야 하는 선택 사항이고, 아무 설정도 하지 않았다면 여전히 90일입니다.
만료를 알려주던 메일은 2025년 6월에 끊겼습니다
예전에는 만료가 다가오면 Let's Encrypt가 등록된 이메일로 알림을 보냈습니다. 이 서비스는 2025년 6월 4일에 완전히 종료됐습니다. 자동 갱신이 충분히 보급됐다는 판단, 이메일 주소를 계속 보관해야 하는 개인정보 부담, 연간 수만 달러의 운영 비용이 이유로 공표됐습니다.
담당자 입장에서 달라진 점은 하나입니다. 만료가 코앞이어도 받은편지함에는 아무것도 오지 않습니다. 자동 갱신이 조용히 멈춰 있었다면 첫 신호는 고객이 보는 경고 화면입니다.
유료 인증서도 이제 1년짜리가 아닙니다
CA/Browser Forum이 2025년 4월 통과시킨 SC-081v3에 따라, 공인 TLS 인증서의 최대 유효기간은 2026년 3월 15일부터 200일로 줄었습니다. 2027년 3월 15일에는 100일, 2029년 3월 15일에는 47일이 됩니다.
DigiCert는 이 일정에 맞춰 2026년 2월 24일부터 최대 199일짜리만 발급하고, 1년으로 요청해도 199일로 자동 조정합니다. 다년 계약은 계약 기간 안에서 추가 비용 없이 재발급하는 방식으로 유지됩니다. '1년에 한 번 갱신하면 된다'는 운영 습관은 올해 3월로 수명이 끝났습니다.
무료와 유료의 진짜 차이는 가격이 아니라 알림입니다
유료 인증서는 결제 계정이 붙어 있어서 만료가 다가오면 발급기관이 먼저 연락합니다. DigiCert CertCentral은 기본 설정으로 만료 90일·60일·30일·7일·3일 전과 만료 7일 후에 갱신 알림을 보냅니다. 수신 주소를 여러 개 두거나 단계별로 다른 사람에게 보내도록 바꿀 수도 있습니다.
Let's Encrypt에는 이 기능이 아예 없습니다. 발급 비용은 0원이지만 만료를 감시할 책임은 전부 운영 쪽으로 넘어옵니다. 유료 인증서 금액은 발급기관마다 다르니 공식 가격표를 확인하시고, 판단 기준은 금액이 아니라 '알림을 살 것인가, 감시 체계를 직접 만들 것인가'로 잡으세요.
도메인이 몇 개 안 되고 담당자가 고정돼 있다면 무료 인증서에 외부 모니터링을 붙이는 편이 낫습니다. 서버가 여러 대이고 담당자가 자주 바뀌는 조직이라면 유료 발급기관의 알림 체계가 값을 합니다.
자동 갱신은 이런 이유로 조용히 실패합니다
자동 갱신은 대개 서버 안의 예약 작업이 새 인증서를 받아 파일을 덮어쓰는 방식입니다. 이 과정 어디가 끊겨도 화면에는 아무 표시가 나지 않습니다. 기록은 서버 로그에만 남고 사람에게는 전달되지 않습니다.
- 갱신 자체는 성공했는데 웹서버를 다시 읽히지 않아 옛날 파일이 그대로 서비스되는 경우입니다.
- 소유 확인이 80번 포트로 이뤄지는데 방화벽이나 CDN이 그 포트를 막아 둔 경우입니다.
- 서버를 이전하면서 예약 작업과 갱신 설정이 함께 옮겨지지 않은 경우입니다.
- 도메인 DNS를 다른 업체로 옮겨 소유 확인이 실패하는 경우입니다.
- 같은 주소 조합으로 7일에 5장이라는 발급 한도에 걸려 재시도까지 막힌 경우입니다.
첫 번째가 특히 흔합니다. 파일은 새것인데 웹서버가 메모리에 올려둔 것은 옛것이라, 서버에서 확인하면 멀쩡하고 브라우저에서 보면 만료로 나옵니다. 갱신 후 서비스를 다시 읽히는 명령까지 자동화에 포함돼 있는지 반드시 확인하세요.
갱신 주기는 앞으로 더 짧아집니다
Let's Encrypt는 2025년 12월에 인증서 수명을 45일까지 줄이는 일정을 공개했습니다. 2026년 5월 13일부터 tlsserver 프로파일이 45일 인증서를 발급하고, 2027년 2월 10일에는 기본 프로파일이 64일로, 2028년 2월 16일에는 45일로 내려갑니다.
90일 주기에서는 갱신이 한 번 실패해도 다음 시도까지 여유가 있었습니다. 45일 주기에서는 그 여유가 절반으로 줄어듭니다. 지금은 분기 점검으로 충분하지만 2027년부터는 월 단위로 당겨 잡으세요.
개발자가 아니어도 브라우저에서 만료일을 볼 수 있습니다
크롬에서 주소창 왼쪽 아이콘을 누르고 연결이 안전하다는 항목을 펼치면 인증서 정보가 나옵니다. 거기에 유효기간이 날짜로 그대로 적혀 있습니다. 한 주소를 확인하는 데 30초면 충분하고, 서버 접속 권한도 필요 없습니다.
확인할 때는 메인 주소만 보지 마세요. www가 붙은 주소와 안 붙은 주소, 결제·로그인·관리자 같은 하위 주소는 인증서가 따로 걸려 있는 경우가 많습니다. 실무에서는 메인은 멀쩡한데 결제 페이지만 만료돼 주문이 끊기는 사고가 더 자주 납니다.
분기마다 30분이면 끝나는 점검 절차입니다
- 회사가 운영하는 주소를 전부 적습니다. 메인, www, 관리자, 결제, 사내 시스템까지 빠짐없이 넣습니다.
- 각 주소를 브라우저로 열어 인증서 만료일과 남은 일수를 표에 적습니다.
- 남은 일수가 수명의 3분의 1보다 적은데 만료일이 지난 분기와 똑같다면 자동 갱신이 멈춘 것입니다. 갱신 도구인 certbot은 4.0.0부터 수명의 3분의 1이 남았을 때 갱신을 시도하기 때문입니다.
- 외부 모니터링 서비스에 전체 주소를 등록하고, 알림 수신자를 담당자 두 명 이상으로 지정합니다.
- 인증서를 어디서 무엇으로 발급했는지 문서 한 장에 적어 둡니다. 담당자가 바뀔 때 가장 먼저 사라지는 정보입니다.
- 유료 인증서를 쓴다면 발급기관 계정의 알림 수신 주소가 퇴사자 메일로 남아 있지 않은지 확인합니다.
이 절차의 핵심은 2번과 3번입니다. 만료일이 지난번 점검 때와 달라져 있으면 자동 갱신이 살아 있다는 증거이고, 그대로면 이미 고장 난 것입니다. 남은 90일 안에 발견하면 사고가 아니라 작업이 됩니다.
이 점검으로 막지 못하는 것도 있습니다
브라우저 확인은 외부에서 접속 가능한 주소만 커버합니다. 사내망 전용 시스템, 서버끼리 주고받는 통신에 쓰는 인증서, 앱 안에 넣어 둔 인증서는 이 방법으로 보이지 않습니다. 이 영역은 개발팀이나 외주사에 목록을 요청해야 합니다.
분기 점검은 갱신 실패를 뒤늦게 찾아내는 방법이지 실시간 감시가 아닙니다. 매일 확인하는 일은 사람이 아니라 도구가 해야 합니다. Let's Encrypt 모니터링 옵션 문서에 무료 서비스가 정리돼 있고, 그중 Red Sift Certificates Lite는 인증서 250개까지 무료로 만료 알림을 보내 줍니다.
운영 중 반복되는 점검 항목은 운영 노트에 계속 정리하고 있습니다. 인증서와 도메인, 서버 갱신 일정을 한 번에 정리하고 싶다면 Codeforest로 문의하세요.
결론: 끊긴 알림 자리를 사람이 아니라 도구로 메우세요
2025년 6월 4일 이후 무료 인증서는 만료를 알려주지 않고, 유료 인증서마저 2026년 3월부터 200일 이하로 짧아졌습니다. 갱신 횟수는 늘고 알림은 줄었으니, 예전처럼 '문제가 생기면 알겠지'로 버티면 고객이 먼저 경고 화면을 봅니다.
개발자가 아닌 담당자도 할 수 있는 일은 분명합니다. 주소 목록을 만들고, 분기마다 브라우저로 만료일을 확인해 지난번과 달라졌는지 비교하고, 외부 모니터링에 등록해 알림 받을 사람을 두 명 이상 지정하세요. 이 세 가지만 해도 인증서 만료로 사이트가 멈추는 사고는 사실상 사라집니다.