HTTPS 인증서(SSL/TLS 인증서)는 인증기관이 도메인 주인을 확인해 발급하는 증명서로, 설치하면 사이트 통신이 암호화됩니다. 적용은 주소 목록 확정, 발급, 서버 설치, https 전환 확인 순서로 진행합니다. 만료는 주소별 만료일·갱신 방식·담당자를 관리 대장에 적고, 실제 교체 여부를 정기적으로 확인해 관리합니다.
핵심 요약
- 인증서는 그 안에 담은 주소에만 적용됩니다. www 주소와 하위 주소까지 목록을 먼저 만들어야 빠지는 주소가 생기지 않습니다.
- 인증서가 만료되면 홈페이지에 접속하지 못하는 장애가 생길 수 있습니다. 공개 인증서의 최대 유효기간은 2026년 3월부터 200일로 줄었고, 2029년 3월에는 47일이 됩니다.
- 자동 갱신을 켰더라도 새 인증서가 서버에 반영됐는지 정기적으로 확인하고, 만료 알림은 회사 공용 메일로 받습니다.
HTTPS 인증서는 무엇이고 회사 홈페이지에 왜 필요하나요
주소창의 주소가 https로 시작하면 인증서가 적용된 연결입니다. 인증서에는 어느 도메인에 발급했는지, 어느 인증기관이 발급했는지, 언제까지 유효한지가 담겨 있습니다. 브라우저는 이 정보를 확인한 뒤에 암호화된 연결을 맺습니다.
http 연결
- 입력한 내용이 암호화되지 않은 채 전송됩니다.
- 브라우저가 안전하지 않은 연결로 표시할 수 있습니다.
- 방문자는 접속한 사이트가 진짜 회사 도메인인지 인증서로 확인할 수 없습니다.
https 연결
- 브라우저와 서버 사이의 전송 구간이 암호화됩니다.
- 인증서로 발급 대상 도메인과 유효기간을 확인할 수 있습니다.
- 인증서가 만료되거나 주소가 다르면 브라우저가 경고를 띄웁니다.
법령 측면도 함께 확인합니다. 개인정보보호위원회 고시인 개인정보의 안전성 확보조치 기준 제7조 제4항을 확인합니다. 현행 고시(2025년 10월 개정 기준)의 이 조항은 개인정보를 인터넷망 구간으로 주고받을 때 안전한 암호 알고리즘으로 암호화하도록 정합니다. 같은 조 제1항은 비밀번호 같은 인증정보를 주고받을 때도 암호화하도록 정합니다.
이 전송 구간 암호화 의무는 2023년 9월 시행 개정 때 넓어졌습니다. 개인정보보호위원회는 2023년 9월 시행 개정 보도참고자료에서 적용 대상이 전체 개인정보처리자로 확대된다고 밝혔습니다. 새로 적용되는 대상에게는 2024년 9월 15일부터 적용됩니다. 고시는 안전한 암호 알고리즘으로 암호화하도록 정하고, HTTPS를 명시하지는 않습니다. 문의 양식·회원가입·로그인으로 개인정보를 받는 홈페이지라면 이 조항이 적용되는지 먼저 확인합니다. 그다음 전송 구간 암호화를 HTTPS로 처리하는지 점검합니다.
인증서를 적용하기 전에 무엇을 정해야 하나요
먼저 인증서를 적용할 주소 목록을 만듭니다. 교육부 행정전자서명 인증센터는 보안서버 자주하는 질문에서 이 센터가 발급하는 보안서버 인증서의 기준을 안내합니다. SSL 인증서는 도메인 단위로 발급되고, 같은 도메인을 여러 웹서버에서 운영하면 인증서 하나를 각 서버에 설치합니다. 한 웹서버에서 여러 도메인을 운영하면 도메인마다 따로 발급받아야 합니다. 이 기준은 발급 기관마다 다를 수 있습니다.
예를 들어 회사 대표 도메인을 쓴다면 www가 붙은 주소와 붙지 않은 주소를 모두 적습니다. 쇼핑 주소, 예약 주소, 관리자 페이지 주소처럼 따로 쓰는 하위 주소도 목록에 넣습니다. 발급 기관에 따라 여러 주소를 인증서 하나에 담는 상품도 있으므로 발급 전에 목록을 보여 주고 확인합니다.
다음으로 인증서를 누가 설치하고 갱신하는지 정합니다. 홈페이지 운영 방식에 따라 회사가 확인할 항목이 다릅니다.
| 운영 방식 | 설치·갱신 주체 | 회사가 확인할 항목 |
|---|---|---|
| 호스팅·홈페이지 제작 서비스 이용 | 계약과 설정에 따라 서비스 제공 측 | 자동 적용 여부, 연결한 모든 주소가 포함됐는지, 직접 연결한 회사 도메인도 대상인지 |
| 자체 서버 운영 | 회사 또는 서버 관리자 | 발급 기관, 자동 갱신 설정, 개인키(인증서와 짝을 이루는 비밀 열쇠 파일) 보관 위치 |
| 외주 제작사 유지보수 | 계약서에 정한 업체 | 유지보수 범위에 인증서 갱신이 포함됐는지, 만료일을 회사에 공유하는 방식 |
인증서 적용은 어떤 순서로 진행하나요
자체 서버나 유지보수 업체를 통해 적용할 때의 순서입니다. 서비스가 자동으로 적용하는 경우에도 4단계와 5단계 확인은 회사가 직접 합니다.
1단계 · 주소 목록 확정
인증서에 담을 주소를 모두 적고, 운영 중인 웹서버 수를 확인합니다. 목록에 빠진 주소가 없으면 끝납니다.
2단계 · 발급 신청과 도메인 확인
웹서버에서 인증요청양식(CSR)을 만들어 발급 기관에 제출합니다. 발급 기관이 요구하는 방식으로 도메인 소유를 확인받습니다. 개인키는 운영 서버 사이에서만 옮기고, 메일·메신저·공용 저장소로 보내지 않습니다.
3단계 · 서버 설치
발급받은 인증서를 발급 기관이 함께 제공한 중간(체인) 인증서와 같이 설치합니다. 같은 도메인을 운영하는 서버가 여러 대면 모든 서버에 설치합니다.
4단계 · https로 자동 이동 설정
http 주소로 들어온 방문자를 https 주소로 넘기는 설정(리디렉션)을 켭니다. 주소창에 http로 입력했을 때 https로 바뀌면 끝납니다.
5단계 · 페이지별 확인
첫 화면, 문의 양식, 로그인, 결제 화면을 PC와 휴대전화에서 엽니다. 경고 문구가 없는지, 이미지나 스크립트가 http로 불려 와 일부가 깨지지 않는지(혼합 콘텐츠) 확인합니다. 혼합 콘텐츠가 보이면 해당 파일 주소를 https로 바꿉니다. 외부에서 불러오는 지도·영상·글꼴도 함께 확인합니다.
인증서가 만료되면 무슨 일이 생기고 유효기간은 얼마나 짧아지나요
교육부 행정전자서명 인증센터는 SSL 인증서 유효기간이 만료되면 홈페이지에 접속하지 못하는 장애가 생길 수 있다고 안내합니다. 방문자에게는 연결이 안전하지 않다는 경고 화면이 먼저 보입니다. 문의 양식과 결제 화면도 같은 경고에 막혀 고객 문의와 주문이 끊길 수 있습니다.
유효기간은 이미 짧아지기 시작했습니다. CA/브라우저 포럼(브라우저 회사와 인증기관이 참여하는 표준 단체)은 2025년 4월 의결안 SC-081v3을 통과시켰습니다. 이 일정에 따라 공개 TLS 인증서의 최대 유효기간은 2026년 3월 15일부터 398일에서 200일로 줄었습니다. 2027년 3월에는 100일, 2029년 3월에는 47일로 다시 줄어듭니다. 도메인 확인 결과를 다시 쓸 수 있는 기간도 함께 줄어 2029년 3월부터 10일이 됩니다.
1년에 한 번 담당자가 직접 교체하던 방식으로는 이 주기를 따라가기 어렵습니다. 갱신 주기가 짧아질수록 도메인 확인과 서버 반영까지 자동으로 처리되는지가 관리의 중심이 됩니다. 현재 쓰는 인증서의 실제 유효기간은 발급 기관 안내에서 확인합니다.
이미 만료돼 경고 화면이 뜬다면 다음 순서로 처리합니다. 담당자나 업체에 갱신 또는 재발급을 요청하고, 같은 도메인을 쓰는 모든 서버에 설치합니다. 목록의 주소를 하나씩 열어 경고가 사라졌는지 확인합니다. 마지막으로 새 만료일을 관리 대장에 적습니다.
만료를 놓치지 않으려면 무엇을 기록하고 점검하나요
자동 갱신을 켜도 기록은 필요합니다. 새 인증서가 발급됐는데 웹서버에 반영되지 않는 경우가 있습니다. 갱신 알림이 퇴사한 담당자 메일로 가는 경우도 있습니다. 새로 만든 하위 주소가 갱신 대상에서 빠지기도 합니다. 아래 항목을 회사 운영 문서에 옮겨 적습니다.
정기 확인 때는 기록한 모든 주소를 하나씩 열어 만료일을 비교합니다. 직전 기록보다 만료일이 늘었다면 자동 갱신이 반영된 것입니다. 만료가 가까운데 날짜가 그대로라면 갱신이 실패한 것이므로 그날 바로 담당자나 업체에 교체를 요청합니다. 유효기간이 짧을수록 갱신 실패를 발견한 뒤 만료까지 남는 시간도 줄어듭니다. 하위 주소를 새로 열거나 홈페이지를 이전할 때도 대장을 같은 날 고칩니다.
어떤 경우에 전문 기관 확인이 필요합니까
인증서 교체만으로 끝나지 않는 상황이 있습니다. 개인키가 노출되면 기존 인증서를 계속 쓰기 어렵습니다. 경고 화면이 홈페이지 변조나 침해의 신호일 수도 있습니다.
이럴 때는 전문 기관에 먼저 확인합니다
- 개인키 파일이 메일 첨부나 공용 저장소로 외부에 나간 사실을 알게 된 경우: 발급 기관에 인증서 폐지와 재발급을 요청합니다.
- 만료일이 남았는데 경고가 뜨고 발급 기관이 평소와 다른 경우: KISA 118에 침해 여부를 상담합니다.
- 홈페이지 화면이 바뀌었거나 낯선 사이트로 이동하는 경우: 서버를 임의로 지우지 않고 KISA 118에 상담하고, 피해가 있으면 수사기관에 신고합니다.
- 문의 양식 등으로 받은 개인정보가 암호화 없이 전송됐거나 유출이 의심되는 경우: 법적 대응 범위를 개인정보보호위원회 안내와 KISA 118 상담으로 확인합니다.
정리
인증서 적용과 만료 관리는 한 번 설정으로 끝나지 않습니다. 주소 목록과 관리 대장을 기준으로 운영합니다.
- 회사가 쓰는 모든 주소(www 포함, 하위 주소 포함)를 목록으로 만들고, 운영 방식별로 설치·갱신 주체를 정합니다.
- 주소마다 https 전환과 경고 유무를 확인하고, 문의 양식·로그인 화면의 혼합 콘텐츠를 고칩니다.
- 관리 대장에 발급 기관·만료일·갱신 방식·담당·공용 알림 메일을 적습니다.
- 주소별 만료일을 정기적으로 열어 직전 기록과 비교합니다. 유효기간이 짧아지면 확인 주기도 줄이고, 날짜가 그대로면 그날 교체를 요청합니다.
- 유지보수 계약을 갱신할 때 인증서 자동 갱신과 만료일 공유를 계약 범위에 넣었는지 확인합니다.
참고 자료
- 국가법령정보센터 — 개인정보의 안전성 확보조치 기준(개인정보보호위원회 고시)
- 개인정보보호위원회 — (보도참고) 「개인정보의 안전성 확보조치 기준」 9월 22일 시행
- 교육부 행정전자서명 인증센터 — 보안서버 자주하는 질문