월요일 아침에 회사 주소를 눌렀더니 붉은 경고 화면이 먼저 뜨는 일이 있습니다. 서버도 그대로고 파일도 멀쩡한데, 인증서 유효기간이 지났다는 이유 하나로 방문자는 이 사이트가 위험하다고 읽습니다. 하필 그 화면을 먼저 본 사람이 견적을 기다리던 거래처 담당자인 경우가 적지 않습니다.
이 글에서 확인할 것
- 인증서 종류에 따라 갱신 책임이 갈리는 지점
- 만료 알림이 아무에게도 닿지 않는 이유
- 갱신했는데도 경고가 남을 때 볼 화면
인증서를 세 갈래로 나눠 본다
첫째는 호스팅업체가 상품에 얹어 주는 무료 인증서입니다. 관리자 화면의 보안 서버 메뉴에서 켜고 끄는 방식이라 손이 거의 가지 않고, 갱신도 업체가 알아서 돌립니다. 대신 호스팅 상품을 바꾸거나 도메인을 다른 업체로 옮기면 설정이 꺼진 채 남는 일이 생깁니다.
둘째는 서버에 직접 설치해 쓰는 무료 인증서입니다. 유효기간이 짧아서 갱신 작업이 자동으로 돌아가도록 걸어 두는 것이 전제인데, 이 작업이 멈춰도 화면에 아무 표시가 나오지 않습니다. 서버를 옮기거나 웹서버 설정을 손댄 다음 달에 문제가 터지는 이유가 여기 있습니다.
셋째는 값을 치르고 산 인증서입니다. 발급기관 계정에서 만료일을 보고 사람이 직접 재발급을 신청하는데, 회사가 실제로 존재하는지 확인하는 절차가 붙는 종류는 서류 제출과 검토에 며칠이 걸립니다. 결제가 붙은 쇼핑몰이나 대외 문서에 주소를 쓰는 회사가 주로 이쪽을 씁니다.
만료 알림이 아무에게도 닿지 않는 이유
발급기관은 만료 전에 메일을 보냅니다. 문제는 그 메일이 처음 신청한 사람의 주소로 간다는 점입니다. 담당자가 바뀌었거나 외주 업체 직원 개인 주소로 신청했다면, 알림은 매년 정확히 도착하지만 회사 안에서는 아무도 보지 못합니다. 신청 주소를 부서 공용 주소로 바꿔 두는 것이 첫 손질입니다.
자동 갱신이 멈추는 조건도 몇 가지로 정해져 있습니다. 도메인 소유를 확인하려고 발급기관이 접속하는 경로를 웹서버 설정이 다른 주소로 돌려보내는 경우, 보안 장비가 그 경로를 막아 둔 경우, 디스크가 가득 찬 경우입니다. 셋 다 화면에는 이상이 없어서 만료 당일까지 조용합니다.
주소가 여러 개인 회사도 조심해야 합니다. www가 붙은 주소만 인증서에 들어가 있고 www 없는 주소는 빠져 있거나, 나중에 만든 쇼핑 페이지나 모바일 주소가 범위 밖이라 그 주소로 들어온 사람만 경고를 보는 상황이 흔합니다. 회사가 쓰는 주소를 전부 적어 놓고 하나씩 눌러 보는 것 말고는 발견할 방법이 없습니다.
유형별로 누가 언제 갱신하는지
아래 표는 인증서를 쓰는 자리별로 어느 화면에서 상태를 보고 무엇을 놓치기 쉬운지 정리한 것입니다. 회사가 가진 주소 목록 옆에 이 표의 칸을 붙여 두면 담당자가 바뀌어도 인수인계가 한 장으로 끝납니다.
| 쓰이는 자리 | 상태를 보는 화면 | 놓치기 쉬운 점 |
|---|---|---|
| 호스팅 제공 무료 인증서 | 호스팅 관리자 화면의 보안 서버 메뉴 | 상품 변경이나 도메인 이전 뒤 꺼진 채로 남음 |
| 서버에 직접 설치한 인증서 | 서버에 접속해 만료일을 조회 | 자동 갱신 작업이 멈춰도 알림이 없음 |
| 구매한 단일 도메인 인증서 | 발급기관 계정의 주문 내역 | 재발급에도 소유 확인 절차가 다시 필요 |
| 여러 서브도메인용 인증서 | 발급기관 계정과 웹서버 설정 파일 | 나중에 만든 주소가 인증서 범위 밖 |
| 결제와 외부 연동 서버 | 연동 업체가 주는 관리자 화면 | 웹은 멀쩡한데 주문 전송만 끊김 |
| 사내망에서만 쓰는 페이지 | 사무실 밖 회선으로 직접 접속 | 내부에서는 예외 처리되어 정상으로 보임 |
다섯째 줄이 가장 늦게 발견됩니다. 사람이 보는 화면은 그대로인데 결제 결과나 문자 발송만 실패하기 때문에, 주문이 며칠 밀린 뒤 고객 문의로 알게 되는 경우가 많습니다. 마지막 줄은 반대로 사무실 안에서만 확인하다가 넘어가는 자리입니다. 확인은 반드시 휴대폰 데이터처럼 외부 회선에서 해야 합니다.
만료 두 주 전부터 밟는 절차
먼저 지금 걸려 있는 인증서의 만료일과 발급 주체를 확인합니다. 브라우저 주소창의 자물쇠를 눌러 인증서 정보를 열면 유효기간과 발급기관 이름이 나옵니다. 회사가 쓰는 주소를 전부 이 방식으로 한 번씩 훑어 만료일을 달력에 옮겨 적는 것이 출발점입니다.
그다음 갱신을 누가 하는지 정합니다. 호스팅업체가 하는지, 사이트를 만들어 준 업체가 하는지, 회사 담당자가 직접 하는지에 따라 준비할 것이 달라집니다. 업체에 맡겨 둔 사이트라면 유지보수 계약서에 인증서 항목이 들어 있는지 확인하고, 새로 사이트를 맡겨 만들 때는 인증서 갱신 주체와 비용, 만료 알림을 받을 주소를 견적 단계에서 적어 두면 나중에 서로 미루는 일이 없습니다.
세 번째로 갱신 작업은 방문자가 적은 시간에 합니다. 기존 인증서와 설정 파일을 먼저 복사해 두고, 새 파일을 올린 뒤 웹서버를 다시 시작해야 실제로 반영됩니다. 파일만 바꾸고 재시작을 빠뜨려서 만료일이 지난 뒤에야 경고가 뜨는 경우가 꽤 흔합니다.
마지막으로 반영 결과를 밖에서 확인합니다. 회사 와이파이가 아닌 휴대폰 회선으로 www가 붙은 주소와 없는 주소, 쇼핑 페이지, 관리자 로그인 화면을 차례로 열어 봅니다. 여기까지 해야 갱신이 끝난 것입니다.
갱신했는데도 자물쇠가 안 잡힐 때
가장 흔한 원인은 중간 인증서 누락입니다. 발급기관이 함께 준 연결용 파일을 빼고 본 인증서만 올리면 PC 브라우저에서는 멀쩡해 보이는데 휴대폰이나 일부 앱에서만 경고가 납니다. 고객 문의가 특정 기기에서만 들어온다면 이 경우를 먼저 의심하면 됩니다.
두 번째는 본문에 박혀 있는 옛 주소입니다. 주소는 보안 연결로 바뀌었는데 게시글 안의 이미지나 외부 스크립트가 예전 주소 그대로 남아 있으면 자물쇠가 깨진 표시로 바뀝니다. 오래된 게시글 본문, 테마 설정에 적어 둔 절대주소, 배너 코드가 단골 자리입니다. 손댈 곳이 많아 화면 구조까지 정리해야 한다면 화면을 다시 짜는 작업과 묶어 처리하는 편이 결국 빠릅니다.
세 번째는 외부 연동입니다. 결제 대행사나 문자 발송 서비스가 요구하는 통신 방식이 바뀌면 인증서와 별개로 서버 설정을 손봐야 합니다. 연동 문서에 적힌 조건과 지금 서버 설정을 맞춰 보는 일이 되는데, 사내에 볼 사람이 없다면 웹사이트 개발을 맡고 있는 업체에 이 점검만 따로 요청하는 방법도 있습니다.
점검 목록과 정리
아래 일곱 줄에 예, 아니오로 답해 보세요. 아니오가 나온 줄이 지금 만들어야 할 문서이거나 이번 주에 열어 봐야 할 화면입니다.
- 회사가 쓰는 주소를 전부 적은 목록이 있는가
- 주소마다 인증서 만료일이 달력에 들어가 있는가
- 발급기관 알림이 공용 메일 주소로 오는가
- 갱신 책임자가 계약서나 문서에 적혀 있는가
- 자동 갱신을 쓰는 서버의 최근 갱신 기록을 본 적 있는가
- 갱신 뒤 사무실 밖 회선에서 확인하는가
- 결제와 문자 연동이 살아 있는지 함께 보는가
인증서 만료는 기술 사고라기보다 달력 사고에 가깝습니다. 고치는 데는 길어야 한 시간이지만, 그 한 시간을 찾지 못한 채 반나절 동안 경고 화면을 띄워 두면 회복하기 어려운 인상을 남깁니다. 목록과 날짜만 갖춰 두면 매년 반복되던 일이 사라집니다.
인증서는 고장 나지 않습니다. 날짜가 지날 뿐이고, 그 날짜를 보는 사람이 없을 뿐입니다.
