SSL 인증서 확인 — "유효합니다"가 뜻하는 것과 뜻하지 않는 것

주소창의 자물쇠는 잘 보이는데, 그 인증서가 언제 끝나는지는 보이지 않습니다. 개인 블로그든 회사 사이트든, 인증서가 만료되면 방문자 화면에 "안전하지 않음" 경고가 뜨고 그때부터 유입이 끊깁니다. 만료일을 미리 아는 것이 전부인 셈입니다.

SSL 인증서 확인하기 →

주소창에 도메인만 넣으면 됩니다. https://를 빼고 example.com만 적어도 도구가 알아서 붙여 조회합니다.

실제 결과는 이렇게 나옵니다

이 글을 쓰며 tooly.co.kr을 넣어 봤습니다. 결과를 그대로 옮기면 이렇습니다.

발급일과 만료일 사이가 정확히 90일입니다. 우연이 아닙니다. Let's Encrypt는 공식 FAQ에서 "기본 인증서는 90일간 유효하다(Our default certificates are valid for 90 days)"고 밝히고 있고, 60일마다 갱신할 것을 권장합니다. 최근에는 6일짜리 단기 인증서를 선택할 수 있는 옵션도 생겼습니다.

무료로 널리 쓰이는 대신 주기가 짧아서, 자동 갱신이 걸려 있지 않으면 석 달마다 사이트가 멈출 수 있습니다. 조회해 봤는데 만료일이 한 달 안쪽이라면 갱신 설정부터 확인해야 합니다.

"유효합니다"는 만료 여부만 본 말입니다

여기가 가장 오해하기 쉬운 지점입니다. 이 도구의 유효 판정은 지금 시각이 만료일 이전인가를 따진 결과입니다. 그 이상은 보지 않습니다.

그래서 아래 것들은 "유효합니다"가 떠도 보장되지 않습니다.

• 인증서가 그 도메인 것인지 — 다른 도메인용 인증서가 잘못 설치돼 있어도 만료 전이면 유효로 나옵니다. 위 표의 공용 이름(CN)이 내가 조회한 주소와 같은지 직접 눈으로 맞춰 봐야 합니다.
• 중간 인증서까지 제대로 설치됐는지 — 체인이 끊기면 일부 브라우저·앱에서만 경고가 뜨는데, 이 조회로는 드러나지 않습니다.
• 인증서가 취소(폐기)되지 않았는지 — 발급 기관이 취소한 인증서도 만료 전이면 날짜상으로는 멀쩡합니다.

정리하면 이 도구는 "언제 끝나는지"에 가장 강하고, 설치가 제대로 됐는지를 끝까지 따지는 용도는 아닙니다. 방문자에게 실제로 어떻게 보이는지는 브라우저에서 자물쇠를 눌러 확인하는 편이 확실합니다.

"SSL 버전 2"는 프로토콜 버전이 아닙니다

결과에 SSL 버전이 2로 나오면 "낡은 SSL 2.0을 쓰고 있나" 싶어 놀라게 됩니다. 아닙니다.

이 값은 통신 프로토콜이 아니라 인증서 자체의 형식 버전(X.509)을 읽어 온 것입니다. 도구가 쓰는 조회 함수가 이 필드를 0부터 세어 돌려주기 때문에, 2로 표시된 것이 지금 표준인 X.509 v3입니다. 우리가 흔히 말하는 TLS 1.2·1.3 같은 통신 프로토콜 버전과는 다른 값이고, 이 도구는 프로토콜 버전을 조회하지 않습니다.

서명 알고리즘 칸의 ecdsa-with-SHA384는 읽는 법이 간단합니다. 앞쪽 ecdsa는 키 방식(타원곡선), 뒤쪽 SHA384는 해시 강도입니다. sha256WithRSAEncryption처럼 나오면 RSA 키에 SHA-256을 쓴 인증서입니다. 둘 다 현재 정상적으로 쓰이는 조합이고, sha1이 보이면 그때가 문제입니다. 해시가 무엇을 하는지는 SHA 해시 글에 정리해 두었습니다.

조회가 실패할 때

결과 대신 빨간 메시지가 뜬다면 원인은 대체로 셋 중 하나입니다.

첫 번째가 뜨면 인증서 문제가 아니라 서버가 죽은 것일 수 있습니다. 그때는 사이트 접속 확인 글의 순서대로 내려가는 편이 빠르고, 서버는 살아 있는데 502 같은 숫자가 보인다면 502 오류 글이 맞습니다.

자물쇠가 보장하는 것은 하나뿐입니다

인증서 이야기가 나온 김에 한 가지를 분명히 해 두는 편이 좋겠습니다. 주소창의 자물쇠는 나와 그 서버 사이의 통신이 암호화됐다는 뜻입니다. 그것뿐입니다.

• 그 사이트가 정직한 곳이라는 뜻이 아닙니다. Let's Encrypt는 스스로 밝히듯 도메인 소유만 확인하는(DV) 인증서를 발급하고 조직 확인(OV·EV)은 하지 않습니다. 도메인만 있으면 누구나 받을 수 있으니 사기 사이트도 자물쇠를 답니다.
• 그 사이트가 내가 아는 그 회사라는 뜻도 아닙니다. 비슷하게 생긴 도메인에 정상 인증서가 붙어 있을 수 있습니다.

그래서 낯선 사이트에서 결제나 로그인을 요구받았을 때 볼 것은 자물쇠가 아니라 주소 그 자체입니다. 위 조회의 공용 이름(CN)이 내가 의도한 도메인과 한 글자도 다르지 않은지 확인하는 편이 훨씬 실질적입니다.

언제 확인해 두면 좋나

• 사이트를 처음 열었을 때 — 인증서가 실제로 붙었는지, CN이 내 도메인과 같은지 한 번.
• 갱신 권장 시점이 다가올 때 — Let's Encrypt는 90일 인증서를 60일마다 갱신하라고 안내합니다. 발급 두 달째가 자동 갱신이 도는지 확인할 시점입니다.
• "안전하지 않음" 신고를 받았을 때 — 만료된 건지, 다른 문제인지 가르는 첫 단추.
• 남의 사이트를 믿어야 할 때 — 결제나 로그인을 요구하는 낯선 사이트라면 발급자와 CN 정도는 보고 들어가는 편이 낫습니다.

자주 묻는 질문

내 사이트가 아니어도 조회되나요?
됩니다. 인증서는 브라우저 누구에게나 공개되는 정보라 권한이 필요 없습니다.

만료일이 지나면 사이트가 아예 안 열리나요?
주소로는 닿지만 브라우저가 경고 화면을 먼저 띄웁니다. 방문자가 "계속 진행"을 눌러야 들어올 수 있어서 사실상 막힌 것과 같습니다.

무료 인증서는 유료보다 약한가요?
암호 강도 자체는 같습니다. 차이는 수명과 부가 항목(기업 정보 확인 등)입니다. 위 조회에서 본 90일도 보안이 약해서가 아니라 자동 갱신을 전제로 한 설계입니다.

조회했더니 발급일이 오늘인데 정상인가요?
자동 갱신이 막 돈 직후라면 정상입니다. 갱신 때마다 발급일이 새로 찍히고 만료일도 그만큼 밀립니다.