SSL 인증서 오류: 의미와 해결 방법

• 대부분의 오류 원인은 네 가지 중 하나입니다: 인증서 만료, 연 이름이 인증서에 없음, 중간 인증서 누락, 브라우저가 신뢰하지 않는 발급자.
• Let's Encrypt 같은 무료 인증서는 수명이 짧으므로 자동 갱신이 필수입니다.
• 2026년 3월 15일부터 공개적으로 신뢰되는 인증서의 유효 기간은 최대 200일이며, 2027년에는 100일, 2029년에는 47일로 줄어듭니다.
• SSL 검사로 인증서를 살펴보고, 모니터링으로 만료 전에 알림을 받으세요.

Firefox에서는 같은 문제가 SEC_ERROR_EXPIRED_CERTIFICATE로 표시됩니다. Let's Encrypt 인증서는 90일 동안 유효하며 certbot 같은 ACME 클라이언트나 호스팅 관리 화면이 자동으로 갱신합니다. 하지만 80번 포트를 막았거나, DNS를 다른 서버로 옮겼거나, 새 인증서를 받은 뒤 웹 서버를 다시 불러오지 않아 갱신이 조용히 실패하는 경우가 많습니다.

CA/Browser Forum 규정에 따라 인증서 수명이 줄어들고 있습니다: 2026년 3월 15일까지 최대 398일, 이후 200일, 2027년 3월 15일부터 100일, 2029년 3월 15일부터 47일. 이제 수동 갱신은 현실적이지 않으니 ACME로 자동화하세요.

서버는 자신의 인증서와 함께 중간 인증서도 보내야 합니다. 데스크톱 브라우저는 캐시로 빈자리를 채우는 경우가 많아 "내 컴퓨터에서는 잘 된다"고 느끼지만, 휴대폰, 앱, curl, API 클라이언트에서는 실패합니다. 전체 체인을 설치하세요. Let's Encrypt는 fullchain.pem, 호스팅 관리 화면은 "CA 번들" 칸을 쓰면 됩니다. SSL 검사에서 체인이 완전한지 확인할 수 있습니다.

인증서가 포함하는 이름은 SAN(Subject Alternative Name) 항목에 나열되며, Firefox는 이 오류를 SSL_ERROR_BAD_CERT_DOMAIN으로 표시합니다. *.example.com 같은 와일드카드는 한 단계(shop.example.com)만 포함하고, example.com 자체나 a.b.example.com은 포함하지 않습니다. www로도 열리는 사이트라면 두 이름을 모두 넣어야 합니다.

• 혼합 콘텐츠: HTTPS 페이지가 http://로 스크립트, 이미지, 스타일을 불러오면 자물쇠 표시가 사라지거나 콘텐츠가 차단됩니다. 해당 주소를 https://로 바꾸세요.
• HSTS: 사이트가 한 번 HSTS를 보내면 max-age가 끝날 때까지 브라우저가 인증서 오류를 무시하고 진행하지 못하게 합니다. HTTPS를 끄는 것이 아니라 인증서를 고쳐야 합니다.
• CAA: 도메인에 CAA 레코드가 있으면 거기 적힌 CA만 인증서를 발급할 수 있으며, 사용하는 CA가 빠져 있으면 갱신에 실패합니다.
• 기기의 시계가 틀리면 인증서가 만료되었거나 아직 유효하지 않은 것처럼 보입니다.
• HTTPS를 검사하는 백신 프로그램이나 회사 프록시는 자체 인증서를 내보이므로, 그 네트워크나 기기에서만 오류가 나타납니다.

• SSL 검사는 유효 기간, 포함된 이름, 체인, TLS 버전, HSTS, HTTP→HTTPS 리디렉션, CAA 레코드를 보여 줍니다.
• 도메인을 모니터링에 추가하면 인증서 만료 전과 인증서가 유효하지 않게 되었을 때 이메일이나 Telegram으로 알려 드립니다.