주소창 맨 앞자리는 손님이 우리 가게를 만나 처음 눈이 닿는 곳이다. 거기에 작은 자물쇠 대신 '주의 요함'이라는 회색 경고가 떠 있으면, 손님은 내용을 읽어보기도 전에 '뭔가 위험한 곳'이라고 판단하고 뒤로 가기를 누른다. HTTPS는 개발자만 챙기는 기술 항목이 아니라, 문을 열자마자 손님에게 건네는 첫 신뢰의 인사다. 작은 회사가 이 자물쇠를 제대로 채우고 유지하는 다섯 가지 원칙을 짚어본다.
1. 자물쇠는 장식이 아니라 '이 대화를 아무도 못 엿본다'는 약속이다
HTTPS의 s는 secure, 즉 손님의 브라우저와 우리 서버가 주고받는 내용을 통째로 암호로 감싼다는 뜻이다. 손님이 문의 폼에 이름·전화번호를 적어 보낼 때, 같은 카페 와이파이에 앉은 누군가가 그 내용을 훔쳐볼 수 없게 만드는 것이 자물쇠의 실체다. 단순히 예뻐 보이려는 표시가 아니라 손님의 개인정보를 지키는 최소한의 문단속이라는 점을 먼저 이해해야 한다.
2. 무료 인증서로 충분하다 — 굳이 비싼 걸 살 필요 없다
예전엔 인증서 한 장에 연 수십만 원을 냈지만, 지금은 Let's Encrypt 같은 무료 인증서가 대형 유료 인증서와 똑같은 수준의 암호화를 제공한다. 대부분의 호스팅과 서버 환경에서 클릭 몇 번이나 명령어 한 줄로 발급된다. 작은 회사가 알아둘 기준은 이렇다.
- 도메인 인증(DV) 인증서면 충분하다. 은행이 아닌 이상 비싼 기업 인증(EV)은 과잉이다.
- 주소창 자물쇠 모양은 무료든 유료든 똑같이 보인다. 손님 눈엔 차이가 없다.
- 호스팅 업체가 '무료 SSL 지원'을 하는지부터 확인하면 대개 추가 비용이 들지 않는다.
3. 자동 갱신을 걸어두지 않으면 90일 뒤 사이트가 멈춘다
무료 인증서의 유효기간은 보통 90일로 짧다. 갱신을 잊으면 어느 날 갑자기 손님이 '이 연결은 안전하지 않습니다'라는 새빨간 전체 화면을 마주하고, 사이트는 사실상 문을 닫은 것처럼 보인다. 반드시 자동 갱신을 설정하고, 만료 임박 시 메일로 알려주는 모니터링 하나를 붙여둬야 한다. '한 번 켜두면 끝'이 아니라 '알아서 갱신되게 만들어 두는 것'이 핵심이다.
4. http로 들어온 손님도 https로 돌려보내라
자물쇠를 채워도, 옛 명함이나 검색결과에 남은 http:// 주소로 들어오는 손님이 있다. 이때 암호화되지 않은 문으로 그냥 들여보내면 안 된다. 서버에서 http 요청을 https로 자동 전환(301 리다이렉트)하도록 설정하고, 한 발 더 나아가 HSTS를 켜두면 브라우저가 처음부터 안전한 문으로만 노크하게 된다. 손님이 어느 주소로 두드리든 결국 잠긴 문으로 안내되는 구조를 만드는 일이다.
5. 자물쇠가 깨지는 진짜 원인은 대개 '혼합 콘텐츠'다
인증서를 제대로 깔았는데도 자물쇠가 회색으로 뜨거나 경고가 나온다면, 십중팔구 혼합 콘텐츠(mixed content) 때문이다. 페이지는 https인데 그 안의 이미지나 스크립트 하나를 http 주소로 불러오면, 브라우저는 '완전히 안전하지 않다'고 판단한다. 점검 기준은 이렇다.
- 본문 이미지·배너의 주소가 http로 남아 있지 않은지 확인한다.
- 외부에서 붙여온 위젯·지도·폰트 코드가 https를 지원하는지 살핀다.
- 브라우저 개발자 도구 콘솔의 mixed content 경고를 하나씩 지운다.
HTTPS는 한 번 켜는 스위치가 아니라, 갱신·리다이렉트·혼합 콘텐츠까지 꾸준히 관리해야 유지되는 살림살이에 가깝다. CYAN에서 작은 회사 웹사이트를 만들 때 무료 인증서 발급과 자동 갱신, http 전환, 혼합 콘텐츠 점검까지 기본으로 챙기는 이유도 여기에 있다. 손님이 주소창에서 마주하는 그 작은 자물쇠 하나가, 아직 말 한마디 나누지 않은 사이에 '믿어도 되는 곳'이라는 첫인상을 대신 전해주기 때문이다.
