손님이 우리 홈페이지 주소를 눌렀는데 주소창에 자물쇠 대신 '주의 요함' 또는 '안전하지 않음'이라는 회색 경고가 뜬다. 손님은 그 문구의 뜻을 정확히 몰라도 본능적으로 손을 멈춘다. 여기에 이름과 전화번호를 넣어도 되는 걸까, 혹시 가짜 사이트는 아닐까. 그렇게 몇 초를 망설이다 결국 뒤로 가기를 누른다. 정작 사장님은 홈페이지가 멀쩡히 열리니 아무 문제가 없다고 믿는다. 주소창의 자물쇠는 장식이 아니라, 손님이 우리 회사를 믿을지 말지 판단하는 첫 번째 신호다. 작은 회사 웹사이트가 HTTPS와 SSL 인증서를 제대로 갖추는 5가지 원칙을 정리했다.
1. 홈페이지 전체를 HTTPS로, 예외 페이지를 남기지 않는다
SSL 인증서를 달았다고 끝이 아니다. 메인은 자물쇠가 걸리는데 하위 페이지나 이벤트 페이지 하나가 여전히 http로 열리면, 손님은 하필 그 페이지에서 경고를 만난다. 특히 이름·연락처를 받는 문의 페이지가 http라면 최악이다.
- 전 페이지 https 강제: 문의·예약·결제처럼 개인정보를 다루는 페이지일수록 예외 없이 암호화한다.
- 혼합 콘텐츠(Mixed Content) 제거: 페이지는 https인데 안에 불러오는 이미지·스크립트 주소가 http로 남아 있으면 자물쇠가 깨진다. 모든 리소스 주소를 https로 맞춘다.
2. 인증서 자동 갱신을 걸어, 만료로 사이트가 멈추지 않게 한다
SSL 인증서에는 유효기간이 있다. 무료로 널리 쓰는 Let's Encrypt는 90일마다 갱신해야 하는데, 이걸 수동으로 관리하다 깜빡하면 어느 날 갑자기 브라우저가 새빨간 전체 화면 경고를 띄우며 접속을 막는다. 손님 눈엔 회사가 문을 닫은 것처럼 보인다.
- 자동 갱신 설정: 만료 전 자동으로 갱신되도록 서버에 걸어 두면 사람이 신경 쓸 일이 없다.
- 만료 알림: 만료 2주 전 메일이나 문자로 알림이 오게 해 두면, 자동 갱신이 실패해도 손쓸 시간이 생긴다.
3. http로 들어온 손님을 https로 자동 안내한다
손님이 명함이나 검색 결과를 통해 http 주소로 들어오는 경우가 여전히 많다. 이때 그냥 http로 열어 주면 경고를 만나거나 암호화되지 않은 채로 정보가 오간다. 들어오는 순간 안전한 주소로 돌려보내야 한다.
- 301 리다이렉트: http로 들어온 모든 요청을 https 주소로 자동 전환한다.
- HSTS 적용: 브라우저에게 '이 사이트는 앞으로 무조건 https로만 접속하라'고 기억시키면, 두 번째 방문부터는 더 빠르고 안전하게 연결된다.
4. 자물쇠가 걸린 뒤에도 방심하지 않는다
자물쇠는 '통신 구간이 암호화됐다'는 뜻이지, 사이트 전체가 안전하다는 보증이 아니다. 자물쇠만 믿고 관리자 비밀번호를 'admin1234'로 두거나, 오래된 프로그램을 방치하면 다른 문으로 뚫린다.
- 보안 헤더 추가: 콘텐츠 보안 정책 같은 기본 보안 헤더를 더하면 흔한 공격을 한 겹 더 막는다.
- 정기 점검: 인증서 상태와 서버 프로그램을 주기적으로 확인해, 뚫릴 틈을 미리 메운다.
5. 무료 인증서로 충분한지, 유료가 필요한지 구분한다
대부분의 작은 회사 홈페이지는 Let's Encrypt 같은 무료 인증서로 충분하다. 자물쇠와 암호화 강도는 유료와 다르지 않다. 다만 상황에 따라 판단이 갈린다.
- 무료로 충분한 경우: 소개·문의 중심의 일반적인 회사·가게 홈페이지.
- 유료를 고려할 경우: 여러 하위 도메인을 한 번에 묶어야 하거나, 기업 실체를 강하게 보증받아야 하는 쇼핑몰·금융 성격의 사이트.
HTTPS는 어렵고 거창한 보안 프로젝트가 아니라, 손님이 우리 회사를 처음 마주하는 3초의 인상을 지키는 기본기다. 자물쇠 하나가 '이 회사는 제대로 한다'는 신뢰를, 깨진 자물쇠가 '여긴 위험하다'는 의심을 만든다. CYAN 에이전시는 작은 회사 웹사이트를 만들 때 전 페이지 HTTPS 적용과 인증서 자동 갱신, 기본 보안 설정까지 기본으로 포함해, 사장님이 자물쇠를 따로 신경 쓰지 않아도 되도록 세팅한다.
