온라인 예약 페이지까지 잘 따라온 손님이, 정작 결제 버튼 앞에서 멈칫한다. 주소창 왼쪽에 자물쇠 대신 '주의 요함' 또는 '안전하지 않음'이라는 회색 글씨가 떠 있기 때문이다. 손님은 그 한 줄을 보고 '여기에 카드번호를 넣어도 되나' 잠시 망설이다, 결국 창을 닫는다. 무슨 잘못을 한 것도 아닌데, 그저 SSL 인증서 하나가 없거나 잘못 걸려 있을 뿐이다.
SSL(정확히는 TLS)은 손님의 브라우저와 우리 서버 사이에 오가는 정보를 암호화해, 중간에서 누군가 훔쳐보지 못하게 막아 주는 장치다. 주소가 http가 아니라 https로 시작하고 주소창에 자물쇠가 뜨는 그 상태다. 요즘은 인증서가 없으면 브라우저가 대놓고 경고를 띄우기 때문에, 보안을 넘어 '신뢰의 첫인상' 문제가 되었다. 작은 회사 웹사이트가 이 자물쇠를 제대로 채우는 다섯 가지 원칙을 정리했다.
1. 모든 페이지를 https로, '반쪽 자물쇠'를 없앤다
인증서만 달면 끝이 아니다. 페이지는 https인데 그 안에 불러오는 이미지·스크립트 주소 하나가 http로 남아 있으면, 브라우저는 자물쇠를 깨진 것으로 표시한다. 이른바 혼합 콘텐츠(mixed content) 문제다. 손님 눈에는 '보안 안 됨'으로 보이므로, 내부에서 불러오는 모든 자원의 주소를 https로 통일해야 온전한 자물쇠가 된다.
2. 인증서 자동 갱신을 걸어, 만료 사고를 원천 차단한다
무료로 널리 쓰는 Let's Encrypt 인증서는 유효기간이 90일이다. 사람이 손으로 챙기면 반드시 잊는 날이 온다. 어느 아침 갑자기 사이트 전체에 빨간 경고가 뜨고 손님이 통째로 튕겨 나가는 사고 대부분이 '갱신 깜빡'이다. 서버에 자동 갱신을 걸어 두고, 갱신 실패 시 알림만 받도록 해 두면 이 사고는 사라진다.
3. http로 들어온 손님을 https로 자동으로 돌려세운다
손님이 명함에 적힌 주소를 http로 치고 들어오거나 오래된 링크를 눌러도, 서버가 곧바로 https 주소로 리다이렉트하도록 설정해야 한다. 여기에 HSTS 설정을 더하면, 브라우저가 처음부터 https로만 접속하도록 기억해 중간에서 가로채는 공격의 틈까지 줄어든다. '들어오는 문을 하나로 모으는' 작업이다.
4. 개인정보가 오가는 구간은 특히 두 번 확인한다
문의 폼, 로그인, 예약·결제처럼 손님의 이름·연락처·카드정보가 오가는 페이지는 SSL이 조금도 어긋나면 안 된다. 이런 구간에서 경고가 뜨면 이탈률이 급격히 오를 뿐 아니라, 개인정보 보호 측면에서도 문제가 된다. 폼 하나를 붙일 때마다 그 페이지가 https로 안전하게 열리는지 반드시 눈으로 확인하는 습관이 필요하다.
5. 자물쇠가 잘 채워져 있는지 주기적으로 점검한다
인증서는 한 번 걸었다고 끝나지 않는다. 갱신이 제대로 도는지, 등급이 낮은 옛 암호화 방식이 켜져 있지는 않은지 이따금 살펴야 한다. SSL Labs 같은 무료 진단 도구에 주소를 넣으면 우리 사이트의 보안 상태를 등급으로 보여 준다. 분기에 한 번만 확인해도 '나도 모르게 자물쇠가 풀려 있던' 사고를 막을 수 있다.
자물쇠 하나가 결국 '믿을 만한 가게'라는 신호다
SSL은 눈에 잘 띄지 않는 장치지만, 손님이 지갑을 열기 직전 마지막으로 확인하는 신뢰의 신호다. 작은 회사일수록 이 기본을 갖춰 두면, 큰 비용 없이도 '여기는 안전하게 관리되는 곳'이라는 인상을 준다. CYAN 에이전시는 사이트를 만들 때 인증서 설치와 자동 갱신, 전 구간 https 전환까지 기본으로 챙겨, 사장님이 자물쇠를 신경 쓰지 않아도 되도록 마무리한다.
