SSL 인증서 유효기간 단축, 200일 시대 대응 3단계

2026년 3월 15일부터 새로 발급하는 SSL 인증서의 최대 유효기간이 200일로 줄었다. 1년에 한 번 갱신하면 되던 시절은 끝났다. 2027년에는 100일, 2029년에는 47일까지 짧아진다. 손으로 갱신해 온 곳이라면 방식을 바꿀 수밖에 없다.

핵심 요약

• CA/브라우저 포럼이 2025년 4월 인증서 수명 단축안을 통과시켰다. 398일이던 상한이 200일·100일·47일로 단계적으로 줄어든다.
• 주소창 자물쇠는 통신이 암호화됐다는 표시일 뿐, 그 사이트가 믿을 만하다는 보증이 아니다.
• 무료 인증서도 암호화 강도는 같다. 차이는 검증 범위와 갱신 자동화에 있다.
• 만료되면 브라우저가 경고 화면을 띄우고 손님은 대부분 되돌아간다. 사고는 주로 연휴에 터진다.

주소창 자물쇠가 보장하는 것과 보장하지 않는 것

자물쇠 아이콘은 브라우저와 서버 사이에 오가는 내용이 암호화됐다고 알린다. 카페 와이파이에서 누가 엿봐도 로그인 정보나 문의 내용이 평문으로 보이지 않는다. 여기까지가 보장 범위다. 브라우저와 서버가 어떻게 주고받는지 감이 잡히지 않는다면 서버란 무엇인가를 먼저 보면 이해가 빠르다.

보장하지 않는 쪽도 분명하다. 자물쇠는 그 사이트가 정직한 곳인지까지 말해주지 않는다. 피싱 사이트도 무료 인증서를 받아 자물쇠를 단다. 주소가 진짜인지 확인하는 일은 여전히 사람 몫이다.

398일에서 47일로, 단축 일정

디지서트 안내에 따르면 일정은 이렇다. 2026년 3월 15일 이전에는 398일, 2026년 3월 15일부터 200일, 2027년 3월 15일부터 100일, 2029년 3월 15일부터 47일이다. 도메인 소유권 검증 정보를 재사용할 수 있는 기간도 함께 짧아져 2029년에는 10일이 된다.

시점	최대 유효기간	검증 정보 재사용
2026년 3월 15일 이전	398일	398일
2026년 3월 15일부터	200일	200일
2027년 3월 15일부터	100일	100일
2029년 3월 15일부터	47일	10일

47일은 한 달에 보름을 더하고 하루 여유를 준 값이다. 이 주기가 되면 달력에 적어두고 사람이 갱신하는 방식은 사실상 불가능하다. 자동 갱신이 선택이 아니라 기본이 된다.

인증서 종류와 무료 인증서

인증서는 검증 범위로 나뉜다. 도메인 소유만 확인하는 것, 조직 실체까지 확인하는 것, 법인 심사를 더 깊이 하는 것. 암호화 강도는 셋 다 같다. 값이 갈리는 이유는 심사 범위와 보증, 지원이지 보안 수준이 아니다. 견적서에서 이런 항목이 낯설다면 웹 개발 용어 정리를 곁에 두면 읽기 편하다.

홈페이지 대부분은 무료 인증서로 충분하다. 무료 발급 기관은 애초부터 90일 주기 자동 갱신을 전제로 설계했다. 이번 단축 흐름에는 이미 맞춰진 셈이다. 금융이나 결제를 직접 다루는 곳이라면 조직 검증을 고려한다.

서버 관리를 맡기고 있다면 이렇게 물어보면 된다. "인증서 자동 갱신이 걸려 있나요, 실패하면 어디로 알림이 오나요?" 자동 갱신이 걸려 있어도 알림이 없으면 실패를 만료 당일에 알게 된다.

만료되면 실제로 벌어지는 일

만료된다고 사이트가 사라지지는 않는다. 대신 브라우저가 전체 화면 경고를 띄운다. 손님 눈에 보이는 건 이 사이트는 안전하지 않다는 화면이다. 대부분 뒤로 가기를 누른다.

눈에 안 보이는 피해도 있다. 검색 노출과 광고 랜딩이 함께 막히고 문의 폼과 결제가 멈춘다. 만료는 주로 담당자가 자리를 비운 연휴에 드러난다. 앞으로 주기가 짧아지면 이 위험도 그만큼 자주 돌아온다. 예약이나 결제를 직접 받는 웹 애플리케이션이라면 멈춘 시간이 그대로 매출 손실이 된다.

200일 시대 대응 3단계

1. 지금 쓰는 인증서의 만료일과 발급처를 확인한다. 모르면 브라우저 자물쇠를 눌러 인증서 정보에서 볼 수 있다.
2. 자동 갱신으로 바꾼다. 호스팅이나 CDN을 쓰면 대개 설정 한 번으로 끝난다.
3. 갱신 실패 알림을 사람에게 닿는 채널로 연결한다. 메일함에만 오면 못 본다.

가상 예시를 들어본다. 예약을 받는 작은 사이트가 1년짜리 인증서를 손으로 갱신해 왔다고 하자. 앞으로는 같은 일을 1년에 두 번 해야 하고 몇 년 뒤에는 여덟 번 가까이 반복한다. 사람 손으로 감당할 빈도가 아니라 결국 자동화로 간다. 지금 바꾸면 한 번으로 끝나지만 미루면 사고가 난 뒤에 급하게 바꾸게 된다. 새로 홈페이지를 제작한다면 인수인계 문서에 갱신 방식과 알림 수신자를 적어두는 것으로 이 일은 끝난다.