자사몰에 SSL 인증서를 설치하지 않으면 어떤 일이 벌어질까. Chrome 브라우저는 주소창에 “주의 요함” 경고를 표시하고, KISA(한국인터넷진흥원) 조사에 따르면 이런 사이트의 이탈률은 HTTPS 적용 사이트 대비 평균 34% 높다. 방문자 10명 중 3명이 경고 문구 하나 때문에 나가버리는 셈이다. 더 이상 SSL은 선택이 아니다. 문제는 어떤 SSL을 선택하느냐다.
웹서버와 브라우저 사이의 데이터를 암호화하는 디지털 인증서. 현재는 TLS(Transport Layer Security) 프로토콜이 실질적으로 사용되지만, 업계에서는 관습적으로 SSL로 통칭한다. 설치 후 URL이 https://로 바뀌고 주소창에 자물쇠 아이콘이 표시된다. Google은 2014년부터 HTTPS를 검색 랭킹 신호로 공식 채택했다.
“무료 SSL은 보안이 약하다”는 오해부터 정리하자
Let’s Encrypt가 무료라는 이유로 “보안이 떨어진다”고 생각하는 운영자가 많다. 이는 사실과 다르다. 암호화 강도 기준으로 Let’s Encrypt와 연 100만원짜리 EV SSL은 동일하게 256-bit AES 암호화를 사용한다. 차이는 보안 수준이 아니라 인증 수준에 있다.
SSL 인증서는 도메인 소유만 확인하는 DV(Domain Validation), 기업 실재를 추가 검증하는 OV(Organization Validation), 법인 실재와 사업 적법성을 엄격 심사하는 EV(Extended Validation) 세 등급으로 나뉜다. Let’s Encrypt는 DV 등급이고, 유료 EV는 OV·EV 등급이다. 암호화 자체의 안전성은 같고, 그 인증서를 발급한 주체가 얼마나 엄격하게 신원을 확인했는지의 차이다.
SSL 유형별 비용·신뢰도·발급속도 비교
실제 선택에 필요한 수치를 한눈에 비교한다.
| 인증서 유형 | 연간 비용 | 인증 수준 | 발급 속도 | 자동 갱신 | 적합 대상 |
|---|---|---|---|---|---|
| Let’s Encrypt (무료) | 0원 | DV (도메인 소유 확인) | 즉시 발급 | 90일 주기 자동 | 개인몰, 스타트업, 소형 자사몰 |
| 상용 DV SSL | 1만~10만원 | DV (도메인 소유 확인) | 수분~수시간 | 1년 만료 후 갱신 | 관리 편의 우선 소형몰 |
| OV SSL (조직 인증) | 15만~50만원 | OV (기업 실재 확인) | 1~3 영업일 | 1~2년 만료 후 갱신 | 법인 운영 중형 자사몰 |
| EV SSL (확장 검증) | 30만~100만원 | EV (법인 적법성 심사) | 5~15 영업일 | 1~2년 만료 후 갱신 | 금융·의료·대형 커머스 |
- Chrome·Edge·Safari 모두 “주의 요함” 경고 표시 → 이탈률 평균 34% 상승(KISA, 2023)
- Google 검색 랭킹 신호 손실 — HTTPS 미적용은 공식 순위 불이익 요인
- 결제 수단 연동 불가 — PG사(카드사·카카오페이 등) 대부분 HTTPS 필수 요건
- 고객 개인정보 평문 전송 → 개인정보보호법 위반 가능성
자사몰 규모별 SSL 선택 기준
암호화 강도가 동일하다면 비용과 인증 수준을 기준으로 선택하면 된다.
스타트업·소형 자사몰(월 매출 3,000만원 미만): Let’s Encrypt 무료 SSL이 가장 합리적이다. 카페24, 아임웹, 쇼피파이 모두 Let’s Encrypt 자동 설치를 지원한다. 90일마다 자동 갱신되므로 관리 부담도 없다. 다만 갱신 실패 알림 설정은 별도로 해두는 것이 좋다.
성장기 법인 자사몰(월 매출 3,000만~1억원): Let’s Encrypt로 시작해도 무방하지만, 브랜드 신뢰도가 중요한 시점이라면 OV SSL로 업그레이드를 검토할 수 있다. 연 15만~30만원 투자로 법인 실재를 인증서 정보에 포함시킬 수 있어 B2B 거래나 기업 고객 유치 시 신뢰 신호가 된다.
대형 자사몰·금융·의료(월 매출 1억원 이상): EV SSL이 적합하다. 발급에 5~15 영업일이 걸리고 비용도 높지만, 법인 적법성 심사를 통과한 인증서는 일부 기업 고객과 규제 환경에서 신뢰 요건이 된다. 금융·의료 플랫폼이라면 컴플라이언스 측면에서 OV 이상이 사실상 필수다.
SSL 설치 후 반드시 해야 할 5가지
- HTTP → HTTPS 301 리다이렉트 설정: .htaccess 또는 Nginx 설정에서 모든 HTTP 요청을 HTTPS로 강제 전환.
- Mixed Content(혼합 콘텐츠) 제거: 페이지 내 이미지·스크립트·CSS가 http://로 로드되면 자물쇠가 깨짐. 브라우저 개발자 도구 콘솔에서 확인.
- Google Search Console에 HTTPS 버전 재등록: https://로 시작하는 URL을 새로 등록하고 사이트맵 재제출.
- 결제 PG 도메인 변경 확인: PG사 관리자에서 허용 도메인이 https://로 업데이트됐는지 확인.
- 갱신 알림 설정: Let’s Encrypt 자동 갱신이 실패하면 사이트가 차단됨. Certbot 로그 모니터링 또는 외부 만료 알림 서비스 연동 권장.
자주 묻는 질문
카페24에서 자동으로 SSL을 설치해준다고 하는데, 따로 신청해야 하나요?
카페24 호스팅 이용 시 기본 제공 도메인(cafe24.com 서브도메인)에는 SSL이 자동 적용됩니다. 그러나 독립 도메인(예: yourstore.co.kr)을 연결한 경우 카페24 관리자 > 쇼핑몰 설정 > 보안 접속(SSL)에서 Let’s Encrypt 무료 SSL을 별도로 발급·적용해야 합니다. 유료 SSL을 사용한다면 인증서 파일을 직접 업로드하는 과정이 추가됩니다.
와일드카드 SSL이 필요한 경우는 언제인가요?
서브도메인(blog.yourstore.co.kr, admin.yourstore.co.kr 등)을 여러 개 운영할 때 와일드카드 SSL(*.yourstore.co.kr)을 사용하면 하나의 인증서로 모든 서브도메인을 커버할 수 있습니다. Let’s Encrypt도 와일드카드 발급을 지원합니다. 단일 도메인만 운영하는 자사몰은 일반 SSL로 충분합니다.
SSL 만료 시 어떤 일이 생기나요?
인증서가 만료되면 브라우저가 “연결이 안전하지 않습니다” 오류를 표시하며 방문자 대부분이 사이트에 진입하지 못합니다. 검색 노출에도 영향을 미칩니다. Let’s Encrypt는 만료 30일 전부터 자동 갱신을 시도하지만 서버 설정 오류로 실패할 수 있습니다. 만료 전후 알림을 이메일 또는 모니터링 서비스로 받는 것이 필수입니다.