SSL 인증서 확인

도메인 이름을 넣으면 우리 서버가 그 주소로 평범한 HTTPS 연결을 열어 사이트가 내미는 인증서를 읽고 결과를 보여 줍니다. 가장 먼저 볼 값은 남은 날짜이고, 그 아래에 발급 기관, 인증서가 발급된 이름, 유효 기간, 양쪽이 합의한 TLS 버전이 나옵니다. 전체 URL 을 붙여 넣어도 됩니다. 호스트 이름 뒤는 무시합니다.

인증서 하나만으로는 아무것도 증명되지 않습니다. 신뢰를 만드는 것은 사슬입니다. 브라우저에는 수십 곳의 인증 기관 루트 인증서가 들어 있고, 루트가 중간 인증서에 서명하고, 중간 인증서가 다시 웹사이트의 인증서에 서명합니다. 접속하면 서버가 자기 인증서와 중간 인증서를 함께 보내고, 브라우저는 이미 신뢰하는 루트에 닿을 때까지 사슬을 거슬러 올라갑니다. 여기 표시되는 발급 기관은 사이트 인증서에 서명한 곳, 보통 Let's Encrypt·Google Trust Services·DigiCert 같은 기관의 중간 인증서입니다. 서버가 중간 인증서를 빠뜨리면 데스크톱 브라우저는 알아서 메워 주는 경우가 많지만 휴대폰과 명령줄 클라이언트는 그대로 실패합니다. 나에게는 멀쩡한 사이트가 동료에게는 열리지 않는 일이 이래서 생깁니다.

결국 누구나 한 번은 만료로 사고를 겪습니다. 인증서 수명이 짧은 것은 의도된 설계입니다. Let's Encrypt 는 90일이고 업계 기준은 더 짧아지고 있습니다. 키가 유출되어도 인증서가 만료되면 쓸모가 없어지기 때문입니다. 대신 갱신은 자동이어야 하고, 그 자동화를 지켜보는 눈이 있어야 합니다. 인증서가 실제로 만료되면 브라우저는 작은 경고를 띄우는 것이 아니라 전면 차단 화면을 보여 주고, 방문자 대부분은 그 화면을 넘어오지 않습니다. API 클라이언트는 아예 연결을 거부합니다. 갱신은 보통 만료 30일 전에 돌기 때문에 2주 미만이라는 것은 자동 갱신이 이미 두 번 실패했다는 뜻이고 사람이 봐야 합니다. 이 도구가 노란색으로 바뀌는 지점이 정확히 여기입니다.

날짜만큼 중요한 것이 이름 목록입니다. 인증서는 SAN(주체 대체 이름)에 적힌 이름에 대해서만 유효하고, 브라우저는 옛 CN 필드를 아예 보지 않습니다. *.example.com 같은 와일드카드는 한 단계만 덮습니다. blog.example.com 은 되지만 shop.eu.example.com 은 안 됩니다. 그리고 example.com 자체는 따로 적혀 있지 않으면 포함되지 않습니다. 매주 누군가는 이 차이에 걸립니다. TLS 버전 줄은 이번 연결이 실제로 무엇으로 맺어졌는지 알려 줍니다. TLS 1.3 이 현재 표준이고 핸드셰이크가 더 빠릅니다. TLS 1.2 도 아직 괜찮지만 그보다 낮으면 오래전에 폐기된 버전이고 최신 클라이언트는 거부합니다.

서버로 가는 것은 입력한 도메인 이름뿐이고, 서버는 그 공개된 호스트에 접속할 뿐입니다. 파일은 전송하지 않으며, 사용자의 접속 자체를 들여다보거나 저장하지 않습니다.