해마다 한 번 인증서를 사서 서버에 설치하던 시대가 끝나고 있습니다. 공인 TLS 인증서의 최대 유효기간이 단계적으로 줄어들기 때문입니다. CA/Browser Forum이 2025년에 통과시킨 SC-081v3 일정에 따라 2026년 3월 15일부터 최대 유효기간은 200일이고, 이후 더 짧아집니다. 직접 갱신을 챙기는 방식으로는 곧 감당하기 어려워지니, 갱신이 자동으로 되는지 지금 점검하는 것이 이 글의 핵심입니다. 내용은 2026년 10월 26일 기준입니다.

일정

  • 2026-03-15부터: 최대 유효기간 200일 (이미 시행 중)
  • 2027-03-15부터: 최대 100일
  • 2029-03-15부터: 최대 47일

기준일 이전에 발급된 인증서는 원래 유효기간을 유지하고, 기준일 이후 발급분부터 새 한도가 적용됩니다. 도메인 소유 확인 결과를 재사용할 수 있는 기간도 같이 줄어서, 갱신할 때마다 도메인 확인을 거의 새로 해야 합니다. 이 일정은 OV, EV 인증서에도 똑같이 적용된다고 정리한 업계 자료가 많습니다. 정확한 값은 CA/Browser Forum의 Baseline Requirements 문서에서 최종 확인하세요.

왜 수동 갱신이 한계인가

  • 200일이면 해마다 한 번 갱신하는 방식은 이미 불가능합니다. 연 2회 이상, 2027년부터는 연 4회 안팎, 2029년부터는 약 한 달 반마다 갱신해야 합니다.
  • 한 번이라도 놓치면 브라우저가 경고 화면을 띄우고, API 호출이나 결제 같은 서버 간 통신도 실패합니다.
  • Let's Encrypt는 2025년 6월부터 인증서 만료 알림 메일 서비스를 종료했습니다. 메일 알림에 기대던 운영은 이제 직접 감시 체계를 두어야 합니다.

지금 점검할 것

  1. 우리 인증서가 어떻게 발급되고 갱신되는지: 서버마다 정리합니다. Let's Encrypt와 certbot·acme.sh 같은 ACME 클라이언트, 호스팅 업체의 자동 SSL, Cloudflare 같은 프록시의 인증서, 직접 구매한 인증서 중 어느 경로인지 확인하세요.
  2. 자동 갱신이 실제로 도는지: certbot이라면 systemctl list-timers와 갱신 시험(certbot renew --dry-run)으로 확인합니다. 설정만 있고 실제로는 멈춰 있는 경우가 흔합니다.
  3. 남은 기간 확인: 아래 명령으로 만료일을 볼 수 있습니다. 
    openssl s_client -connect 도메인:443 -servername 도메인 </dev/null 2>/dev/null | openssl x509 -noout -dates
  4. 갱신 뒤 서비스가 새 인증서를 읽는지: 웹 서버나 프록시를 reload하는 단계(post-hook)가 빠져 있으면 파일은 갱신되어도 서비스는 옛 인증서를 계속 씁니다.
  5. 수동 구매 인증서는 자동화 경로로 이전: 연 단위 상품을 사는 방식은 한도가 줄어들면서 의미가 사라집니다. 업체가 ACME 자동 갱신을 지원하는지 확인하거나, 자동 발급 경로로 옮기세요.
  6. 만료 감시: 만료 14일 전과 7일 전에 알림이 가는 외부 감시를 두세요. 자동 갱신이 조용히 실패하는 경우를 잡아 줍니다.
  7. 도메인 확인 방식: DNS 방식으로 확인하는 경우 DNS API 토큰의 권한과 만료를 점검합니다. 확인이 막혀서 갱신이 실패하는 사례가 많습니다.

한 번에 정리하는 방법

  • 서비스를 도메인 단위로 표로 만들고, 발급처, 갱신 방식, 마지막 갱신일, 만료일, 담당자를 적습니다.
  • 자동화가 안 된 곳부터 우선순위를 정해 하나씩 ACME로 옮깁니다.
  • 사내망이나 장비처럼 ACME가 어려운 곳은 갱신 주기에 맞춘 달력 알림과 담당자 교대 규칙을 따로 둡니다.

서버가 여러 대이거나 오래된 호스팅 환경이라 갱신 자동화가 어렵다면, 포르본허가 인증서 현황 점검부터 자동 갱신 구성, 만료 감시 설정까지 언제든 도와드릴 수 있습니다. 아래 문의 양식에 상황을 간단히 남겨 주세요.

참고 자료