■ 메일이 안 온다는 공지
2025년 1월 Let's Encrypt 블로그에 'Ending Support for Expiration Notification Emails'가 올라왔다. 6월 4일부터 만료 알림 메일을 보내지 않겠다는 내용이었다. 이유는 셋이었다. 자동 갱신을 갖춘 가입자가 늘었고, 알림을 보내려면 수백만 개의 메일 주소를 발급 기록과 묶어 보관해야 하는데 그게 개인정보 부담이고, 비용이 한 해 수만 달러라는 것. 대신 외부 모니터링 서비스를 쓰라고 했다.
솔직히 그때까지 나는 "갱신은 돌아가니까"로 끝내고 있었다. 90일짜리 인증서를 서버가 알아서 갈아 끼우고, 혹시 실패하면 메일이 오겠지. 그 '혹시'를 받쳐 주던 메일이 사라진 것이다.
■ 처음엔 자동 갱신만 믿었다
우리 사이트 인증서부터 확인했다. 터미널에서 한 줄이면 된다.
echo | openssl s_client -servername example.com -connect example.com:443 2>/dev/null | openssl x509 -noout -issuer -dates
발급자는 Let's Encrypt, 발급일 9월 8일, 만료일 12월 7일. 90일 주기가 정상으로 돌고 있었다(2026년 10월 21일 확인). 여기서 멈출 수도 있었다. 그런데 자동 갱신이 조용히 실패하는 경우를 그동안 몇 번 봤다. 서버를 옮기고 DNS를 바꾼 뒤 인증 파일 경로가 어긋나거나, 방화벽이 바뀌어 발급 서버가 도메인 확인을 못 하거나, 갱신은 됐는데 웹 서버가 새 파일을 다시 읽지 않거나. 갱신 프로그램의 시험 실행(dry run)을 서버 이전 뒤에 꼭 한 번 돌리는 이유다.
■ 바뀐 규칙이 결정을 밀었다
CA/브라우저 포럼 SC-081v3 투표(2025년 4월, 인증기관 찬성 25·반대 0·기권 5, 브라우저 4곳 전원 찬성)로 인증서 최대 유효기간이 2026년 3월 15일부터 200일, 2027년 3월부터 100일, 2029년 3월부터 47일이 된다. 디지서트 한국어 블로그(2025년 5월)가 일정을 정리했고, 가비아는 벌써 1년 결제에 199일짜리 인증서 두 장을 준다고 안내한다. 유료 인증서도 손으로 두 번 갈아야 하고, 2029년이면 일고여덟 번이다. 90일 인증서를 쓰던 입장에서는 "드디어 다들 우리처럼 된다"에 가깝지만, 감시 없는 자동화는 자동화가 아니라는 점은 똑같다.
■ 감시는 세 겹으로
1. 만료일 점검 한 줄. 위 명령을 관리하는 도메인 목록에 돌려 남은 일수를 뽑고, 3주 미만이면 메시지가 오게 한다. 서브도메인(www, m, 예약 페이지)도 목록에 넣는다. 메인만 보다가 모바일 주소에서 경고가 뜨는 게 제일 흔한 사고라서다.
2. 외부 감시. 내 서버가 죽으면 내 스크립트도 죽는다. Let's Encrypt가 권한 외부 모니터링(인증서 250개까지 무료인 서비스도 있다)을 한 겹 더 둔다.
3. 사람. 갱신 주체를 적어 둔다. 올해 3월 이후 들어온 문의 185건 중 SSL이나 보안 인증서를 언급한 5건 가운데 4건이 "누가 어디까지 맡느냐"였다. 제작부터 인증서 적용까지 일괄로, 도메인·SSL을 유지보수에 포함해서, 호스팅·도메인·SSL은 별도 비용인지. 기술 문제가 아니라 담당 문제였다.
이 글을 쓰면서 우리 사이트부터 1번 기준으로 다시 봤다. 1번은 명령 한 줄이라 당일에 끝나는 일이고, 2번은 서비스 가입, 3번은 계약서를 다시 읽는 일이다.
■ 남은 것
크롬은 2026년 10월 크롬 154부터 HTTPS 없는 공개 사이트에 처음 들어갈 때 허락을 묻는 설정을 기본으로 켠다(구글 보안 블로그, 2025년 10월). 인증서가 없는 사이트는 이제 예외 취급이고, 만료된 사이트는 그보다 더 눈에 띈다. 만료일 확인, 갱신 주체, 자동 갱신과 실패 알림, 서브도메인, 도메인·호스팅 만료일. 이 다섯 가지를 운영자용으로 풀어 쓴 글은 웹셀러 인사이트(https://webseller.co.kr/)에 올렸다. 여기엔 메일이 끊긴 뒤 내 점검 순서가 어떻게 바뀌었는지만 남긴다.