HTTPS와 자물쇠

주소창에 뜨는 자물쇠 표시예요. 손님과 내 가게 사이에 오가는 말을 봉해서 보내는 장치고, 없으면 브라우저가 손님에게 경고를 띄워요.

쉽게 말하면

엽서와 봉투의 차이예요. 엽서는 배달하는 사람이 다 읽을 수 있어요. 봉투에 넣어 봉하면 받는 사람만 뜯어 봅니다. HTTPS가 그 봉투예요. 손님이 입력한 전화번호나 카드 번호가 봉해진 채로 내 가게까지 옵니다.

봉투가 하는 일이 하나 더 있어요. 가짜 가게를 막는 것이에요. 봉투에는 발신인 확인이 되어 있어서, 손님이 우리 가게 주소로 들어왔을 때 정말 우리 가게인지 브라우저가 대신 확인해 줍니다.

자물쇠가 없으면

주소창에 "안전하지 않음" 경고

손님이 들어오자마자 경고를 봐요. 예약하려다 그냥 나가는 손님이 실제로 생겨요.

자물쇠가 있으면

주소창에 자물쇠 표시

손님은 아무것도 못 느껴요. 그게 정상이고, 정상인 게 중요해요.

옛날에는 결제하는 화면에만 자물쇠를 달았어요. 지금은 모든 화면에 있어야 정상이에요. 없으면 브라우저가 손님에게 대놓고 경고를 띄웁니다. 잘못한 게 없어도 수상한 가게처럼 보이는 거예요.

검색 순위에도 영향이 있어요

검색 회사들이 자물쇠 없는 사이트를 아래로 내립니다. 손님이 겁먹고 나가는 것도 문제지만, 애초에 검색에서 덜 보이는 것이 더 큰 손해예요.

거의 없어요. 바이브캠퍼스에서 [[deploy|게시]]하면 자물쇠는 자동으로 붙습니다. 신청할 것도, 낼 돈도 없어요.

도메인을 연결할 때도 마찬가지예요. 연결하고 나면 그 주소에도 자물쇠가 자동으로 준비돼요. 다만 연결 직후 몇 분에서 한 시간쯤은 경고가 뜰 수 있어요. 봉투에 찍을 도장을 만드는 시간이라고 보시면 돼요. 기다리면 사라집니다.

장면 1 · 손님이 경고를 봤다고 한다

“손님이 사이트 들어가려니까 위험하다고 떴대요. 해킹당한 건가요?”

해킹이 아니라 봉투가 빠졌거나 도장이 만료된 것인 경우가 대부분이에요. 옛날에 만든 사이트에서 자주 나는데, 도장에 유효기간이 있어서 갱신을 놓치면 생겨요. 요즘 서비스는 자동 갱신이라 이 일이 잘 안 납니다.

장면 2 · 업체가 인증서 비용을 청구한다

“보안 인증서 연 20만원이 청구됐는데 꼭 필요한 건가요?”

동네 가게 규모에서는 대개 필요 없어요. 지금은 무료로 발급되고 자동으로 갱신되는 방식이 표준이에요. 은행이나 대형 쇼핑몰처럼 회사 실체를 증명해야 하는 곳은 유료를 쓰지만, 손님이 보는 자물쇠 모양은 똑같습니다.

Q. 자물쇠가 있으면 해킹당하지 않나요?: 아니요. 자물쇠는 오가는 길을 봉하는 것이지 가게 안을 지키는 게 아니에요. 비밀번호를 잘 관리하고 키를 금고에 두는 것은 따로 해야 해요.
Q. 자물쇠가 있으면 손님 정보가 안전한가요?: 전달되는 동안은 안전해요. 다만 도착한 뒤 어떻게 보관하느냐는 별개예요. 받아서 아무 데나 두면 소용없습니다.
Q. 돈이 드나요?: 바이브캠퍼스에서는 안 들어요. 직접 관리하는 경우에도 무료 방식이 표준이에요.
Q. http와 https가 뭐가 달라요?: s 하나가 봉투예요. 요즘은 http로 들어와도 자동으로 https로 옮겨 주는 게 보통이라, 손님이 신경 쓸 일은 없어요.
Q. 자물쇠가 있으면 믿을 만한 가게인가요?: 그건 아니에요. 자물쇠는 길이 안전하다는 뜻이지 가게가 정직하다는 뜻은 아니에요. 사기 사이트도 자물쇠는 답니다. 손님에게도 이 점을 오해하지 않게 해 주세요.

확인해 보세요

업체가 보안 인증서 비용으로 연 20만원을 청구했어요. 어떻게 볼까요?

하나 더

내 사이트에 자물쇠가 있어요. 이제 해킹 걱정 없나요?

직접 해보기

내 화면 주소창을 한 번 보세요

게시한 주소를 열고 주소창 왼쪽을 보세요. 자물쇠가 있으면 끝이에요. 사장님이 할 확인은 이게 전부예요.

더 깊이 (안 읽어도 괜찮아요)

봉투 안에서 벌어지는 일 · 손님 브라우저와 내 서버가 만나는 순간, 둘만 아는 임시 자물쇠를 그 자리에서 만들어요. 그 뒤로 오가는 말은 그 자물쇠로 잠급니다. 중간에서 누가 훔쳐봐도 뜻을 알 수 없는 글자 뭉치만 보여요.

도장을 누가 찍어주나 · "이 주소는 진짜 이 사람 것이 맞다"고 보증해 주는 기관이 있어요. 브라우저는 그 기관 목록을 미리 갖고 있어서, 목록에 없는 곳이 찍은 도장은 안 믿고 경고를 띄웁니다. 그래서 도장을 직접 만들어 붙이면 오히려 경고가 나요.

유효기간이 짧아진 이유 · 요즘 도장은 몇 달짜리예요. 짧을수록 훔친 도장이 오래 쓰이지 못하거든요. 대신 자동 갱신이 기본이 돼서 사람이 챙길 일은 오히려 줄었어요.

이것만 기억하세요