순서
| 단계 | 할 일 | 비고 |
|---|---|---|
| 1. CSR 생성 | 서버에서 개인키와 CSR을 만든다 | 개인키는 서버 밖으로 보내지 않는다 |
| 2. 주문 | DV/OV/EV, 단일·멀티·와일드카드, 계약 기간 선택 | 가격·프로모션 비교 |
| 3. 도메인 확인(DCV) | 이메일, HTTP 파일, DNS TXT, DNS CNAME 중 하나 | CA마다 지원 방식이 다름 (아래 표) |
| 4. 조직 확인 | OV·EV만. 조직 실체, 주소, 전화 확인 | DV는 생략 |
| 5. 발급·설치 | 서버 인증서 + 중간 인증서(체인) 설치 | 서버별 가이드 |
| 6. 재발급 | 계약 기간 동안 약 199일마다 재발급·재설치 | 2026-03 이후 인증서 1장 최대 약 200일 |
1. CSR 만들기
openssl req -new -newkey rsa:2048 -nodes \
-keyout example.com.key -out example.com.csr -subj "/CN=example.com"추가 도메인(SAN, www 등)은 보통 주문서에 입력한다. IIS는 IIS 관리자의 「서버 인증서 → 인증서 요청 만들기」로, Tomcat 키스토어는 keytool -certreq로 CSR을 만들 수도 있다. openssl로 만든 키와 받은 인증서를 PFX 같은 형식으로 바꾸는 법은 발급 공통 가이드에 있다.
2. 상품 고르기
DV는 도메인 소유만 확인한다. 무료 인증서와 같은 등급이다(무료 발급처). OV는 조직(회사) 실체를 확인하고, 인증서에 회사명이 들어간다. EV는 OV보다 확인 단계가 많다(아래 4장).
와일드카드(*.example.com)는 한 단계 서브도메인만 덮는다. 루트 도메인은 SAN으로 같이 넣어야 한다(와일드카드 vs SAN).
3. 도메인 확인 (DCV)
CA마다 지원하는 방식이 다르다.
| CA (브랜드) | 지원 방식 | 공식 문서 |
|---|---|---|
| DigiCert (GeoTrust, Thawte, RapidSSL) | 이메일(정해진 주소, DNS TXT 연락처, CAA 연락처), DNS TXT(권장), DNS CNAME, HTTP 파일(/.well-known/pki-validation/) |
DCV 방법 |
| Sectigo (PositiveSSL 등) | 이메일(사전 승인 주소), HTTP(S) 파일, DNS CNAME | DV 안내 |
| GlobalSign (AlphaSSL) | 승인 이메일, HTTP, DNS TXT | 도메인 확인 절차 |
| Certum | 관리자 이메일, DNS, 파일(/.well-known/pki-validation/certum.txt). 파일 방식은 단일 도메인만 되고, 와일드카드나 www가 포함되면 안 된다 |
확인 방법 |
와일드카드는 파일(HTTP) 방식으로 확인할 수 없다. DNS나 이메일 방식을 쓴다.
WHOIS에 적힌 이메일로 받는 방식은 끝났다. DigiCert는 2025-05-08에 종료했다. 이메일 방식은 admin@, webmaster@ 같은 정해진 주소나 DNS에 등록한 연락처로 받는다.
DNS TXT나 CNAME 방식은 CA가 준 이름과 값을 그대로 넣는다. DNS 전파 확인의 권한 네임서버 행에 보이면 CA에 확인 요청을 누른다. 관리 화면이 도메인을 자동으로 붙여 주는 곳이라면 이름이 …example.com.example.com처럼 두 번 붙지 않았는지 본다.
도메인에 CAA 레코드가 있으면 주문한 CA가 거기 허용돼 있어야 발급된다. 진단의 DNS 섹션에서 확인한다.
4. 조직 확인 (OV, EV)
DigiCert는 전화로 확인한다(절차). 조직 정보를 제출하면 24시간 안에, 제3자 출처에서 찾은 공개 대표번호로 전화한다. 받지 못하면 콜백 번호와 확인 코드를 남기고, 조직 담당자나 기술 담당자, 안내데스크가 그 코드로 회신해야 한다. OV와 EV 모두 조직명, 유형, 상태, 실제 주소를 확인하고, EV는 업력, 등록번호, 신청자 재직 확인 등이 더 붙는다(비교).
Certum은 서류를 받는다(안내).
- OV: 재직증명서나 위임장. 공적 등록부에 없으면 회사 등록 서류도
- EV: 위임장, 도메인 소유 증명, 조직 명의 공과금 고지서, 회사 등록 서류
- 공적 등록부 정보가 담긴 서류는 13개월 이내 발급분이어야 한다.
5. 발급·설치
발급되면 서버 인증서와 중간 인증서를 함께 설치한다. 중간 인증서를 빠뜨리면 크롬은 되는데 Java, curl, 모바일 앱에서 실패한다. 데스크톱 Firefox는 공개 CA의 중간 인증서를 미리 받아 두어 대개 통과한다(원인).
서버별 설치는 Nginx, Apache, Tomcat, IIS, WebtoB 가이드에 있다. 설치한 뒤 진단에서 체인과 만료일을 확인한다.
6. 계약 중 재발급
| CA | 재발급 방식 | 199일 적용일 |
|---|---|---|
| DigiCert | 다년 플랜은 추가 비용 없이 재발급. 재발급분 유효기간은 “199일과 주문 만료일 중 빠른 쪽”. 199일을 다 받으려면 현재 인증서 만료 최소 32일 전에 재발급(공식) | 2026-02-24 |
| Sectigo | 1~5년 구독 유지, 발급분은 최대 199일. 도메인 확인 재사용 기간이 약 198일이라 재발급 때 다시 확인할 수 있음(공식) | 2026-03-12 |
| GlobalSign | 1년 주문 → 1차 199일 발급, 만료 30일 전부터 renew 기능으로 2차 199일을 $0에 발급(FAQ) | 2026-03-14 |
| Certum | 1년 상품은 165~200일째 사이에 한 번 재발급해 1년을 채움(공지) | 2026-03-13 |
재발급 일정을 놓치면 계약이 남아 있어도 인증서는 만료된다. 만료 감시 구독(무료, 도메인 5개)이나 캘린더(/calendar/도메인.ics)로 알림을 받아 둔다.
Entrust 루트로 새로 발급된 인증서는 크롬이 신뢰하지 않는다. 아직 Entrust 인증서를 쓰고 있다면 다른 CA로 바꿀 계획을 세운다.
DigiCert Global Root CA 같은 DigiCert G1 루트는 2026-04-15부터 크롬과 Firefox가 신뢰하지 않는다. G1 체인에 묶인 인증서는 G2·G3 체인으로 재발급한다. DigiCert는 2026-11-12부터 G5 루트(TLS RSA4096 Root G5, TLS ECC P384 Root G5) 체인으로 기본 발급한다. 트러스트 스토어가 오래된 사내 클라이언트나 장비는 G5 루트를 모를 수 있으니 재발급 전에 확인한다(공지).
어디서 살까
판매처별 대표 가격과 진행 중인 프로모션은 SSL 인증서 가격·프로모션 비교에서 판매처 페이지 확인일과 함께 볼 수 있다.