Lesson 12 of 20

오리진 인증서 — 15년짜리 뒷문 자물쇠

브라우저는 안 믿는다. 클라우드플레어만 믿는다

Full (strict) 로 가려면 내 서버에 인증서가 있어야 합니다. Let's Encrypt 를 써도 되지만, 프록시 뒤라면 더 편한 길이 있습니다.

클라우드플레어가 오리진 인증서를 공짜로 내줍니다. 유효기간이 15년이에요 — 90일마다 갱신할 일이 없습니다.

High school15년짜리 뒷문 자물쇠

클라우드플레어가 발급하는 오리진 인증서는 특이합니다.

특징	내용
유효기간	최대 15년 — 아주 김
발급이 즉시	도메인 소유 확인이 이미 됐으니
무료	—
브라우저가 안 믿음	—

브라우저는 안 믿고 클라우드플레어만 믿습니다 — 그것으로 충분해요.

세 걸음

#	무엇을
1	SSL/TLS → Origin Server → Create Certificate. 호스트에 `example.com` 과 `*.example.com` 둘 다 넣습니다
2	화면에 인증서와 개인키가 뜹니다. 개인키는 이때 한 번만 보입니다 — 창을 닫으면 다시 못 봅니다
3	서버에 파일 두 개로 저장하고 nginx 를 가리킵니다

$ sudo nano /etc/ssl/certs/example.com.pem      # 인증서
$ sudo nano /etc/ssl/private/example.com.key    # 개인키
$ sudo chmod 600 /etc/ssl/private/example.com.key
$ sudo chown root:root /etc/ssl/private/example.com.key

High school왜 브라우저가 안 믿나

10강의 신뢰의 사슬이 안 이어지기 때문입니다.

일반 인증서	오리진 인증서
공개 루트 CA가 서명	클라우드플레어 전용 CA가 서명
브라우저에 그 루트가 내장	내장 안 됨
—	클라우드플레어만 그 CA를 신뢰

직접 접속하면 경고가 뜹니다 — 프록시를 거쳐야 정상입니다.

nginx 에 붙이기

server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate     /etc/ssl/certs/example.com.pem;
    ssl_certificate_key /etc/ssl/private/example.com.key;
    …
}

$ sudo nginx -t && sudo systemctl reload nginx

nginx -t 를 먼저 하는 습관을 들이세요. 문법이 틀린 채로 reload 하면 서버 전체가 안 뜹니다.

High school그래도 안전한 이유

구간	인증서	누가 검증
방문자 ↔ 클라우드플레어	클라우드플레어의 공개 인증서	브라우저
클라우드플레어 ↔ 서버	오리진 인증서	클라우드플레어

각 구간을 그 구간의 당사자가 검증합니다 — 그래서 안전합니다.

갱신을 잊어 사이트가 죽는 사고를 15년 미루는 셈입니다.

Python Runs in your browser

# 15년짜리라도 달력에 적어 둔다
from datetime import date

발급 = date(2025, 12, 10)
만료 = date(2040, 12,  6)
오늘 = date(2026,  8, 23)

남은 = (만료 - 오늘).days
print("유효기간:", (만료 - 발급).days // 365, "년")
print("남은 날 :", 남은, "일  (약", round(남은 / 365, 1), "년)")
print()
print("Let's Encrypt 였다면 90일마다 갱신:")
print("  그동안 갱신 횟수", (만료 - 발급).days // 90, "번")

High school발급할 때 무엇을 넣나

넣을 이름	커버하는 것
example.com	루트 도메인
*.example.com	한 단계 서브도메인 전부
*.dev.example.com	그 아래 한 단계 더

와일드카드는 한 단계만 커버합니다 — a.b.example.com은 *.example.com에 안 들어가요.

19강에서 example.com과 *.example.com을 둘 다 넣으라고 하는 이유입니다.

🤔 Check yourself

오리진 인증서를 깔고 프록시를 회색(DNS only) 으로 바꿨습니다. 무슨 일이?