HTTPS — 자물쇠는 어떻게 채우나

2강의 tcpdump 를 기억하시나요? 80 포트로 오간 요청은 GET / 이 글자 그대로 보였습니다. 로그인 비밀번호도 마찬가지예요.

전자상거래에서는 이게 그냥 위험한 정도가 아니라 법적으로 불가능합니다. 결제 정보를 평문으로 실어 나를 수는 없으니까요. 그래서 HTTPS를 씁니다.

TLS 핸드셰이크 — 자물쇠를 채우는 순서

핵심은 검증 단계입니다. 암호화만 하는 것이라면 인증서 없이도 됩니다. 인증서가 필요한 이유는 "이 서버가 정말 mallshop.kr 인가" 를 확인하기 위해서예요. 그게 없으면 중간에 누가 끼어들어 가짜 사이트를 보여 줘도 알 수 없습니다.

인증서 세 종류 — 무엇을 고를까

쇼핑몰이라면 Let's Encrypt + certbot 이 정석입니다. 명령 한 줄이면 끝나요.

sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d mallshop.kr -d www.mallshop.kr

certbot 은 인증서를 받아 오는 것뿐 아니라 nginx 설정까지 알아서 고쳐 주고, 갱신 타이머까지 등록해 줍니다.

HTTP로 온 손님은 HTTPS로 보냅니다

인증서를 붙였다고 끝이 아닙니다. 손님이 주소창에 mallshop.kr 만 치면 브라우저는 아직 80번으로 갑니다. 이걸 443으로 넘겨 줘야 해요.

server {
    listen 80;
    server_name mallshop.kr www.mallshop.kr;
    return 301 https://$host$request_uri;   # 영구 이사 안내
}

301 은 "영구 이사"입니다(9강). 브라우저가 이 답을 기억해서 다음부터는 처음부터 443으로 갑니다.