Nginx SSL/HTTPS 설정 완벽 가이드 — Let's Encrypt로 무료 인증서를 발급하는 방법

Nginx 환경에서 Certbot을 활용해 Let's Encrypt SSL 인증서 원클릭 발급받는 방법

SSL 인증서 발급을 수동으로 하려면 도메인 소유권을 수동 챌린지 텍스트로 등록하고 서버에 업로드하느라 번잡함의 극치를 달립니다. 우분투 환경이라면 패키지 매니저인 snap을 통해 certbot을 내리고 certbot-nginx 플러그인을 깔아주는 것이 지름길입니다. 이후 sudo certbot --nginx -d 내도메인 명령어만 쳐주면, Certbot이 도메인 소유권을 실시간 HTTP 챌린지 방식으로 자동 검증하고, 발급 완료된 PEM 인증서 파일들을 /etc/letsencrypt/live/ 경로 밑에 배치한 뒤, Nginx의 가상 호스트 설정 파일까지 알아서 쓱 수정해 배포 준비를 끝마쳐 줍니다.

# Certbot 설치 (Ubuntu)
sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/bin/certbot

# Nginx 설정 자동 수정 포함 인증서 발급
sudo certbot --nginx -d example.com -d www.example.com

# 발급 후 자동 갱신 테스트
sudo certbot renew --dry-run

# 인증서 만료일 확인
sudo certbot certificates

보안 강화를 위해 Nginx에서 HTTP 요청을 HTTPS로 강제 리다이렉트하는 설정법

인증서를 발급했다 하더라도 유저가 http:// 주소로 쳐서 들어오면 여전히 암호화되지 않은 경로로 연결되는 허점이 있습니다. 이를 원천 봉쇄하려면 Nginx 80 포트 블록 내부에 return 301 https://$host$request_uri; 영구 리다이렉트 코드를 심어야 합니다. 나아가 보안 품질을 최고 등급으로 올리려면, 오래된 TLS 1.0/1.1 프로토콜 접근은 완벽히 사장시키고 ssl_protocols TLSv1.2 TLSv1.3;만 안전하게 강제 허용해야 합니다. 추가로 브라우저에게 '앞으로 이 사이트는 무조건 HTTPS로만 들어오렴' 하고 굳건히 기억시키는 HSTS 헤더 옵션까지 더해주면 최고의 안전성 방어벽이 마련됩니다.

Let's Encrypt 인증서 자동 갱신 설정과 만료 방지 방법

Let's Encrypt가 주는 유일한 단점은 인증서 만료 수명이 단 90일이라는 점입니다. 이 90일 주기를 수동으로 챙기다가 깜빡 잊고 넘어가면 어느 날 갑자기 사이트가 마비되어 방문자를 에러 페이지로 반겨주게 되죠. 이를 미연에 타파하기 위해 Certbot은 시스템에 자동 데몬 타이머를 심어 하루 2번 만료 임박 여부를 체크합니다. 여기서 한 발짝 더 나아가, 인증서가 실제로 연장 갱신되는 순간 Nginx 웹서버가 새 PEM 키를 다시 메모리에 로드하도록 --deploy-hook 'systemctl reload nginx' 옵션을 걸어두는 것이 프로덕션 자동화의 핵심 디테일입니다.

Nginx SSL 세션 캐시와 HTTP/2 설정으로 HTTPS 성능을 높이는 방법

HTTPS 암호화 셰이크는 서버 측에 연산 부담을 지우고 첫 응답 속도를 깎아먹는 단점이 있죠. Nginx 세션 캐시 설정을 활성화하여 이미 서명이 끝난 브라우저의 키값을 shared 메모리에 일정 수준 박아두면, 재접속 핸드셰이크 연산 시간을 획기적으로 줄여줄 수 있습니다. 또한 하나의 TCP 커넥션을 뚫어 여러 정적 에셋 파일들을 실시간 멀티플렉싱 전송하는 HTTP/2 혹은 HTTP/3 프로토콜을 Nginx listen 구문에 꼭 수반해주어야 지연 속도가 최소화됩니다.