와일드카드 인증서, 서브도메인이 많을 때 고르는 기준 4가지

와일드카드 인증서는 *.example.com 하나로 한 단계 아래의 모든 서브도메인에 HTTPS를 적용하는 인증서입니다. 이 글에서는 적용 범위와 다중 도메인 인증서와의 차이, 서브도메인이 많을 때 고르는 기준 4가지와 발급·관리 때 주의할 점을 정리했습니다.

와일드카드 인증서의 적용 범위

회사 홈페이지를 운영하다 보면 www 외에도 shop, blog, help처럼 서브도메인이 하나둘 늘어납니다. 서브도메인마다 인증서를 따로 발급하면 만료일과 갱신을 하나씩 챙겨야 합니다. 와일드카드 인증서는 이름 맨 앞을 별표(*)로 두어 한 장으로 여러 서브도메인을 덮습니다.

범위에는 분명한 한계가 있습니다. 서버 인증서의 이름 확인 규칙을 정한 표준 문서 RFC 9525는 별표가 맨 왼쪽 한 칸 전체에만 올 수 있고, 한 칸만 대신할 수 있다고 정하고 있습니다. 그래서 *.example.com은 shop.example.com에는 맞지만 a.shop.example.com처럼 두 단계 아래 주소에는 맞지 않습니다. example.com처럼 별표 자리가 비는 주소도 따로 이름을 넣어야 하는 경우가 많으니 발급처 안내를 확인하세요.

와일드카드 인증서와 다중 도메인 인증서 비교

서브도메인이 여러 개일 때 고를 수 있는 방법은 크게 세 가지입니다. 아래 표는 서브도메인별 개별 인증서, 와일드카드 인증서, 여러 이름을 한 장에 넣는 다중 도메인 인증서를 비교한 것입니다.

구분	적용 범위	장점	주의할 점
개별 인증서	지정한 주소 하나	한 장이 유출돼도 영향이 작음	장수만큼 갱신 관리가 늘어남
와일드카드 인증서	한 단계 아래 모든 서브도메인	새 서브도메인에 바로 적용	유출되면 모든 서브도메인에 영향
다중 도메인 인증서	목록에 넣은 이름들	다른 도메인도 함께 넣을 수 있음	이름이 늘면 다시 발급해야 함

인증서 검증 수준에 따른 DV·OV·EV 구분은 이와 별개의 기준입니다. 검증 수준의 차이는 SSL 인증서 종류, DV·OV·EV 차이와 고르는 기준 4가지에서 따로 다뤘습니다.

그림처럼 와일드카드 인증서는 편리한 대신 한 장에 걸린 범위가 넓습니다. 편리함과 위험의 크기를 함께 놓고 판단해야 합니다. 실제로는 한 가지만 고르기보다, 같은 서버에서 운영하는 서브도메인은 와일드카드로 묶고 다른 업체가 맡는 서브도메인은 개별 인증서로 나누는 식으로 섞어 쓰는 경우도 많습니다.

서브도메인이 많을 때 고르는 기준 4가지

어떤 방식이 맞는지는 서브도메인의 수와 운영 방식에 따라 달라집니다. 아래 네 가지 기준으로 따져 보면 정하기 쉽습니다.

1. 서브도메인이 자주 늘어나는가: 행사나 지점마다 새 서브도메인을 만든다면 와일드카드가 관리하기 편합니다.
2. 서브도메인을 같은 서버에서 운영하는가: 서로 다른 업체나 서버가 나눠 맡는다면 같은 인증서 키를 여러 곳에 복사해야 하므로 개별 인증서가 안전합니다.
3. 두 단계 아래 주소나 다른 도메인이 있는가: 와일드카드로는 덮을 수 없으니 다중 도메인 인증서나 개별 인증서를 함께 씁니다.
4. 발급 방법을 감당할 수 있는가: 와일드카드는 DNS 설정으로 소유를 확인하는 경우가 많아, DNS 관리 권한과 자동화 방법이 있어야 합니다.

그림의 두 번째 기준이 특히 중요합니다. 와일드카드 인증서의 개인 키를 여러 서버와 업체에 나눠 주면, 그중 한 곳만 뚫려도 모든 서브도메인을 사칭하는 데 쓰일 수 있습니다.

와일드카드 인증서 발급과 관리 때 주의할 점

무료 인증서를 발급하는 Let's Encrypt는 인증 방식(Challenge Types) 안내에서 와일드카드 인증서는 DNS-01 방식으로만 발급되고, 웹 서버 파일로 확인하는 HTTP-01 방식으로는 발급할 수 없다고 설명합니다. 같은 문서는 DNS 관리 API의 전체 권한 정보를 웹 서버에 두면 웹 서버가 해킹됐을 때 피해가 크게 늘어난다고 경고하며, 권한을 좁힌 계정을 쓰거나 별도 서버에서 확인하는 방법을 권합니다.

• DNS 관리 계정에 2단계 인증을 켜고, 인증서 자동 발급용 권한은 따로 좁혀 둡니다.
• 인증서와 개인 키를 둔 서버 목록을 적어 두고, 키를 메일이나 메신저로 주고받지 않습니다.
• 만료일을 기록하고 자동 갱신이 실제로 되는지 확인합니다.
• 쓰지 않는 서브도메인은 DNS 기록까지 정리합니다.

마지막 항목은 인증서와 별개로 중요한 보안 점검입니다. 쓰지 않는 DNS 기록이 남아 생기는 문제는 서브도메인 탈취 글에서 다룹니다.

디코랩이 돕는 방식

디코랩은 운영 중인 사이트의 유지보수를 맡으며, 유지보수 상품에는 웹호스팅이 포함됩니다. 서브도메인 구성과 인증서 방식을 정리하고 싶다면 홈페이지 유지보수 상품 안내를 확인하고 상담에서 현재 구성을 함께 살펴볼 수 있습니다.

자주 묻는 질문

서브도메인이 두세 개뿐인데 와일드카드가 필요한가요?

서브도메인이 적고 자주 늘지 않는다면 개별 인증서나 다중 도메인 인증서로도 충분합니다. 앞으로 늘어날 계획이 있는지를 함께 따져 보세요.

와일드카드 인증서 하나로 다른 도메인도 덮을 수 있나요?

*.example.com은 example.com 아래 서브도메인에만 맞습니다. 다른 도메인은 다중 도메인 인증서에 이름을 함께 넣거나 따로 발급해야 합니다.

와일드카드 인증서의 키가 유출되면 어떻게 하나요?

발급처에 인증서 폐기를 요청하고 새 키로 다시 발급한 뒤, 그 인증서를 쓰던 모든 서버에 교체합니다. 키가 어디서 새었는지도 확인해야 같은 일이 반복되지 않습니다.

유료 와일드카드 인증서와 무료 인증서는 무엇이 다른가요?

암호화 자체보다 검증 수준, 유효 기간, 발급처 지원 방식에서 차이가 납니다. 자동 갱신을 운영할 수 있는지와 필요한 검증 수준을 함께 비교하세요.

서브도메인이 늘어 인증서 관리가 복잡해졌다면 사용 중인 주소 목록을 적어 디코랩 프로젝트 문의로 보내 주세요.