2026년에 무료 SSL 인증서를 받는 방법은 여러 가지입니다. 하지만 “무료”라고 해서 모두 같은 것은 아닙니다. 발급 가능한 인증서 수, 개인키가 정말 비공개로 유지되는지, 와일드카드 지원 여부, 공급업체를 떠날 때 어떤 일이 일어나는지에서 차이가 납니다.
이것은 다른 사이트에서는 하지 않는 비교입니다: 개인키가 어디에서 생성되는지를 분석합니다. 공급업체가 여러분의 키를 가지고 있다면, 암호화는 근본부터 무너진 것이기 때문입니다.
한눈에 비교: 모든 공급업체 요약
| 공급업체 | 유형 | 유효 기간 | 와일드카드 (무료) | 계정 필요 | 개인키 | 무료 한도 | 자동 갱신 |
|---|---|---|---|---|---|---|---|
| Let’s Encrypt | 독립 CA | 90일 | ✅ DNS-01 | 불필요 | ✅ 로컬 | 무제한 | ACME 클라이언트 사용 |
| ZeroSSL | 독립 CA | 90일 | ❌ 유료 전용 | 이메일 | ⚠️ 방식에 따라 다름 | 3개 | ACME 사용 |
| Buypass Go | 독립 CA | 180일 | ❌ | 불필요 | ✅ 로컬 | 무제한 | ACME 사용 |
| Google Trust Services | 독립 CA | 90일 | ✅ DNS-01 | Google Cloud | ✅ 로컬 | 무제한 | ACME 사용 |
| Cloudflare | CDN 프록시 | 자동 | ✅ | 이메일 | ❌ Cloudflare 보유 | 무제한 | 자동 |
| SSL For Free | 웹 도구 | 90일 | ❌ | 이메일 | ⚠️ 서버 생성 | 3개 | 불가 |
| 호스팅 업체 | 번들 | 90일 이상 | 다양 | 호스팅 계정 | ✅ 서버에 저장 | 무제한 | 대부분 자동 |
| AWS ACM | 클라우드 서비스 | 자동 | ✅ | AWS 계정 | ❌ AWS 보유 | 무제한 | 자동 |
독립 인증 기관(CA)
이 CA들은 다운로드하여 소유할 수 있는 인증서를 발급합니다. 어떤 서버, 어떤 플랫폼, 어떤 공급업체에든 설치할 수 있습니다.
Let’s Encrypt — 업계 표준
Let’s Encrypt는 Internet Security Research Group(ISRG)이 운영하는 비영리 CA입니다. **전 세계 CA 점유율 63.9%**와 3억 개 이상의 활성 인증서로 시장을 지배하고 있습니다.
기본 선택이 되는 이유:
- 진정한 무제한 — 무료 등급 제한 없음, 업셀 없음, 유료 플랜 없음
- 와일드카드 인증서 — DNS-01 챌린지를 통해 무료로 제공
- 방대한 생태계 — 50개 이상의 ACME 클라이언트: GetHTTPS (브라우저), Certbot (CLI), acme.sh (셸), Caddy (내장) 등
- 계정 불필요 — ACME 계정 키가 로컬에서 생성되며, 이메일 가입 불필요
- 인증서 투명성 — 발급된 모든 인증서가 공개적으로 기록되어 책임성 보장
- 후원사: Mozilla, Google, EFF, Meta, Cisco 등
제한 사항:
- 90일 유효 기간 (갱신 계획 필요 — 가이드)
- DV 전용 — OV 또는 EV 없음 (필요할까요?)
- 발급 제한: 등록 도메인당 주 50개 (합법적 사용에는 충분)
- 전담 지원 없음 — 커뮤니티 포럼만 운영
Let’s Encrypt 인증서 받는 방법:
| 도구 | 유형 | 적합한 용도 |
|---|---|---|
| GetHTTPS | 브라우저 | 설치 불필요, 키가 브라우저에 유지 |
| Certbot | CLI | Linux 서버에서 자동 갱신 |
| acme.sh | 셸 스크립트 | 루트 불필요, 150개 이상 DNS 플러그인 |
| Caddy | 웹 서버 | 설정 없이 HTTPS |
ZeroSSL — 조건이 붙은 무료 등급
ZeroSSL은 Sectigo가 지원하는 상업 CA입니다. 유료 플랜($10-100/월)과 함께 무료 등급을 제공합니다.
Let’s Encrypt 대비 장점:
- 인증서 관리를 위한 웹 대시보드
- 프로그래밍 방식 발급을 위한 REST API
- 이메일 검증 (서버 접근 불필요)
- 유료 플랜에서 1년 인증서
주의할 점:
- 무료 등급: 인증서 3개만 — 이후 유료 플랜 필요
- 와일드카드: 유료 전용 — Let’s Encrypt는 와일드카드를 무료로 제공
- 개인키 우려: 웹 대시보드 사용 시 키가 ZeroSSL 서버에서 생성될 수 있습니다. ACME 엔드포인트를 로컬 클라이언트와 함께 사용하면 키가 로컬에 유지됩니다.
- Sectigo 소유 — 상업적 동기를 가진 상업 CA
결론: 대시보드를 원하는 1-3개 사이트에는 ZeroSSL도 괜찮습니다. 그 이상은 제한 없는 Let’s Encrypt가 낫습니다. 상세 비교 →
Buypass Go SSL — 더 긴 유효 기간, 적은 기능
Buypass는 180일 유효 기간의 무료 DV 인증서를 제공하는 노르웨이 CA입니다 — Let’s Encrypt의 두 배입니다.
장점:
- 180일 유효 기간 = 갱신 횟수 감소
- ACME 프로토콜 지원 (Certbot, acme.sh 호환)
- 계정 불필요
- 유럽 CA (GDPR을 중시하는 조직에 적합)
- 무제한 무료 인증서
제한 사항:
- 와일드카드 미지원 —
*.example.com이 필요하면 결정적 단점 - 작은 커뮤니티 — 문서 부족, 테스트된 통합 적음
- 낮은 인지도
적합한 용도: 와일드카드 없이 긴 유효 기간을 원하는 간단한 사이트.
Google Trust Services — Google의 자체 CA
Google Trust Services는 Google 인프라를 기반으로 ACME를 통해 무료 DV 인증서를 발급합니다.
장점:
- DNS-01을 통한 와일드카드 지원
- Google급 안정성
- ACME 호환 (Certbot, acme.sh)
제한 사항:
- ACME 엔드포인트에 Google Cloud 계정 필요
- Let’s Encrypt보다 커뮤니티 문서 부족
- 90일 유효 기간
- Google Cloud 종속성
적합한 용도: 이미 Google Cloud를 사용 중이며 하나의 생태계를 원하는 팀.
CDN 및 클라우드 관리형 SSL
이 공급업체들은 인증서를 대신 관리합니다 — 하지만 소유권은 없습니다.
Cloudflare — CDN의 일부로 제공되는 무료 SSL
Cloudflare는 무료 플랜에서 “Universal SSL”을 제공합니다. 하지만 이것은 다운로드 가능한 인증서와는 근본적으로 다릅니다.
Cloudflare SSL의 실제 작동 방식:
Visitor ──HTTPS──→ Cloudflare Edge ──???──→ Your Origin Server
(Cloudflare's cert) (may be unencrypted!)방문자의 암호화된 연결은 서버가 아닌 Cloudflare에서 종료됩니다. Cloudflare가 트래픽을 복호화하고 처리(캐싱, WAF 등)한 다음 원본 서버에 별도로 연결합니다.
문제점: “Flexible” 모드(많은 사이트의 기본값)에서 Cloudflare→원본 연결은 평문 HTTP입니다. 방문자는 자물쇠 아이콘을 보지만, 백엔드 트래픽은 암호화되지 않습니다. 항상 “Full (Strict)” 모드와 원본 서버의 실제 인증서를 함께 사용하세요.
제공되지 않는 것:
- 다운로드할 수 있는 인증서 파일
- 제어할 수 있는 개인키
- Cloudflare 없이 작동하는 인증서
- Cloudflare로부터의 프라이버시 (모든 트래픽을 평문으로 확인 가능)
- 웹 외 서비스(이메일, Cloudflare 뒤에 있지 않은 API)에서의 사용
제공되는 것:
- 인증서 관리 불필요
- 자동 갱신
- DDoS 보호, CDN 및 기타 Cloudflare 기능
- 와일드카드 지원
적합한 용도: 이미 Cloudflare를 사용 중이고 프록시 모델을 수용하는 사이트. 종단 간 암호화나 이식성이 필요하다면 실제 인증서의 대체제가 아닙니다. 전체 비교 →
AWS Certificate Manager (ACM) — AWS 서비스 전용
ACM은 AWS 로드 밸런서(ALB/NLB), CloudFront, API Gateway를 위한 무료 인증서를 제공합니다.
핵심 제한: 개인키를 다운로드할 수 없습니다. ACM 인증서는 AWS 관리 서비스에서만 작동합니다 — EC2에 직접 또는 AWS 외 서버에서는 사용할 수 없습니다. AWS SSL 전체 가이드 →
웹 기반 도구 (주의 필요)
SSL For Free — 편의성의 대가로 프라이버시 희생
SSL For Free는 Let’s Encrypt 인증서를 받기 위한 간단한 웹 도구였습니다. 현재는 ZeroSSL/Sectigo가 소유하고 있으며 ZeroSSL로 리다이렉트됩니다.
⚠️ 심각한 프라이버시 문제: SSL For Free의 웹 인터페이스는 개인키를 서버에서 생성하여 사용자에게 전송했습니다. 이는 그들이 개인키 — 비밀로 유지되어야 하는 것 — 에 접근할 수 있었다는 뜻입니다. 그들의 시스템이 침해되면 생성된 모든 키가 유출될 수 있습니다.
이것이 SSL For Free와 GetHTTPS의 핵심적인 차이입니다: GetHTTPS는 Web Crypto API를 사용하여 브라우저에서 키를 생성합니다. 키는 다운로드할 때까지 브라우저 메모리에만 존재합니다. 어떤 서버도 이를 보지 못합니다. 상세 비교 →
번들 SSL을 포함하는 호스팅 업체
대부분의 현대 호스팅 업체는 무료 SSL을 포함합니다 — 보통 AutoSSL 또는 자체 통합을 통한 Let’s Encrypt:
| 호스팅 업체 | 무료 SSL | 와일드카드 | 자동 갱신 | 활성화 방법 |
|---|---|---|---|---|
| Hostinger | ✅ Let’s Encrypt | ✅ | ✅ | hPanel → Security → SSL |
| SiteGround | ✅ Let’s Encrypt | ✅ | ✅ | Site Tools → Security → SSL |
| Bluehost | ✅ Let’s Encrypt | ❌ | ✅ | My Sites → Security |
| Namecheap | ✅ AutoSSL | ❌ | ✅ | cPanel → SSL/TLS Status |
| A2 Hosting | ✅ Let’s Encrypt | ✅ | ✅ | cPanel → SSL/TLS |
| DreamHost | ✅ Let’s Encrypt | ✅ | ✅ | Panel → Secure Hosting |
| DigitalOcean | ❌ | — | — | GetHTTPS 또는 Certbot 사용 |
| Hetzner | ❌ | — | — | GetHTTPS 또는 Certbot 사용 |
| Vultr | ❌ | — | — | GetHTTPS 또는 Certbot 사용 |
호스팅에 무료 SSL이 포함되어 있다면 — 사용하세요. 가장 쉬운 방법입니다.
호스팅에 포함되어 있지 않다면 (DigitalOcean, Hetzner, Vultr, Linode 또는 모든 VPS) — 빠른 인증서 발급에는 GetHTTPS를, 자동 갱신에는 Certbot을 사용하세요.
프라이버시 차원: 개인키는 어디에?
이것은 다른 “최고의 무료 SSL” 기사에서 다루지 않는 비교이며, 가장 중요한 보안 질문입니다:
| 공급업체 | 개인키 생성 위치 | 접근 가능한 주체 | 위험 수준 |
|---|---|---|---|
| GetHTTPS | 브라우저 (Web Crypto API) | 본인만 | ✅ 최저 |
| Certbot / acme.sh | 서버 (OpenSSL) | 본인 + 루트 권한 보유자 | ✅ 일반 |
| Let’s Encrypt (모든 클라이언트) | 클라이언트에 따라 다름 — 위 참고 | 클라이언트에 따라 다름 | 다양 |
| ZeroSSL (ACME 클라이언트) | 서버 | 본인 + 루트 | ✅ 일반 |
| ZeroSSL (웹 대시보드) | ZeroSSL 서버 | ZeroSSL + 본인 | ⚠️ 높음 |
| SSL For Free (웹) | 자체 서버 | SSLForFree + 본인 | ⚠️ 높음 |
| Cloudflare | Cloudflare 인프라 | Cloudflare | ⚠️ 보유하지 못함 |
| AWS ACM | AWS 인프라 | AWS | ⚠️ 보유하지 못함 |
| 호스팅 AutoSSL | 호스팅 서버 | 호스팅 업체 + 본인 | ✅ 일반 |
이것이 중요한 이유: 개인키는 인증서 보안의 기반입니다. 다른 누군가가 이를 가지고 있으면 웹사이트를 사칭할 수 있습니다. 대부분의 “무료 SSL 공급업체” 비교에서는 이를 완전히 무시합니다.
의사결정 매트릭스
| 상황 | 추천 | 이유 |
|---|---|---|
| 대부분의 웹사이트 | Let’s Encrypt via GetHTTPS | 제한 없음, 최고의 프라이버시, 어디서든 작동 |
| 자동 갱신 필요 | Let’s Encrypt via Certbot | 한 번 설정하면 영원히 관리 불필요 |
| cPanel 공유 호스팅 | 호스팅의 AutoSSL | 이미 설치됨, 노력 불필요 |
| 이미 Cloudflare 사용 중 | Cloudflare + GetHTTPS의 원본 인증서 | CDN 이점 + 실제 원본 암호화 |
| 이미 AWS 사용 중 | ALB/CloudFront용 ACM + EC2용 GetHTTPS | ACM은 무료이고 자동 갱신 |
| 더 긴 유효 기간 원함 | Buypass Go via Certbot | 90일 대비 180일 |
| 대시보드로 빠르게 1-3개 인증서 필요 | ZeroSSL | 웹 UI, 이메일 검증 |
| 프라이버시 중시 | Let’s Encrypt via GetHTTPS | 키가 브라우저 밖으로 나가지 않음 |
| Google Cloud 사용자 | Google Trust Services | 네이티브 통합 |
권장 사항
대부분의 웹사이트에: Let’s Encrypt가 확실한 승자입니다.
- 전 세계 63.9% 시장 점유율 — 검증된 기본 선택
- 제한 없음, 업셀 없음, 조건 없음
- 방대한 도구 생태계
다음을 원한다면 **GetHTTPS**를 클라이언트로 사용하세요:
- 설치 불필요 (브라우저만 사용)
- 브라우저에서 로컬로 생성되는 개인키
- Let’s Encrypt에 직접 연결, 중개자 없음
- 챌린지 제출 전 사전 검증
서버에서 개인키를 생성하는 도구는 피하세요. 도구 제공자가 키를 가지고 있다면, 암호화는 근본부터 무너진 것입니다.
자주 묻는 질문
무료 SSL 인증서가 유료만큼 안전한가요?
네. 무료든 유료든 모든 SSL 인증서는 동일한 TLS 암호화를 사용합니다. Let’s Encrypt의 무료 DV 인증서는 $500 EV 인증서와 동일한 암호화 강도를 제공합니다. 차이는 암호화가 아니라 신원 검증 수준 (DV/OV/EV)에 있습니다. 전체 비교 →
왜 일부 공급업체는 무료 인증서를 3개로 제한하나요?
비즈니스 모델 때문입니다. 상업 CA(ZeroSSL/Sectigo)는 무료 등급을 유료 플랜으로 유도하는 마케팅 퍼널로 사용합니다. 비영리 단체인 Let’s Encrypt는 발급을 제한할 이유가 없습니다.
Cloudflare SSL은 “진짜” 인증서인가요?
Cloudflare는 도메인에 대한 실제 인증서를 발급합니다 — 하지만 여러분의 서버가 아닌 Cloudflare 서버에 있습니다. 방문자는 Cloudflare와의 암호화된 연결을 얻지만, Cloudflare와 원본 서버 간의 연결은 별도이며(“Flexible” 모드에서는 암호화되지 않을 수 있습니다). 인증서를 소유하거나 제어할 수 없습니다. 자세히 →
2029년에 유효 기간이 47일로 줄어들면 어떻게 되나요?
CA/Browser Forum이 최대 유효 기간을 47일로 줄이기로 결의했습니다. 이는 모든 공급업체에 동일하게 적용됩니다. 자동 갱신(Certbot, acme.sh, 호스팅 AutoSSL)은 선택이 아닌 필수가 됩니다. 수동 워크플로우(GetHTTPS)의 경우 약 30일마다 갱신하게 됩니다.
여러 공급업체를 동시에 사용할 수 있나요?
네. 메인 사이트에는 Let’s Encrypt를, CDN이 적용된 서비스에는 Cloudflare를, AWS 로드 밸런서에는 ACM을 사용할 수 있습니다. 다른 CA의 인증서는 서로 충돌하지 않습니다.
WordPress에 가장 좋은 무료 공급업체는 무엇인가요?
호스팅 업체의 내장 SSL이 가장 간단합니다. 호스팅에 포함되어 있지 않다면 GetHTTPS를 사용하여 Let’s Encrypt 인증서를 받고 cPanel을 통해 설치하세요. WordPress SSL 전체 가이드 →
공급업체를 전환하려면 어떻게 하나요?
새 공급업체에서 새 인증서를 생성하고 서버의 파일을 교체하면 됩니다. 마이그레이션도, 이전 공급업체와의 조율도 필요 없습니다. 인증서는 독립적입니다 — 하나를 다른 것으로 교체하는 것은 파일을 바꾸는 것에 불과합니다.
Let’s Encrypt는 프로덕션에 충분히 안정적인가요?
네. Let’s Encrypt는 시장의 63.9%를 차지하며 Google, Mozilla, Meta, Cisco를 포함한 후원사를 가진 자금력 있는 비영리 단체(ISRG)의 지원을 받습니다. 대기업, 정부, 수백만 개의 프로덕션 사이트가 이를 사용합니다. 많은 상업 CA보다 재정적으로 더 안정적입니다.