Let’s Encrypt / certbot 운영 체크리스트
SSL 발급/갱신에서 자주 막히는 포인트(.well-known, 리다이렉트, 자동갱신)를 정리
SSL 설정은 “한 번만” 하는 것 같지만, 실제 운영에서는 갱신/리다이렉트/서브도메인 확장 과정에서 자주 문제가 발생합니다.
1) 발급 전 체크
- 80/443 포트가 외부에서 접근 가능한가? (방화벽/보안그룹)
server_name이 올바른가? (오타/와일드카드/서브도메인)/.well-known/acme-challenge/가 200으로 열리는가?- HTTP→HTTPS 리다이렉트를 쓰더라도, ACME 경로는 예외가 필요할 수 있습니다.
2) 자동 갱신 체크
- 갱신 동작 확인:
certbot renew --dry-run - 시스템 타이머 확인(환경에 따라 다름):
systemctl list-timers | rg certbot - nginx 리로드가 동반되는지 확인 (인증서 파일만 바뀌면 nginx는 모를 수 있음)
3) 운영 팁
- 인증서 만료는 “장애”이므로, 모니터링(만료 D-XX 알림)을 붙이는 걸 권장합니다.
HSTS는 강력하지만, 모든 서브도메인이 HTTPS 준비가 된 뒤에 적용합니다.
관련 용어: HSTS