SSL 인증서 검증 실패, DNS 문제일까요?

조회수:1065 시간:2026-01-06 12:04:08 저자: windy

SSL Certificate Verification Failed. Is DNS the Problem?

SSL 인증서 발급 또는 갱신에 실패할 때, 사용자가 가장 먼저 가정하는 것 중 하나는: "이것이 DNS 문제인가요?"

많은 경우에 DNS 가 관련되어 있지만, 시스템이 "고장난" 경우는 드뭅니다.

더 자주 SSL 검증 실패는 DNS 레코드가 잘못 추가되었거나, 잘못된 위치에 추가되었거나, 아직 완전히 전파되지 않았기 때문입니다.

이 문서에서는 SSL 인증서 검증이 작동하는 방식, 과정에서 DNS가 하는 역할, 그리고 검증 실패의 가장 일반적인 원인을 식별하고 해결하는 방법을 설명합니다.

DNS는 SSL 인증서를 관리하지 않습니다. 하지만 검증은 DNS에 의존합니다

DNS는 SSL 인증서를 발급하지 않습니다.

DNS는 SSL 인증서를 저장하지 않습니다.

DNS는 인증서가 신뢰할 수 있는지 결정하지 않습니다.

SSL 인증서는 인증기관(CA)에 의해 발급 및 관리됩니다.

그러나 많은 CA는 하나의 중요한 사항을 검증하기 위해 DNS를 활용합니다: 인증서를 요청하는 도메인을 소유하고 있음을 증명하는 것

DNS가 도메인 소유권을 신뢰할 수 있게 증명하지 못하면, 인증서 발급 또는 갱신은 실패합니다.

SSL 인증서 검증 작동 방식 (단순화)

CA는 인증서를 발급하기 전에 도메인 소유권을 확인해야 합니다.

가장 일반적인 검증 방법에는 다음이 포함됩니다:

DNS TXT 레코드 검증

CA가 특정 TXT 레코드를 도메인의 DNS에 추가하도록 요청합니다.

CA가 정확한 레코드를 찾으면 소유권이 확인됩니다.

DNS CNAME 기반 검증

일부 플랫폼은 CNAME 레코드를 사용하여 CA가 제어하는 검증 엔드포인트를 가리킵니다.

이는 자동화된 인증서 워크플로우에서 흔합니다.

HTTP 파일 검증 (여기서는 덜 관련 있음)

파일이 웹사이트 서버에 배치됩니다.

사이트가 오프라인일 경우 이 방법은 실패하며 자동화에는 덜 사용됩니다.

모든 DNS 기반 방법에서, CA는 DNS를 직접 조회하여 소유권을 검증합니다.

DNS가 SSL 검증에서 하는 역할

DNS는 검증 채널 역할을 하며, 인증서 시스템이 아닙니다.

그 역할은 다음에 국한됩니다:

필요한 TXT 또는 CNAME 레코드 게시
해당 레코드를 공개적으로 표시
CA의 DNS 해석기가 일관된 결과를 반환

DNS 레코드가 없거나, 잘못되었거나, 충돌하거나, 아직 전파되지 않으면, DNS 자체는 정상 작동하더라도 검증은 실패합니다.

SSL 검증 실패의 가장 일반적인 DNS 관련 원인

이 섹션은 대부분 SSL 관련 지원 티켓의 실제 원인을 다룹니다.

1. 검증 레코드가 잘못된 도메인 수준에 추가됨

가장 빈번한 실수입니다.

예:

CA는 example.com 에 레코드가 있길 기대합니다.
하지만 레코드는 www.example.com 에 추가됨
또는 그 반대의 경우

레코드가 잘못된 수준에 존재하면 CA가 찾지 못해 검증이 실패합니다.

2. TXT 또는 CNAME 값이 불완전하거나 수정됨

일반적인 문제:

문자 누락
여분의 공백
DNS 인터페이스에서 자동으로 추가된 따옴표
복사-붙여넣기 시 잘림

단 한 글자라도 틀리면 검증은 실패합니다.

3. DNS 전파가 아직 완료되지 않음

DNS 레코드 추가 또는 업데이트 후:

일부 해석기는 아직 오래된 데이터를 캐시할 수 있음
CA가 아직 갱신되지 않은 해석기를 조회할 수 있음

TTL 값이 높으면 이 지연은 예상보다 길어질 수 있습니다.

이것은 레코드가 틀렸다는 뜻이 아니라, 캐시가 만료되지 않았다는 뜻입니다.

4. 여러 개의 검증 레코드가 충돌함

다음 경우에 자주 발생합니다:

동일한 도메인에 대해 여러 인증서가 동시에 요청됨
동일 도메인에 대해 서로 다른 CA가 사용됨
이전 검증 레코드가 남아 있음

충돌하는 레코드는 CA가 어떤 권한 부여가 유효한지 판단하는 것을 방해할 수 있습니다.

5. 이전 검증 레코드가 너무 일찍 제거됨

매우 흔한 갱신 실패 시나리오:

인증서가 이전에 DNS 검증으로 발급됨
발급 후 TXT 레코드가 삭제됨
자동 갱신이 실패하는 이유는 CA가 더 이상 소유권을 확인할 수 없기 때문

자동 갱신이 활성화되어 있다면, 명확한 안내가 없는 한 필요한 DNS 레코드는 유지되어야 합니다.

지연을 초래하는 일반적인 오해

"SSL 검증 실패는 DNS가 고장났기 때문이다."

대부분 경우 틀립니다. DNS는 접근 가능하지만, 레코드가 CA 요구 사항을 충족하지 못하고 있습니다.
"공용 DNS(8.8.8.8)로 변경하면 해결된다."

아닙니다. 공용 DNS 해석기도 여전히 동일한 권위 있는 DNS 레코드를 조회합니다.
"모든 TXT 레코드를 삭제하고 다시 시작하는 것이 더 빠르다."

이는 종종 충돌이나 전파 지연을 유발해 상황을 악화시킵니다.