SSL/TLS 인증서를 신청할 때, 많은 도메인 소유자가 자신의 요청이 거부되는 것에 놀랍니다. DNS가 올바르고 인증 기관(CA)이 신뢰할 수 있어 보이더라도 그렇습니다.
이러한 경우 중 많은 경우에 문제는 CAA 레코드 때문입니다.
이 글에서는 CAA 레코드가 무엇인지, 왜 존재하는지, 그리고 SSL 인증서 발급에 직접적인 영향을 미치는 방법을 알기 쉬운 영어로 설명하여 일반적인 실수를 피할 수 있도록 합니다.
모든 것이 올바르게 보이는데도 SSL 인증서가 실패하는 이유는?
도메인 소유자로부터 자주 듣는 질문은 다음과 같습니다:
-
"내 SSL 요청이 계속 실패하는데, 무엇이 문제인가요?"
-
"CA가 내 DNS가 발급을 막고 있다고 하는데, 나는 아무것도 변경하지 않았어요."
-
"CAA 레코드는 필수인가, 아니면 선택사항인가요?"
여기서 미리 이해해야 할 핵심 포인트는:
도메인에 사용 중인 인증 기관을 허가하지 않는 CAA 레코드가 있다면 SSL 인증서를 발급할 수 없습니다.
이 행위는 선택 사항이 아닙니다. 업계 규칙에 의해 강제됩니다.
CAA 레코드란 무엇인가?
CAA(인증 기관 권한 부여) 레코드는 도메인에 대해 어떤 인증 기관이 SSL/TLS 인증서를 발급할 수 있는지를 지정하는 DNS 레코드입니다.
간단히 말하면: CAA 레코드는 SSL 인증서 발급을 위한 화이트리스트 역할을 합니다.
CAA 레코드에 명시적으로 나열된 CA만 도메인에 대해 인증서를 발급할 수 있습니다.
CAA 레코드를 설정하지 않으면 어떻게 되나요?
CAA 레코드가 없다고 해서 자동으로 사이트가 안전하지 않은 것은 아닙니다.
하지만 CAA 레코드가 없으면:
-
신뢰하는 어떤 CA라도 도메인에 대한 인증서를 발급할 수 있습니다.
-
이로 인해 잘못된 발급 또는 무단 인증서의 위험이 증가합니다.
-
누가 대신 인증서를 발급할 수 있는지를 덜 통제할 수밖에 없습니다.
이러한 위험 때문에 인증 기관들은 이제 인증서 발급 전에 CAA 레코드를 확인해야 합니다.
여기에서 대부분의 혼란이 발생합니다.
가장 흔한 실패 시나리오
-
CAA 레코드가 존재하지만 현재 CA를 포함하지 않는 경우
-
issue태그는 설정되어 있지만 와일드카드 인증서용issuewild는 누락된 경우 -
서브도메인이 상위 도메인에서 제한적인 CAA 레코드를 상속받은 경우
-
도메인 소유자가 인증서 제공자를 변경했지만 CAA를 업데이트하는 것을 잊은 경우
결과적으로 CA는 기술적으로 인증서 발급이 금지됩니다.
CAA 태그의 세 가지 주요 유형
issue
표준 SSL 인증서를 도메인에 발급할 수 있도록 CA를 승인합니다.
issuewild
CA가 와일드카드 인증서(예: .example.com)를 발급할 수 있도록 승인합니다.
iodef
무단 인증서가 발급된 경우 위반 보고서가 전송될 위치를 지정합니다(선택 사항).
CAA 레코드를 언제 사용하고 언제 선택 사항인가?
강력 권장
-
비즈니스 및 기업 웹사이트
-
전자상거래, 결제 또는 로그인 시스템
-
특정 CA에 의존하는 도메인
선택 사항일 수 있음
-
테스트 또는 스테이징 환경
-
일시적 또는 실험적 프로젝트
-
인증서 출처 제어가 중요하지 않은 사이트
핵심은 CAA가 "필수"인지 여부가 아니라 결과를 이해하는지입니다.
CAA 레코드를 안전하게 설정하는 방법 (SSL을 깨뜨리지 않고)
CAA 레코드를 추가하거나 변경하기 전에 확인하세요:
-
현재 누가 인증서를 발급하는지
-
와일드카드 인증서를 사용하는지 여부
-
향후 CA를 변경할 가능성이 있는지 여부
잘못 구성된 CAA 레코드는 즉시 SSL 인증서 발급을 차단합니다.
CAA 레코드가 처음 도입된 이유
CAA 레코드는 인증서 발급을 다음과 같이 만들기 위해 도입되었습니다:
-
더 투명하게
-
도메인 소유자가 더 통제하도록
-
우발적 또는 악의적인 잘못된 발급 가능성을 줄이도록
이들은 보안을 강화하기 위해, SSL 관리를 복잡하게 만들기 위한 것이 아닙니다.
CAA 레코드는 도메인 소유자가 SSL 인증서를 누가 발급할 수 있는지 제어할 수 있게 합니다.
올바르게 구성되면 보안이 향상됩니다.잘못 구성되면 SSL 발급 실패의 흔한 원인이 됩니다.
CAA 레코드를 이해하면 혼란, 지연 및 불필요한 지원 요청을 피할 수 있습니다.
DNS 및 SSL을 올바르게 관리하려면 기술적 명확성과 정책 준수가 모두 필요합니다.
는 ICANN 공인 등록기관으로서, Nicenic은 도메인 소유자가 DNS, 보안, 인증서 관련 설정을 자신 있게 관리할 수 있도록 전세계적으로 인정받는 표준을 따릅니다.
Nicenic은 전 세계 브랜드, 개발자, 기업가 및 비즈니스를 위한 신뢰받는 파트너로 자리 잡고 있습니다.
