Nginx HTTPS 설정, 리다이렉트와 인증서 경로

리다이렉트는 한 번으로 끝내야 합니다

암호화 연결로 넘기는 설정에서 가장 흔한 실수는 리다이렉트가 두세 번 일어나는 것입니다. 사용자가 접두사 없이 주소를 입력하면 암호화 연결로 한 번, 다시 표준 주소 형태로 한 번 더 넘어가는 식입니다. 각 리다이렉트는 왕복 한 번을 추가하므로 첫 화면이 그만큼 늦어집니다. 그래서 설정 목표는 어떤 입력이 들어와도 한 번에 최종 주소로 보내는 것입니다. 점검 방법은 네 가지 입력을 모두 시험하는 것입니다. 접두사 없는 주소, 암호화되지 않은 주소, 하위 도메인이 없는 주소, 그리고 하위 도메인이 있는 주소입니다. 각 경우의 이동 횟수를 적습니다.

인증서 경로와 중간 인증서를 함께 지정합니다

설정에서 인증서 파일을 지정할 때 두 가지를 확인합니다. 첫째, 서버 인증서와 중간 인증서가 한 파일에 순서대로 들어 있어야 합니다. 중간 인증서가 빠지면 일부 환경에서만 오류가 나기 때문에, 데스크톱 브라우저로만 확인하면 정상으로 보입니다. 둘째, 파일 권한입니다. 개인 열쇠 파일은 소유자만 읽을 수 있어야 하고, 다른 사용자가 읽을 수 있으면 유출 위험이 생깁니다. 설정을 바꾼 뒤에는 문법 검사를 먼저 돌리고 그다음 재적용합니다. 검사 없이 재적용하면 오류가 있을 때 서버가 올라오지 않아 전체가 멈출 수 있습니다.

추가 왕복이 만드는 지연을 계산합니다

학습용 가정으로 계산합니다. 가정값은 월 요청 500,000건 중 새로 들어오는 첫 요청이 20퍼센트이고, 리다이렉트 한 번이 0.12초를 추가한다고 두겠습니다. 첫 요청은 100,000건이고 추가 지연의 합계는 12,000초입니다. 이것이 중간 계산값입니다. 최종 판단은 분 단위로 환산해서 합니다. 12,000초는 200분이고, 이는 사용자 전체가 매달 200분을 리다이렉트 대기에 쓴다는 뜻입니다. 리다이렉트를 두 번에서 한 번으로 줄이면 이 값의 절반이 사라집니다. 개별 사용자에게는 짧은 시간이지만 첫 화면 체감에 직접 영향을 주는 구간입니다.

강제 설정은 되돌리기 어렵습니다

결론을 뒤집는 조건은 강제 정책 헤더입니다. 브라우저에게 앞으로 암호화 연결만 쓰라고 지시하는 헤더를 보내면 리다이렉트가 사라져 더 빨라지지만, 그 지시는 지정한 기간 동안 브라우저에 남습니다. 설정에 문제가 생겨 암호화 연결을 일시적으로 끄고 싶어도 이미 지시를 받은 브라우저는 접속하지 못합니다. 그래서 적용 순서를 단계적으로 둡니다. 먼저 짧은 기간으로 시작해 문제가 없는지 확인하고, 그다음 기간을 늘립니다. 하위 도메인까지 포함하는 설정은 모든 하위 도메인이 암호화 연결을 지원하는지 확인한 뒤에만 켭니다.

웹호스팅 실행 전 점검표

• 네 가지 입력 형태의 이동 횟수를 각각 적었다
• 서버 인증서와 중간 인증서를 한 파일에 순서대로 두었다
• 개인 열쇠 파일 권한을 소유자만 읽도록 좁혔다
• 강제 정책 헤더는 짧은 기간으로 시작했다