HTTP와 HTTPS 차이: 보안부터 SEO까지 핵심 정리
HTTP는 데이터를 암호화 없이 평문으로 전송하고, HTTPS는 SSL/TLS 암호화를 적용해 제3자가 데이터를 볼 수 없도록 안전하게 전송한다.
이 글은 웹 개발 입문자, 블로그 운영자, 소규모 사업자를 대상으로 작성되었다. 웹사이트 주소창에서 http://와 https://의 차이를 명확히 이해해보자.
HTTP란 무엇인가?
HTTP(HyperText Transfer Protocol)는 웹 브라우저와 웹 서버 사이에서 데이터를 주고받는 통신 규약이다. 1991년 팀 버너스리가 설계한 이후 인터넷의 기반 프로토콜로 자리 잡았다.
HTTP의 핵심 특징:
- 평문 전송: 데이터가 암호화 없이 그대로 전달된다
- 기본 포트 80: HTTP 통신은 TCP 포트 80번을 사용한다
- 비연결성(Stateless): 요청-응답 후 연결이 끊어지며 이전 상태를 기억하지 않는다
평문 전송이기 때문에, 같은 네트워크에 있는 공격자는 패킷을 가로채 로그인 정보, 카드 번호, 개인 메시지를 그대로 읽을 수 있다.
HTTPS란 무엇인가?
HTTPS(HyperText Transfer Protocol Secure)는 HTTP에 SSL/TLS 암호화 계층을 추가한 프로토콜이다.
- 기본 포트 443: HTTPS는 TCP 포트 443번을 사용한다
- 암호화 전송: 데이터가 암호화되어 탈취해도 내용을 해독할 수 없다
- 인증서 검증: 인증기관(CA)이 발급한 SSL/TLS 인증서로 서버의 신뢰성을 검증한다
- 무결성 보장: 데이터가 전송 중 변조되지 않았음을 보장한다
HTTP vs HTTPS 비교표
| 항목 | HTTP | HTTPS |
|---|---|---|
| 포트 번호 | 80 | 443 |
| 암호화 여부 | 없음 (평문) | SSL/TLS 암호화 |
| 인증서 필요 | 불필요 | SSL/TLS 인증서 필수 |
| 데이터 무결성 | 보장 안 됨 | 보장됨 |
| SEO 영향 | 불이익 가능 | 구글 랭킹 가산점 |
| 브라우저 표시 | "안전하지 않음" 경고 | 자물쇠 아이콘 |
HTTPS 보안의 핵심: SSL/TLS란?
SSL(Secure Sockets Layer)은 1990년대 넷스케이프가 개발한 암호화 프로토콜이다. 현재는 TLS(Transport Layer Security)로 대체되었으며, TLS 1.2와 TLS 1.3이 표준으로 사용된다.
HTTPS 연결이 성립되는 과정(TLS 핸드셰이크):
- 클라이언트(브라우저)가 서버에 접속을 요청한다
- 서버가 SSL 인증서(공개키 포함)를 브라우저에 전달한다
- 브라우저가 인증서의 신뢰성을 인증기관(CA)에 확인한다
- 브라우저와 서버가 대칭키를 협상하고 암호화 통신을 시작한다
이 과정 덕분에, 네트워크 중간에서 데이터를 가로채더라도 암호화된 내용을 해독할 수 없다.
HTTPS가 SEO에 미치는 영향
구글은 2014년부터 HTTPS를 공식 랭킹 신호로 사용하고 있다. 같은 콘텐츠 품질이라면 HTTPS 사이트가 HTTP 사이트보다 검색 순위에서 유리하다.
2025년 기준 Google 투명성 보고서에 따르면, 크롬에서 로드되는 전체 페이지의 약 95% 이상이 HTTPS로 연결된다. 구글 크롬, 파이어폭스, 사파리 등 주요 브라우저는 HTTP 사이트에 경고를 표시한다.
HTTPS 전환 시 SEO 이점:
- 구글 검색 랭킹 가산점
- 브라우저 경고 제거로 사용자 이탈률 감소
- HTTP/2 프로토콜 사용 가능으로 로딩 속도 향상
- Core Web Vitals 점수 개선 가능
중간자 공격(MITM)과 HTTPS 보안
HTTP의 가장 심각한 취약점은 중간자 공격(Man-in-the-Middle, MITM)에 노출된다는 점이다. 공공 와이파이 환경에서 HTTP 사이트에 접속하면, 같은 네트워크의 공격자가 패킷을 가로채 아이디·비밀번호를 탈취할 수 있다.
반면에 HTTPS는 데이터를 암호화하므로 패킷을 가로채도 내용을 읽을 수 없다.
무료 HTTPS 인증서: Let's Encrypt
Let's Encrypt는 비영리 인증기관으로, 무료 SSL 인증서를 발급한다. 90일마다 갱신이 필요하지만, 자동 갱신 설정이 가능하다. 한국 개인정보보호법 및 정보통신망법에 따르면 개인정보를 처리하는 사이트는 암호화 전송이 의무다.
자주 묻는 질문 (FAQ)
Q1. HTTPS 적용 시 사이트 속도가 느려지나요? A. TLS 핸드셰이크로 약간의 지연이 발생하지만, TLS 1.3은 핸드셰이크를 대폭 단축했다. HTTPS는 HTTP/2 사용이 가능하여 오히려 HTTP/1.1보다 로딩 속도가 빨라지는 경우가 많다.
Q2. 무료 Let's Encrypt 인증서는 유료와 보안 수준이 같나요? A. 암호화 수준은 동일하다. Let's Encrypt는 도메인 소유권만 확인하는 DV 인증서이며, 일반 블로그나 소규모 사이트에는 충분하다.
Q3. HTTPS로 전환할 때 기존 HTTP URL은 어떻게 처리하나요? A. HTTP에서 HTTPS로의 301 영구 리다이렉트를 설정해야 한다. 이렇게 하면 기존 HTTP URL로 접속해도 자동으로 HTTPS로 이동하며, SEO 랭킹도 유지된다.
Q4. HSTS(HTTP Strict Transport Security)란 무엇인가요? A. HSTS는 브라우저에게 "이 사이트는 항상 HTTPS로만 접속하라"고 지시하는 HTTP 응답 헤더다. HTTP 접속 시도 자체를 브라우저 수준에서 차단해 보안을 강화할 수 있다.
Q5. 모든 페이지에 HTTPS를 적용해야 하나요? A. 그렇다. 일부 페이지만 HTTPS를 적용하면 혼합 콘텐츠(Mixed Content) 문제가 발생한다. 브라우저는 HTTPS 페이지에서 HTTP 리소스를 불러올 때 경고를 표시하거나 차단한다.