HTTP HTTPS 차이 쉽게 이해하기 — 엽서와 봉인 봉투

HTTP와 HTTPS의 차이는 한 문장이면 끝납니다.

HTTP는 누구나 읽을 수 있는 엽서, HTTPS는 봉인한 봉투입니다.

2026년 7월 기준 크롬에서 열리는 페이지의 95% 이상이 HTTPS일 만큼, 이제는 웹의 기본값이 됐습니다.

이 글을 읽고 나면 브라우저의 "안전하지 않음" 경고가 무슨 뜻인지, 공공 와이파이에서 왜 조심해야 하는지 감이 잡힙니다.

HTTPS는 HTTP에 보안(S=Secure)을 더한 방식입니다. 주고받는 내용을 암호화해서, 중간에 누가 가로채도 알아볼 수 없게 만듭니다. AWS와 Cloudflare 공식 문서 모두 이 암호화를 두 방식의 핵심 차이로 설명합니다.

주소창에서 자물쇠가 사라진 이유

예전에는 안전한 사이트에 자물쇠 아이콘이 떴습니다.

그런데 Chromium 블로그에 따르면, 자물쇠의 의미를 제대로 아는 사용자는 11%뿐이었습니다.

많은 사람이 자물쇠를 "이 사이트는 믿어도 된다"는 뜻으로 오해했기 때문입니다.

그래서 크롬은 2023년 9월(크롬 117)부터 자물쇠를 조정(tune) 모양 아이콘으로 바꿨습니다.

반대로 HTTP 사이트에는 "안전하지 않음" 경고가 뜨고, 비밀번호 입력창이 있으면 경고가 더 세집니다.

"안전하지 않음"이 보이면 그 페이지에는 아무것도 입력하지 않는 게 원칙입니다.

HTTP와 HTTPS, 정확히 뭐가 다를까?

HTTP는 브라우저와 서버가 데이터를 주고받을 때 쓰는 통신 약속(프로토콜)입니다.

문제는 내용이 평문, 그러니까 엽서처럼 그대로 노출된다는 점입니다.

엽서는 배달하다 손을 거친 사람이라면 누구든 읽을 수 있습니다.

HTTPS는 같은 편지를 밀봉 봉투에 넣고, 발신인의 공식 도장(인증서)까지 찍어 보내는 방식입니다.

구분	HTTP	HTTPS
비유	엽서	봉인 봉투 + 발신인 도장
전송 내용	평문 그대로 노출	암호화 — 가로채도 암호문만
신원 확인	없음	인증서로 진짜 사이트인지 검증
브라우저 표시	"안전하지 않음" 경고	조정(tune) 아이콘 → "연결이 안전합니다"

물론 비유가 완벽하진 않습니다.

실제로는 종이 봉투가 아니라 수학적인 암호키라서, 봉투는 몰래 뜯을 수 있어도 TLS 암호는 현실적으로 뚫을 수 없습니다.

왜 공공 와이파이에서 특히 위험할까?

SK쉴더스에 따르면, 같은 공공 와이파이에 접속한 공격자는 중간자 공격으로 HTTP 트래픽을 통째로 엿볼 수 있습니다.

엽서로 보낸 비밀번호와 로그인 쿠키가 고스란히 수집된다는 뜻입니다.

카페 와이파이와 똑같은 이름의 가짜 와이파이(Evil Twin)를 세워 접속을 유도하는 수법도 있습니다.

이때도 HTTPS라면 공격자 손에 들어가는 건 읽을 수 없는 암호문뿐입니다.

습관은 두 가지면 충분합니다.

개인정보·결제 전에 https://를 확인하고, 공공 와이파이에서는 HTTPS가 아닌 사이트에 로그인하지 않는 것.

HTTPS의 비밀: 암호표 악수

HTTPS의 보안은 TLS라는 기술이 담당합니다.

흔히 "SSL 인증서"라고 부르지만, SSL은 2015년에 은퇴했고 실제 일하는 건 후계자인 TLS입니다.

브라우저와 서버는 첫 만남에서 악수를 하며 둘만 아는 암호표를 정합니다.

[TLS 핸드셰이크 4단계]
1. 브라우저: "안녕, 나 이런 암호 방식 쓸 줄 알아"
2. 서버: 인증서(신분증)와 암호 방식 제안을 건넴
3. 브라우저: 인증서가 진짜인지 공인 기관(CA) 서명으로 검증
4. 둘만 아는 세션 키(임시 암호표) 합의 → 이후 대화는 전부 암호화

인증서 안에는 공개키라는 자물쇠가 들어 있습니다.

자물쇠는 누구나 받아서 잠글 수 있지만, 여는 열쇠는 서버만 갖고 있습니다.

가짜 서버는 3단계 신분증 검사에서 걸려서 브라우저가 "인증서 오류" 경고를 띄웁니다.

---

사이트 운영자라면: 무료로 해결됩니다

내 사이트에 HTTPS를 붙이는 비용은 사실상 0원입니다.

Let's Encrypt가 무료 인증서를 발급하고, Certbot으로 90일마다 자동 갱신됩니다.

구글은 무료 인증서와 유료 인증서를 SEO에서 똑같이 취급합니다.

HTTPS는 2014년부터 구글 검색 랭킹 신호였고, 지금은 가산점이라기보다 기본 요건에 가깝습니다.

🔒 Let's Encrypt 무료 인증서 알아보기 →

한국에서는 의무이기도 합니다.

개인정보보호위원회의 안전성 확보조치 기준 고시에 따라 비밀번호 같은 인증정보를 인터넷으로 보낼 때는 암호화가 필수입니다.

위반하면 과태료 또는 매출액 3% 이하의 과징금이 부과될 수 있습니다. (정확한 금액과 조항은 발행 전 법령 원문 확인이 필요합니다.)

OpenAI·Anthropic·Google의 AI API와 n8n·Make의 웹훅도 전부 HTTPS만 받습니다.

개인적으로는 HTTPS를 보안 옵션이 아니라 수도·전기 같은 기반 설비로 보는 편입니다 — 인증서 오류 하나가 자동화 파이프라인 전체를 멈추기 때문입니다.

자주 묻는 질문

"연결이 안전합니다"면 믿어도 되는 사이트인가요?

아니요, 전송 구간이 안전하다는 뜻일 뿐입니다.

피싱 사이트도 HTTPS를 씁니다.

봉투가 밀봉됐다고 보내는 사람까지 착하다는 보장은 없으니, 도메인 주소를 꼭 확인해야 합니다.

방문자 몇 명 없는 개인 블로그에도 필요한가요?

네, 필요합니다.

HTTP면 크롬 경고 때문에 방문자가 이탈하고 검색 노출에서도 손해를 봅니다.

Let's Encrypt로 무료 적용이 가능하니 안 할 이유가 없습니다.

요즘도 HTTP 사이트가 있나요?

있습니다.

크롬 기준 페이지 로드의 95% 이상이 HTTPS지만, 오래된 사이트나 사내 내부 서비스에는 아직 HTTP가 남아 있습니다.

결론

HTTP는 엽서, HTTPS는 도장 찍힌 봉인 봉투입니다.

사용자라면 "안전하지 않음" 경고에서 입력을 멈추고, 공공 와이파이에서는 HTTPS만 쓰면 됩니다.

운영자라면 무료 인증서로 오늘 바로 바꿀 수 있고, 한국에서는 개인정보를 다루는 순간 선택이 아니라 의무입니다.

 

 

참고한 자료

AWS·Cloudflare의 HTTP/HTTPS 및 TLS 핸드셰이크 문서, Chromium 블로그의 자물쇠 아이콘 변경 공지(2023), 크롬 고객센터, Let's Encrypt 공식 문서, 국가법령정보센터의 개인정보 안전성 확보조치 기준, SK쉴더스·이스트시큐리티의 보안 리포트, n8n 커뮤니티를 참고했습니다. 과태료·과징금 조항은 발행 전 법령 원문 확인이 필요합니다.