HTTPS(Hypertext Transfer Protocol Secure)는 웹 브라우저와 웹 서버가 주고받는 HTTP 통신을 TLS(전송 계층 보안)로 암호화한 프로토콜로, 제3자가 내용을 엿보거나 바꾸지 못하게 하고 접속한 서버가 진짜인지 인증서로 확인한다.
MDN은 HTTPS를 “HTTP protocol의 암호화된 버전”으로 정의하고, “클라이언트와 서버 간의 모든 커뮤니케이션을 암호화하기 위하여 SSL 또는 TLS을 사용”한다고 설명한다 (MDN Web Docs, HTTPS). 주소창의 https://와 자물쇠 표시가 이 프로토콜로 연결됐다는 뜻이다.
HTTP는 내용을 평문으로 보내고 HTTPS는 암호화해서 보낸다. 나머지 차이는 대부분 여기서 파생된다.
| 항목 | HTTP | HTTPS |
|---|---|---|
| 전송 내용 | 평문. 같은 네트워크의 누구나 읽고 바꿀 수 있다 | TLS로 암호화. 가로채도 읽을 수 없고 변조가 탐지된다 |
| 기본 포트 | 80 | 443 |
| 서버 인증 | 없음 | 인증 기관(CA)이 발급한 인증서로 서버 신원 확인 |
| 크롬 주소창 | ”주의 요함” 경고 | 자물쇠 또는 조정 아이콘 |
| HTTP/2, HTTP/3 | 브라우저가 지원하지 않음 | 사용 가능 |
| 검색 엔진 | 구글이 HTTPS 버전이 있으면 그쪽을 우선 색인 | 우선 색인 대상 |
TLS 표준 문서는 이 프로토콜의 목적을 “도청, 변조, 메시지 위조를 막도록 설계된 방식으로 클라이언트와 서버가 통신하게 하는 것”으로 적는다 (IETF, RFC 8446: The Transport Layer Security (TLS) Protocol Version 1.3, 2018-08). SSL은 TLS의 전신으로, 이름은 아직 “SSL 인증서”처럼 남아 있지만 실제로 쓰이는 프로토콜은 TLS다.
브라우저와 서버가 먼저 TLS 핸드셰이크로 서로를 확인하고 세션 키를 합의한 뒤, 그 키로 HTTP 요청과 응답을 암호화해 주고받는다.
TLS 1.3은 2018년 8월 표준이 됐고 TLS 1.2를 대체했다 (IETF, RFC 8446). 서치폴라리스 도메인을 2026년 9월 16일 curl로 확인하니 TLS 1.3, HTTP/2로 연결되고 인증서는 Google Trust Services가 발급한 것이었다.
구글은 2014년 8월 HTTPS를 순위 신호로 쓰기 시작했다고 발표하면서 “전 세계 검색의 1% 미만에 영향을 주는 매우 가벼운 신호이며, 고품질 콘텐츠 같은 다른 신호보다 비중이 작다”고 밝혔다 (Google Search Central Blog, HTTPS as a ranking signal, 2014-08-07). HTTPS로 바꾼다고 순위가 뛰지는 않는다는 뜻이다.
대신 HTTPS는 테크니컬 SEO의 기본 항목이자 페이지 경험의 한 요소로 남아 있다. 구글은 페이지 경험 문서에서 “단일 신호는 없습니다”라고 하면서도 HTTPS 제공 여부를 코어 웹 바이탈, 전면 광고와 나란히 점검 항목으로 든다 (Google 검색 센터, Google 페이지 경험에 대해 이해하기).
색인에서는 차이가 분명하다. “사이트에 HTTP 주소와 HTTPS 주소를 모두 가진 페이지가 있다면 Google에서는 주로 HTTPS 버전을 색인 생성”하고, 서치콘솔의 HTTPS 보고서가 색인된 URL 중 HTTP와 HTTPS 개수를 보여 준다 (Google Search Console 고객센터, HTTPS 보고서). HTTP 페이지에 HTTP 버전을 가리키는 캐노니컬 태그가 남아 있거나 인증서가 잘못된 경우가 이 보고서의 대표 오류다.
간접 효과도 있다. HTTP/2는 브라우저에서 TLS 위에서만 동작하므로 HTTPS 전환이 성능 개선의 전제가 되고, HTTPS 사이트에서 HTTP 사이트로 넘어갈 때는 브라우저가 리퍼러 헤더를 보내지 않아 애널리틱스에서 유입 출처가 “직접 유입”으로 잡힌다 (web.dev, 서버에서 HTTPS 사용 설정).
브라우저가 경고를 띄우고, 중간에서 내용이 바뀔 수 있으며, 개인정보를 다루는 사이트라면 법적 책임까지 따른다.
크롬은 2018년 7월 크롬 68부터 모든 HTTP 페이지에 “안전하지 않음”을 표시하기 시작했다. 발표 당시 이미 안드로이드와 윈도우 크롬 트래픽의 68% 이상, 상위 100개 사이트 중 81곳이 HTTPS였다 (Chromium Blog, A secure web is here to stay, 2018-02-08). 2026년 9월 13일 기준 크롬에서 HTTPS로 로드된 페이지 비율은 안드로이드 99%, 맥 98%, 윈도우 95%다 (Google 투명성 보고서, 웹에서 HTTPS 암호화). HTTP 사이트는 이제 예외에 속한다.
암호화가 없으면 내용이 바뀐다. 구글은 침입자의 범위에 “의도적으로 악의적인 공격자와 페이지에 광고를 삽입하는 ISP와 같이 합법적이지만 침입적인 회사”를 모두 넣고, 보호되지 않은 이미지, 쿠키, 스크립트가 전부 악용 대상이라고 설명한다 (web.dev, HTTPS가 중요한 이유).
한국에서는 개인정보 보호법이 걸린다. 제29조는 개인정보처리자에게 안전성 확보 조치를 의무화하고, 제75조 제2항은 이를 위반해 “안전성 확보에 필요한 조치를 하지 아니한 자”에게 3천만원 이하의 과태료를 부과한다 (국가법령정보센터, 개인정보 보호법 제75조). 회원 가입이나 문의 폼으로 개인정보를 받는 사이트가 HTTP로 전송한다면 이 조항의 암호화 요건을 먼저 확인해야 한다.
인증서를 받아 서버에 설치하고, HTTP 요청을 HTTPS로 영구 리디렉션한 뒤, 사이트 안의 링크와 태그를 https://로 맞추는 순서다.
적용 후에는 서치콘솔 HTTPS 보고서에서 HTTP URL이 0으로 수렴하는지 본다. 구글 문서는 “사이트에 HTTP URL이 없는 것으로 보고서에 표시되는 것이 좋습니다”라고 기준을 제시한다.
전환 자체는 끝났지만 마무리 수준은 제각각이다. 2026년 9월 16일 국내 주요 사이트 15곳과 서치폴라리스를 curl로 직접 요청해 HTTP 접속 처리, TLS 버전, HTTP 버전, HSTS 헤더를 확인했다.
| 항목 | 결과 (16곳) |
|---|---|
| http:// 접속을 https://로 리디렉션 | 14곳. 1곳은 HTTP로 그대로 응답(200), 1곳은 HTTP 요청을 거부(403) |
| TLS 1.3 | 11곳. 나머지 5곳(은행 2곳, 서점, 커뮤니티, 블로그 플랫폼)은 TLS 1.2 |
| HTTP/2 | 10곳. 정부 포털과 은행 2곳, 서점, 블로그 플랫폼은 HTTP/1.1 |
| HSTS 헤더 | 7곳. 포털 2곳, 이커머스 1곳, IT 기업 1곳, 정부 포털, 블로그 플랫폼, 서치폴라리스 |
대상은 네이버, 다음, 쿠팡, G마켓, 11번가, 카카오, 정부24, 삼성전자, 현대자동차, KB국민은행, 신한은행, 예스24, 무신사, 디시인사이드, 티스토리다. 16곳 전부 HTTPS 접속이 됐고, 한국 전체 등록 도메인 중 3.06%만 HTTPS를 쓰던 2017년 3월과는 다른 세상이다 (위키백과, HTTPS). 차이는 HTTPS 적용 여부가 아니라 리디렉션, 최신 TLS, HTTP/2, HSTS 같은 마무리에서 난다.
다르다. 유니콘 HTTPS는 국내 통신사가 2019년부터 TLS 핸드셰이크의 SNI 필드를 보고 특정 해외 사이트 접속을 차단하자 그 필드를 가려 접속을 되살리는 앱이다. 구글 플레이 설명은 “HTTPS SNI 필드 정보 보호”를 대표 기능으로 적고 다운로드 1,000만 이상을 표시한다 (Google Play, 유니콘 HTTPS). 구글과 네이버에서 “HTTPS”를 검색하면 이 앱이 함께 뜨는 이유다.
인증서가 만료됐거나 도메인과 맞지 않거나, HTTPS 페이지 안에서 HTTP 이미지나 스크립트를 불러오는 혼합 콘텐츠가 있을 때다. 자물쇠는 연결이 암호화됐다는 뜻이지 사이트 운영자가 믿을 만하다는 뜻이 아니어서, 피싱 사이트도 인증서를 받아 자물쇠를 띄울 수 있다.
인증서 자체는 무료로 받을 수 있다. Let’s Encrypt가 무료 자동 발급을 제공하고 대부분의 호스팅과 CDN이 이를 내장한다. 비용이 드는 쪽은 조직 검증(OV)이나 확장 검증(EV) 인증서, 그리고 기존 사이트의 링크와 리소스를 https://로 바꾸는 작업 시간이다.
핸드셰이크에 왕복이 추가되지만 TLS 1.3이 이를 1회로 줄였고, HTTPS에서만 쓸 수 있는 HTTP/2가 여러 요청을 한 연결로 묶어 보통은 HTTPS 쪽이 더 빠르다. 구글은 콘텐츠와 애플리케이션 계층이 잘 조정돼 있으면 “남은 TLS 성능 문제는 일반적으로 애플리케이션의 전체 비용에 비해 작습니다”라고 정리한다 (web.dev, 서버에서 HTTPS 사용 설정).
서치폴라리스가 AI 검색 가시성을 진단하고 GEO 실행까지 대행합니다.