HTTPS + TLS 1.3 완전 이해

[1] Client Hello
- 지원 cipher suites
- key share (ECDHE)
- TLS version

[2] Server Hello
- 선택된 cipher
- 서버 인증서
- key share

[3] Application Data
- 즉시 암호화된 통신


→ 1-RTT (TLS 1.2는 2-RTT)
→ 0-RTT 가능 (재연결 시)

무료 + 자동:
- Vercel: 자동
- Cloudflare: Universal SSL
- Let's Encrypt + certbot (자체)


certbot:
sudo certbot --nginx -d example.com -d www.example.com
# → 90일 자동 갱신


와일드카드:
certbot certonly --manual --preferred-challenges dns -d "*.example.com"

// next.config.js
module.exports = {
  async headers() {
    return [{
      source: '/(.*)',
      headers: [
        {
          key: 'Strict-Transport-Security',
          value: 'max-age=63072000; includeSubDomains; preload',
        },
      ],
    }];
  },
};


// HSTS Preload
// https://hstspreload.org 등록
// → 브라우저 영구 HTTPS 강제 (제거 불가)

HTTPS 페이지에서 HTTP 리소스 로드:
- 이미지 → 브라우저 자동 차단 (또는 경고)
- script/css → 완전 차단


검증:
1. https://www.whynopadlock.com 검사
2. 브라우저 콘솔 — Mixed Content 경고
3. CSP report-uri로 자동 수집


// CSP로 자동 차단
Content-Security-Policy: upgrade-insecure-requests
// → http:// → https:// 자동 변환

# nginx
server {
  ssl_protocols TLSv1.3 TLSv1.2;  # TLS 1.0/1.1 제거
  ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384';
  ssl_prefer_server_ciphers on;

  # OCSP Stapling
  ssl_stapling on;
  ssl_stapling_verify on;
}

// 만료 30일 전 알림
import tls from 'tls';

async function checkCertExpiry(host: string) {
  return new Promise<Date>((resolve, reject) => {
    const socket = tls.connect({
      host,
      port: 443,
      servername: host,
    }, () => {
      const cert = socket.getPeerCertificate();
      socket.end();
      resolve(new Date(cert.valid_to));
    });
    socket.on('error', reject);
  });
}


// 매일 체크
const expiry = await checkCertExpiry('example.com');
const daysLeft = (expiry.getTime() - Date.now()) / 86400000;
if (daysLeft < 30) {
  await alertOps(`Cert expiring in ${daysLeft} days`);
}