내 워드프레스가 ‘주의요함’ 뜨는 이유, 딱 1가지만 바꾸세요

주변에서 워드프레스를 직접 설치해 운영하는 분들을 보면 처음에는 주소창의 경고 문구 때문에 적잖게 당황하곤 합니다.⠀아무 문제 없이 잘 열리던 사이트인데 접속할 때마다 보안이 취약하다는 문구가 뜨니 방문자 입장에서도 찜찜할 수밖에 없습니다.⠀이 문제를 간단하게 넘기다 보면 검색 엔진 최적화나 사이트 신뢰도에도 그대로 타격을 입게 됩니다.⠀

먼저 결론부터 말씀드리면, 이 경고는 워드프레스 자체의 오류가 아니라 서버에 유효한 인증서가 없거나 HTTPS로 연결되지 않아서 생깁니다. 그래서 순서도 정해져 있습니다. 인증서를 발급받고, 워드프레스 주소를 https로 바꾸고, HTTP 접속을 HTTPS로 넘기고, 마지막으로 제대로 됐는지 확인하면 됩니다.

왜 주의요함 경고가 뜨는 걸까요⠀

워드프레스 웹사이트를 처음 구축하고 외부에서 접속을 시도할 때 가장 먼저 마주하는 난관 중 하나가 바로 보안 경고입니다. 서버 환경에 따라 차이가 있지만 특히 NAS 기기를 활용해 워드프레스를 직접 호스팅하는 경우 이런 현상을 자주 겪게 됩니다.⠀주소창에 나타나는 주의요함이나 안전하지 않음 표시는 현재 접속 중인 사이트가 암호화 통신을 지원하지 않는다는 뜻입니다.⠀방문자가 입력하는 개인정보나 로그인 정보가 고스란히 노출될 위험이 있기 때문에 브라우저가 사전에 차단 경고를 보내는 것입니다.⠀

NAS에서 유독 자주 겪는 이유는 호스팅 업체가 해 주던 인증서 설정을 직접 해야 하기 때문입니다. 공유 호스팅은 관리 화면에서 SSL을 켜는 경우가 많지만, NAS는 인증서 발급, 포트포워딩, 리버스 프록시를 직접 맞춰야 하니 한 군데만 빠져도 경고가 남습니다. Chrome 도움말도 “안전하지 않음” 표시는 사이트가 비공개 연결을 쓰지 않을 때 나타나고, 이는 사이트 운영자가 HTTPS로 옮겨야만 해결된다고 안내합니다.

보안 설정을 바꿀 차례입니다⠀

문제를 해결하려면 웹사이트 주소가 일반 HTTP 대신 보안이 적용된 HTTPS로 시작하도록 만들어야 합니다.⠀
이를 위해서는 서버에 유효한 SSL 인증서를 발급받아 등록하는 과정이 필수적으로 수반됩니다.⠀
인증서가 정상적으로 설치되면 브라우저는 해당 사이트와의 통신을 안전하게 암호화합니다. 다만 주소 설정이나 리디렉션, 페이지 안의 HTTP 리소스가 남아 있으면 경고가 계속 보일 수 있습니다.⠀

다만 인증서를 처음 적용한 뒤에는 워드프레스 관리자 페이지의 사이트 주소 설정도 함께 수정해 주어야 오류를 막을 수 있습니다.⠀

1단계 환경에 맞게 인증서 발급하기

인증서를 어디서 받느냐는 사이트를 어디에 두었느냐에 따라 갈립니다. 아래 표에서 본인 환경부터 찾으시면 됩니다.

환경	인증서 발급 위치	주의할 점
공유 호스팅	호스팅 관리 화면의 SSL 메뉴(무료 인증서 제공 여부는 업체마다 다릅니다)	도메인 연결이 끝나야 발급되는 경우가 많습니다
NAS(Synology 등)	NAS 제어판의 인증서 메뉴에서 Let’s Encrypt 발급(버전에 따라 메뉴 이름이 다를 수 있습니다)	도메인이 NAS 공인 IP를 가리켜야 하고, 80·443 포트가 열려 있어야 합니다
VPS	서버에서 Certbot 같은 ACME 클라이언트로 발급	자동 갱신이 실제로 동작하는지 확인해야 합니다

NAS에서 Docker로 워드프레스를 돌리신다면 인증서는 NAS가 받고, 워드프레스 컨테이너는 그 뒤에서 HTTP로만 응답하는 구조가 흔합니다. 이 구조는 3단계에서 다룰 리디렉션 루프의 원인이 되기도 하니, NAS 환경이 처음이라면 시놀로지 워드프레스 구축 방법과 실패 없는 HDD 고르기와 synology nas docker wordpress가 먹통되는 이유도 함께 보시면 도움이 됩니다.

인증서 만료일은 발급 직후에 한 번 봐 두는 것이 좋습니다. Let’s Encrypt 인증서는 유효기간이 90일이고, 공식 FAQ는 60일마다 갱신하라고 안내합니다. 자동 갱신이 멈추면 어느 날 갑자기 경고가 다시 뜰 수 있습니다.

2단계 워드프레스 주소를 https로 바꾸기

관리자 화면의 설정 > 일반에는 주소 항목이 두 개 있습니다. WordPress 주소(URL)는 워드프레스 파일이 있는 주소이고, 사이트 주소(URL)는 방문자가 입력하는 주소입니다. 두 칸 모두 https://example.com처럼 https로 시작하게 고치고, 끝에 슬래시(/)는 붙이지 않습니다. WordPress 공식 문서도 두 값에 스킴을 포함하고 끝 슬래시는 쓰지 않도록 안내합니다.

한 가지 순서는 꼭 지켜 주세요. 인증서가 실제로 적용되기 전에 주소부터 https로 바꾸면 관리자 화면에 들어가지 못할 수 있습니다. 그래서 1단계를 끝내고 브라우저에서 https://로 접속되는 것을 확인한 뒤에 바꾸는 것을 권합니다. 이미 잠겼다면 wp-config.php에 아래 두 줄을 넣어 임시로 복구할 수 있습니다. 이 방식은 설정 > 일반에서 주소를 더는 수정할 수 없게 하므로, 복구 후에는 지우고 화면에서 바꾸는 쪽이 낫습니다.

define( 'WP_HOME', 'https://example.com' );
define( 'WP_SITEURL', 'https://example.com' );

3단계 HTTP 접속을 HTTPS로 넘기기

주소를 바꿔도 예전 http 링크로 들어오는 방문자와 검색 엔진은 남아 있습니다. 이들을 https로 넘겨 주는 것이 리디렉션입니다. Apache 서버라면 .htaccess의 워드프레스 기본 규칙 위에 아래 내용을 넣는 방법이 가장 흔합니다. 서버 방식에 따라 다를 수 있으니, 호스팅에 리디렉션 옵션이 있다면 그쪽을 먼저 쓰셔도 됩니다.

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]

관리자와 로그인 화면만이라도 암호화하고 싶다면 wp-config.php에 define( 'FORCE_SSL_ADMIN', true );를 넣는 방법도 있습니다. WordPress 공식 문서에서 안내하는 설정입니다.

NAS 리버스 프록시처럼 HTTPS가 앞단에서 끝나는 구조에서는 위 규칙이 오히려 무한 리디렉션을 만들 수 있습니다. 워드프레스는 뒤에서 HTTP로 요청을 받으니 계속 https로 보내려 하기 때문입니다. 공식 문서는 이럴 때 프록시가 전달하는 X-Forwarded-Proto 헤더를 보고 HTTPS 여부를 판단하도록 wp-config.php에 아래 코드를 넣는 방법을 소개합니다. 프록시 쪽에서도 해당 헤더를 넘기도록 설정되어 있어야 합니다.

if ( isset( $_SERVER['HTTP_X_FORWARDED_PROTO'] ) && strpos( $_SERVER['HTTP_X_FORWARDED_PROTO'], 'https' ) !== false ) {
    $_SERVER['HTTPS'] = 'on';
}

인증서 하나로 끝나지 않을 때 살펴볼 부분

실제로 워드프레스닷컴 같은 플랫폼은 기본 도메인에 무료 SSL 인증서를 자동으로 연결해 주어 이런 번거로움을 줄여줍니다.⠀
하지만 직접 서버를 구축한 환경이라면 인증서 만료일이나 DNS 레코드 전파 상태를 직접 확인하는 과정이 필요합니다.⠀
간혹 인증서를 설치하고도 주소 리디렉션 설정을 누락하여 로그인이 반복되거나 사이트가 열리지 않는 상황을 겪기도 합니다.⠀
이럴 때는 기본 주소 설정을 점검하고 강제로 HTTPS 연결을 유도하는 설정만 바로잡아도 경고 표시는 깔끔하게 사라집니다.⠀

인증서 만료일과 DNS는 이렇게 확인합니다. 만료일은 브라우저 주소창의 연결 정보에서 인증서 보기로 들어가 유효 기간을 보시면 됩니다(메뉴 위치는 브라우저와 버전마다 다릅니다). 이때 오늘 날짜가 유효 기간 안에 있고, 인증서에 적힌 도메인이 접속 주소와 같으면 정상입니다. DNS는 도메인의 A 레코드가 서버의 공인 IP를 가리키는지 보면 됩니다. 레코드를 막 바꿨다면 전파에 시간이 걸릴 수 있으니, 발급이 실패하면 먼저 이 부분을 의심해 보세요.

인증서를 넣었는데도 경고나 오류가 남는다면 아래 표에서 증상이 맞는 줄을 찾아보세요.

증상	흔한 원인	확인·조치
자물쇠가 없거나 “안전하지 않음”이 남음	혼합 콘텐츠(이미지·스크립트가 http로 불러와짐)	Chrome 개발자 도구의 Issues 탭에서 http 리소스를 찾아 https로 고칩니다
“리디렉션이 너무 많음”	프록시 뒤에서 HTTPS를 인식하지 못함	3단계의 X-Forwarded-Proto 설정을 확인합니다
주소를 바꿨는데 예전 화면이 보임	브라우저·캐시 플러그인·CDN 캐시	캐시를 비우고 시크릿 창에서 다시 접속합니다
관리자 화면에 못 들어감	인증서 적용 전에 주소를 https로 바꿈	2단계의 WP_HOME·WP_SITEURL 임시 복구를 씁니다
인증서 오류가 갑자기 다시 뜸	자동 갱신 실패로 인한 만료	만료일을 확인하고 갱신 설정을 점검합니다

4단계 제대로 적용됐는지 확인하기

화면에서 경고가 사라졌다고 끝내기보다, 아래 세 가지는 한 번씩 확인하시길 권합니다. 방문자마다 다른 화면을 볼 수 있기 때문입니다.

1. 시크릿 창에서 http://로 접속해 주소가 자동으로 https://로 바뀌고 경고가 없는지 봅니다.
2. 글 몇 개와 메인 화면에서 개발자 도구를 열고 Issues 탭에 혼합 콘텐츠가 없는지 봅니다. web.dev는 Chrome이 혼합 콘텐츠를 이 탭에 기록하고 차단 여부까지 보여 준다고 설명합니다.
3. Qualys SSL Labs의 SSL Server Test에 도메인을 넣어 인증서와 서버 설정을 점검합니다. 공개 인터넷에서 접속되는 도메인만 검사할 수 있습니다.

기록을 남겨 두면 나중에 문제가 생겼을 때 비교하기 좋습니다. 아래는 정리 방식의 예시입니다.

항목 (예시)	적용 전	적용 후
접속 주소	http://example.com	https://example.com
주소창 표시	안전하지 않음	연결 보안 표시
인증서	없음	Let’s Encrypt, 90일 주기(발급 후 60일마다 갱신)
설정 > 일반 주소 두 칸	http로 시작	https로 시작
Issues 탭 혼합 콘텐츠	해당 없음	0건

보안 설정 하나만 바꾸면 주의요함이 해결되는 것을 직접 확인하고 나니 마음이 훨씬 놓였습니다.⠀
복잡한 과정처럼 보이지만 결국 핵심은 인증서 적용과 주소 체계를 올바르게 맞추는 데 있었습니다.⠀
⠀

참고한 공식 문서

• WordPress 공식 문서: Administration Over SSL (FORCE_SSL_ADMIN, 프록시 뒤 HTTPS 처리)
• WordPress 공식 문서: 사이트 이전 (WordPress 주소·사이트 주소, WP_HOME·WP_SITEURL)
• Chrome 도움말: 주소창의 보안 표시
• Let’s Encrypt FAQ (유효기간 90일, 60일마다 갱신 권장)
• web.dev: 혼합 콘텐츠란
• Qualys SSL Labs: SSL Server Test

공식 문서 확인일: 2026-10-10. 메뉴 이름과 화면은 WordPress, 브라우저, NAS 운영체제 버전에 따라 다를 수 있습니다.

• 워드프레스 구글 검색 안 될 때 해결하는 방법 3가지
• 워드프레스 ads.txt 오류 완벽 해결 방법: Before & After 트러블슈팅
• 메모리 2~4 GB로 충분한데…synology nas docker wordpress가 먹통되는 이유
• 시놀로지 워드프레스 구축 방법과 실패 없는 HDD 고르기
• 애드센스 크롤러 오류, 수익 손실 막는 해결책 3가지