HTTPS와 보안 헤더가 SEO에 미치는 영향

Google은 2014년 HTTPS를 공식 랭킹 시그널로 발표했습니다. 이후 2018년 Chrome은 HTTP 사이트에 "Not Secure" 경고를 표시하기 시작했고, 현재 사실상 모든 웹사이트에서 HTTPS는 기본 요건이 되었습니다.

HTTP에서 HTTPS로 전환할 때 부주의하면 트래픽 손실이 발생할 수 있습니다. 다음 체계적 순서를 따르세요.

마이그레이션 4단계

1. SSL 인증서 발급: Let's Encrypt(무료), 상용 인증서(유료). Cloudflare·Vercel 등 CDN 사용 시 자동 발급.
2. 301 영구 리다이렉트 설정: 모든 HTTP → HTTPS 리다이렉트. 서버 설정 또는 CDN에서 처리.

   # Nginx 설정
   server {
       listen 80;
       return 301 https://$host$request_uri;
   }
   

3. 내부 링크·리소스 HTTPS 교체: HTML, CSS, JavaScript 내 모든 http:// 참조를 https://로 변경. Mixed Content 오류 제거.
4. Search Console에 HTTPS 속성 추가: Google Search Console에서 https:// 버전을 별도로 등록하고 사이트맵 재제출.

흔히 발생하는 실수

보안 헤더는 SEO 직접 랭킹 팩터는 아니지만, 사용자 신뢰도·이탈률·크로스 사이트 공격 방지에 영향을 미쳐 간접적으로 SEO에 기여합니다. 또한 Google Lighthouse 보안 감사 항목에 포함됩니다.

Next.js에서는 next.config.js의 headers()로 보안 헤더를 일괄 설정할 수 있습니다. Vercel 배포 시에도 동일하게 적용됩니다.

// next.config.js
const securityHeaders = [
  {
    key: 'X-DNS-Prefetch-Control',
    value: 'on'
  },
  {
    key: 'Strict-Transport-Security',
    value: 'max-age=63072000; includeSubDomains; preload'
  },
  {
    key: 'X-Frame-Options',
    value: 'SAMEORIGIN'
  },
  {
    key: 'X-Content-Type-Options',
    value: 'nosniff'
  },
  {
    key: 'Referrer-Policy',
    value: 'strict-origin-when-cross-origin'
  },
  {
    key: 'Permissions-Policy',
    value: 'camera=(), microphone=(), geolocation=()'
  }
]

module.exports = {
  async headers() {
    return [
      {
        source: '/(.*)',
        headers: securityHeaders,
      },
    ]
  },
}