火狐浏览器提示SEC_ERROR_UNKNOWN_ISSUER怎么解决?

火狐浏览器提示SEC_ERROR_UNKNOWN_ISSUER怎么解决?

先校准系统时间

火狐严格按本地时间判断证书有效期，偏差超±5分钟就会拒绝合法证书。右键任务栏时间→“调整日期和时间”→开启“自动设置时间”和“自动设置时区”。等待同步完成后再重启火狐。

这一步操作起来很简单，直接让系统联网校准即可。但若跳过此步，哪怕证书本身完全合法，也会稳定触发SEC_ERROR_UNKNOWN_ISSUER或SEC_ERROR_EXPIRED_CERTIFICATE。

确认是否被杀毒软件或代理劫持

一：地址栏输入 about:config → 回车 → 点击“我了解此风险”。

二：搜索 security.ssl.errorReporting.enabled → 双击设为 true。

三：重新访问报错网站 → 若地址栏出现红色三角警告图标，点击后错误码含 SEC_ERROR_UNKNOWN_ISSUER 或 MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT，基本可锁定为杀毒软件、净网大师、Fiddler等工具伪造证书所致。

临时验证方法：右键任务栏杀软图标→选择“暂停网页防护”（360叫“网址安全防护”，腾讯叫“网页防入侵”，卡巴斯基叫“安全连接扫描”）→等待10秒→刷新页面。若恢复正常，问题根源在此。

启用系统根证书信任

方法一：启用 enterprise roots

在 about:config 中搜索 security.enterprise_roots.enabled → 双击将其值由 false 改为 true → 完全关闭火狐所有窗口 → 重启浏览器。

方法二：手动导入劫持证书（仅限已知可信的内部CA）

从净网大师安装目录找到 adsafe_ca.crt，或从Fiddler导出 cacert.cer；进入火狐设置→隐私与安全→证书→查看证书→证书机构→导入→勾选“信任使用此CA标识的网站”→确定。

【注意：导入前必须确认该证书来源可信，否则将彻底破坏HTTPS安全边界】

重置证书数据库与缓存

一：清空运行时缓存

地址栏输入 about:networking#security → 点击“Clear SSL Cache”右侧的Clear → 再点“Clear OCSP Cache”右侧的Clear → 关闭所有火狐窗口。

二：重置证书数据库

关闭火狐后，打开 about:support → 点击“显示文件夹” → 进入配置文件目录 → 【永久删除 cert9.db 和 key4.db】两个文件 → 重启火狐。新库自动生成，旧损坏缓存彻底清零。

【不要只删cert8.db——那是旧版火狐遗留，当前版本已全面切换为cert9.db+key4.db双文件结构，删错文件无效】