Firefox SEC_ERROR_UNKNOWN_ISSUER: как исправить ошибку неизвестного издателя сертификата

SEC_ERROR_UNKNOWN_ISSUER означает, что Firefox не может построить цепочку сертификата сайта до доверенного корневого центра. Причина может быть на сервере, в корпоративном HTTPS-inspection или в локальном хранилище сертификатов.

1. Сначала проверьте, проблема у всех или только у вас

Если сайт не открывается только на одном компьютере, ищите локальный CA, антивирус, proxy или неправильное время. Если ошибка массовая — вероятна неполная цепочка на сервере.

2. Корпоративный сертификат

В организации внутренние сайты и HTTPS-inspection могут использовать частный CA. Его нужно установить в доверенное хранилище ОС или развернуть политикой.

3. Firefox умеет доверять CA из ОС

Современный Firefox на Windows умеет использовать сторонние корневые сертификаты из системного хранилища. Это управляется настройкой доверия к third-party root certificates; параметр security.enterprise_roots.enabled остаётся альтернативным способом управления.

4. Не добавляйте исключение вслепую

Если сертификат неожиданно сменился или issuer неизвестен, сначала проверьте, кто выпустил сертификат. Исключение может скрыть атаку посредника или неправильный proxy.

5. Проверьте серверную цепочку

Администратор сайта должен убедиться, что сервер отдаёт leaf certificate и необходимые intermediate certificates. Клиент не должен «догадываться» о промежуточной цепочке.

6. Антивирус и proxy

Некоторые security-продукты расшифровывают HTTPS и подписывают трафик своим CA. Если этот CA не доверен Firefox, появляется UNKNOWN_ISSUER. В корпоративной среде CA следует устанавливать централизованно, а не отключать проверку TLS.