SEC_ERROR_UNKNOWN_ISSUER

Aparece en la página de advertencia, en «Advanced», como «Error code: SEC_ERROR_UNKNOWN_ISSUER»; las herramientas de automatización informan del código sin más. Los certificados de sitio autofirmados tienen su propio código (MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT) en la página de advertencia; en nuestra prueba, la compilación de Firefox de Playwright solo los notificó como SSL_ERROR_UNKNOWN.

Firefox (NSS) — "Warning: Potential Security Risk Ahead", certificate issuer not trusted

Qué significa

Firefox no puede construir una cadena desde el certificado del sitio hasta una raíz de su almacén de confianza, así que muestra «Warning: Potential Security Risk Ahead» con el código de error SEC_ERROR_UNKNOWN_ISSUER. Firefox usa su propio almacén raíz NSS (la lista de Mozilla), no el del sistema operativo, salvo que estén activadas las raíces empresariales. Las causas habituales son una CA privada, un proxy que inspecciona el tráfico o un servidor que omite su certificado intermedio.

Por qué ocurre

• Una CA privada o un proxy que inspecciona TLS

  frecuente

  Firefox no usa las raíces de la empresa instaladas en Windows o macOS salvo que esté activado security.enterprise_roots.enabled (o la política ImportEnterpriseRoots).

• El servidor omite su certificado intermedio

  frecuente

  Firefox precarga los intermedios de las CA públicas, lo que oculta muchos de estos errores de configuración; los intermedios privados y los nuevos siguen fallando.

• La raíz está instalada en el sistema operativo, pero no en Firefox

  ocasional

  Sobre todo en Linux, las raíces del bundle del sistema no forman parte del almacén de Firefox.

Cómo solucionarlo

1. 1.

   Dispositivos gestionados: confiar en la raíz de la empresa mediante una política

   El archivo de políticas policies.json (o el ajuste equivalente de GPO/MDM) puede importar raíces del almacén del sistema operativo (ImportEnterpriseRoots) e instalar archivos de CA adicionales.

   {
     "policies": {
       "Certificates": {
         "ImportEnterpriseRoots": true,
         "Install": ["/etc/ssl/private-ca/corp-root-ca.pem"]
       }
     }
   }

2. 2.

   Propietarios del sitio: enviar la cadena completa

   Configura el archivo de cadena completa; prueba con un cliente que no guarde intermedios en caché, como openssl.

   # Site owners: Firefox also caches intermediates, so test with a fresh client
   openssl s_client -connect www.example.com:443 -servername www.example.com -showcerts </dev/null 2>/dev/null \
     | grep -E '^ *[0-9]+ s:|^ *i:'

3. 3.

   Usuarios: comprobar el emisor antes de aceptar el riesgo

   «Accept the Risk and Continue» añade una excepción permanente para ese certificado; hazlo solo con tus propios dispositivos y en redes que controlas.

   Click "Advanced" → "View Certificate" and read the issuer before deciding anything:
   company or security-vendor name → trust that root via policy or Settings → Certificates;
   unknown issuer on a public network → do not accept the risk.

← Explorar toda la base de datos de errores de firma