SEC_ERROR_UNKNOWN_ISSUER

Le code apparaît sur la page d’avertissement après un clic sur « Avancé… » (« Advanced… » en anglais), sous la forme « Code d’erreur : SEC_ERROR_UNKNOWN_ISSUER » (« Error code: … » dans un Firefox en anglais) ; les outils d’automatisation signalent le code seul. Les certificats de site auto-signés ont leur propre code (MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT) sur la page d’avertissement ; dans notre test, le build Playwright ne les signalait que par l’erreur SSL_ERROR_UNKNOWN.

Firefox (NSS) — "Warning: Potential Security Risk Ahead", certificate issuer not trusted

Ce que cela signifie

Firefox n’a pas pu construire de chaîne entre le certificat du site et une racine de son magasin de confiance : il affiche donc « Warning: Potential Security Risk Ahead » avec le code d’erreur SEC_ERROR_UNKNOWN_ISSUER. Firefox utilise son propre magasin de racines NSS (la liste de Mozilla), et non celui du système d’exploitation, sauf si les racines d’entreprise sont activées. Une AC privée, un proxy d’inspection ou un serveur qui omet son certificat intermédiaire en sont les causes habituelles.

Pourquoi cela se produit

• Une AC privée ou un proxy d’inspection TLS

  fréquente

  Firefox n’utilise pas les racines d’entreprise installées dans Windows ou macOS, sauf si l’option security.enterprise_roots.enabled (ou la politique ImportEnterpriseRoots) est activée.

• Le serveur omet son certificat intermédiaire

  fréquente

  Firefox précharge les certificats intermédiaires des AC publiques, ce qui masque bon nombre de ces erreurs de configuration ; les certificats intermédiaires privés et les plus récents échouent toujours.

• La racine a été installée dans le système d’exploitation, mais pas dans Firefox

  occasionnelle

  Sous Linux en particulier, les racines du fichier de certificats du système ne font pas partie du magasin de Firefox.

Comment corriger l’erreur

1. 1.

   Appareils gérés : approuver la racine de l’entreprise par une politique

   Le fichier de politiques policies.json (ou le paramètre GPO/MDM équivalent) permet d’importer les racines du magasin du système d’exploitation (ImportEnterpriseRoots) et d’installer des fichiers d’AC supplémentaires.

   {
     "policies": {
       "Certificates": {
         "ImportEnterpriseRoots": true,
         "Install": ["/etc/ssl/private-ca/corp-root-ca.pem"]
       }
     }
   }

2. 2.

   Propriétaires de sites : envoyer la chaîne complète

   Configurez le fichier de chaîne complète ; testez avec un client qui ne met pas en cache les certificats intermédiaires, comme openssl.

   # Site owners: Firefox also caches intermediates, so test with a fresh client
   openssl s_client -connect www.example.com:443 -servername www.example.com -showcerts </dev/null 2>/dev/null \
     | grep -E '^ *[0-9]+ s:|^ *i:'

3. 3.

   Utilisateurs : vérifier l’émetteur avant d’accepter le risque

   Le bouton « Accept the Risk and Continue » ajoute une exception permanente pour ce certificat ; ne l’utilisez que sur vos propres appareils, sur des réseaux que vous contrôlez.

   Click "Advanced" → "View Certificate" and read the issuer before deciding anything:
   company or security-vendor name → trust that root via policy or Settings → Certificates;
   unknown issuer on a public network → do not accept the risk.

← Parcourir toute la base de données des erreurs de signature