SEC_ERROR_UNKNOWN_ISSUER

Aparece na página de aviso, em “Advanced”, como “Error code: SEC_ERROR_UNKNOWN_ISSUER”; ferramentas de automação informam só o código. Certificados autoassinados de sites recebem um código próprio (MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT) na página de aviso; no nosso teste, o build do Playwright os informou apenas como SSL_ERROR_UNKNOWN.

Firefox (NSS) — "Warning: Potential Security Risk Ahead", certificate issuer not trusted

O que significa

O Firefox não conseguiu montar uma cadeia do certificado do site até uma raiz do trust store dele, por isso mostra “Warning: Potential Security Risk Ahead” com o código de erro SEC_ERROR_UNKNOWN_ISSUER. O Firefox usa o próprio root store do NSS (a lista da Mozilla), e não o do sistema operacional, a menos que as raízes corporativas (enterprise roots) estejam ativadas. As causas mais comuns são uma CA privada, um proxy com inspeção de TLS ou um servidor que não envia o intermediário.

Por que acontece

• Uma CA privada ou um proxy com inspeção de TLS

  comum

  O Firefox não usa raízes da empresa instaladas no Windows ou no macOS, a menos que se ative security.enterprise_roots.enabled (ou a política ImportEnterpriseRoots).

• O servidor não envia o intermediário

  comum

  O Firefox pré-carrega os intermediários das CAs públicas, o que esconde muitos desses erros de configuração; intermediários privados e novos continuam falhando.

• A raiz foi instalada no sistema operacional, mas não no Firefox

  ocasional

  Principalmente no Linux, as raízes do bundle do sistema não fazem parte do repositório do Firefox.

Como corrigir

1. 1.

   Dispositivos gerenciados: confiar na raiz da empresa por meio de política

   O policies.json (ou a configuração equivalente de GPO/MDM) pode importar raízes do repositório do sistema operacional (ImportEnterpriseRoots) e instalar arquivos de CA adicionais.

   {
     "policies": {
       "Certificates": {
         "ImportEnterpriseRoots": true,
         "Install": ["/etc/ssl/private-ca/corp-root-ca.pem"]
       }
     }
   }

2. 2.

   Donos do site: enviar a cadeia completa

   Configure o arquivo com a cadeia completa; teste com um cliente que não guarde intermediários em cache, como o openssl.

   # Site owners: Firefox also caches intermediates, so test with a fresh client
   openssl s_client -connect www.example.com:443 -servername www.example.com -showcerts </dev/null 2>/dev/null \
     | grep -E '^ *[0-9]+ s:|^ *i:'

3. 3.

   Usuários: conferir o emissor antes de aceitar o risco

   “Accept the Risk and Continue” adiciona uma exceção permanente para esse certificado; faça isso apenas em seus próprios dispositivos, em redes que você controla.

   Click "Advanced" → "View Certificate" and read the issuer before deciding anything:
   company or security-vendor name → trust that root via policy or Settings → Certificates;
   unknown issuer on a public network → do not accept the risk.

← Ver toda a base de erros de assinatura