SEC_ERROR_UNKNOWN_ISSUER

На странице предупреждения отображается в разделе «Advanced» («Дополнительно») как «Error code: SEC_ERROR_UNKNOWN_ISSUER»; инструменты автоматизации сообщают только сам код. Для самоподписанных сертификатов сайтов на странице предупреждения есть отдельный код ошибки (MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT); сборка Firefox из Playwright в нашем тесте сообщала о них только как SSL_ERROR_UNKNOWN.

Firefox (NSS) — "Warning: Potential Security Risk Ahead", certificate issuer not trusted

Что это означает

Firefox не смог построить цепочку от сертификата сайта до корневого сертификата в своём хранилище доверенных сертификатов, поэтому показывает «Warning: Potential Security Risk Ahead» с кодом ошибки SEC_ERROR_UNKNOWN_ISSUER. Firefox использует собственное хранилище корневых сертификатов NSS (список Mozilla), а не хранилище операционной системы, если не включены корпоративные корневые сертификаты. Обычные причины — частный CA, прокси с инспекцией трафика или сервер, который не отправляет свой промежуточный сертификат.

Почему это происходит

• Частный CA или прокси с инспекцией TLS

  часто

  Корпоративные корневые сертификаты, установленные в Windows или macOS, Firefox не использует, если не включён параметр security.enterprise_roots.enabled (или политика ImportEnterpriseRoots).

• Сервер не отправляет промежуточный сертификат

  часто

  Firefox заранее загружает промежуточные сертификаты публичных CA, и это скрывает многие подобные ошибки конфигурации; с частными и новыми промежуточными сертификатами ошибка всё равно возникает.

• Корневой сертификат установлен в ОС, но не в Firefox

  иногда

  Особенно в Linux: корневые сертификаты из системного пакета сертификатов не входят в хранилище Firefox.

Как исправить

1. 1.

   Управляемые устройства: добавьте корпоративный корневой сертификат в доверенные через политику

   Файл политик policies.json (или аналогичная настройка GPO/MDM) может импортировать корневые сертификаты из хранилища ОС (ImportEnterpriseRoots) и устанавливать дополнительные файлы CA.

   {
     "policies": {
       "Certificates": {
         "ImportEnterpriseRoots": true,
         "Install": ["/etc/ssl/private-ca/corp-root-ca.pem"]
       }
     }
   }

2. 2.

   Владельцам сайтов: отправляйте полную цепочку

   Укажите в конфигурации файл с полной цепочкой; проверяйте клиентом, который не кеширует промежуточные сертификаты, например openssl.

   # Site owners: Firefox also caches intermediates, so test with a fresh client
   openssl s_client -connect www.example.com:443 -servername www.example.com -showcerts </dev/null 2>/dev/null \
     | grep -E '^ *[0-9]+ s:|^ *i:'

3. 3.

   Пользователям: проверьте издателя, прежде чем принимать риск

   Кнопка «Accept the Risk and Continue» («Принять риск и продолжить») добавляет постоянное исключение для этого сертификата; делайте это только на своих устройствах в сетях, которые вы контролируете.

   Click "Advanced" → "View Certificate" and read the issuer before deciding anything:
   company or security-vendor name → trust that root via policy or Settings → Certificates;
   unknown issuer on a public network → do not accept the risk.

← Открыть всю базу ошибок подписей