Firefox: «Безопасное соединение не удалось» — SEC_ERROR_UNKNOWN_ISSUER

#Что означает ошибка

Firefox показывает «Безопасное соединение не удалось» с кодом SEC_ERROR_UNKNOWN_ISSUER, когда не доверяет издателю сертификата: самоподписанный сертификат, неполная цепочка, корпоративный прокси/антивирус с подменой сертификата или неверная дата.

#Причины и решения

#Пошаговое решение

1. Проверьте дату и времяВ Windows нажмите Win+I → «Время и язык» → «Дата и время» и проверьте часовой пояс и дату. При необходимости включите автоматическое время и нажмите синхронизацию. Затем в Firefox откройте ошибочный адрес, нажмите «Дополнительно» и запишите полный код ошибки: SEC_ERROR_UNKNOWN_ISSUER — проблема доверия к издателю, а ошибка срока действия имеет другой код. Если проблема только на одном сайте, немедленно менять доверенные сертификаты системы не нужно.
2. Проверьте журнал защитного ПООткройте настройки установленного антивируса и найдите раздел «Журнал», «События» либо «Защита интернета» (название зависит от программы). Сравните время записи с появлением ошибки в Firefox: есть ли событие блокировки HTTPS для нужного адреса? Если запись есть, откройте её подробности и сверьте адрес сайта. Не отключайте антивирус целиком и не добавляйте неизвестный сайт в исключения. В рабочей сети с прокси или защитой трафика сообщите администратору имя сайта, код ошибки и время события.
3. Включите security.enterprise_roots.enabledМеняйте security.enterprise_roots.enabled только на доверенном рабочем компьютере и по рекомендации администратора организации, когда известен её корневой сертификат и он уже установлен в системное хранилище. В Firefox откройте about:config, найдите точное имя security.enterprise_roots.enabled, запишите исходное значение и установите true только при подтверждённой необходимости. Проверьте сайт, затем при неверном результате верните прежнее значение. На личном компьютере при проблеме одного неизвестного сайта не включайте дополнительное доверие — это может доверить сертификатам, установленным другими программами.
4. Владельцу: используйте fullchainЭтот шаг только для владельца сайта или администратора сервера. Если вы обычный посетитель, менять сертификаты нельзя: передайте владельцу адрес сайта и код SEC_ERROR_UNKNOWN_ISSUER. Администратору: откройте панель управления хостингом и найдите раздел «SSL-сертификаты» нужного домена. Установите сертификат сайта вместе с промежуточными сертификатами (полную цепочку), а не только один файл сертификата. Для Nginx проверьте параметр ssl_certificate в конфигурации сайта: он должен указывать на файл с сертификатом домена и промежуточными сертификатами (обычно fullchain.pem от Let’s Encrypt); закрытый ключ задаётся отдельно через ssl_certificate_key. Перед применением выполните sudo nginx -t; при успешной проверке — sudo systemctl reload nginx. Для Apache и панелей хостинга порядок установки иной — используйте интерфейс панели. Не заменяйте файлы ключей наугад и не публикуйте закрытый ключ.
5. Проверьте цепочкуУкажите точное имя проблемного сайта. Если сайт принадлежит вам и открыт из интернета, перейдите на https://www.ssllabs.com/ssltest/ , введите доменное имя без https:// и запустите проверку. Дождитесь отчёта, найдите разделы сертификатов и строки о цепочке: сообщение Chain issues: Incomplete означает, что сервер не передаёт один или несколько промежуточных сертификатов. После исправления запустите тест снова и проверьте сайт в Firefox. Если сайт вам не принадлежит, достаточно передать администратору адрес и код ошибки; команды openssl выполнять не обязательно. SSL Labs не подходит для закрытого локального сайта, недоступного из интернета.

#Если не помогло

Не добавляйте исключения для сайтов, где вводите пароли или платёжные данные.

#Для посетителя

Для посетителя: сравните, возникает ли ошибка на нескольких известных HTTPS-сайтах или только на одном; откройте подробности предупреждения и запишите код. Если несколько сайтов одновременно показывают неизвестного издателя, попросите администратора или поддержку защитного ПО проверить локальную фильтрацию HTTPS и список доверенных сертификатов. Не отключайте антивирус и проверку сертификатов, не импортируйте файлы сертификатов из писем и случайных сайтов.

#Для владельца сайта

Установите сертификат вместе с промежуточными: используйте файл fullchain.pem (Let's Encrypt), а не cert.pem. В nginx: ssl_certificate /etc/letsencrypt/live/сайт/fullchain.pem;. Проверьте цепочку: openssl s_client -connect сайт:443 -servername сайт и SSL Labs. Самоподписанные сертификаты для публичных сайтов замените.

#Корпоративные сети

В корпоративной сети HTTPS может проверяться управляемым прокси. Только администратор должен сообщать, какой корневой сертификат доверен организации и каким способом его установить. Перед импортом убедитесь в происхождении сертификата через официальный внутренний канал; при необходимости администратор включит доверие системному хранилищу. Не переносите эту настройку на личный компьютер без обоснования.