火狐弹出“SEC_ERROR_UNKNOWN_ISSUER”表明证书签发者不可信，需依次校准系统时间、确认并补全证书链、清除SSL/OCSP缓存及重置cert9.db与key4.db、启用security.enterprise_roots.enabled以信任系统根证书。
火狐浏览器访问HTTPS网站时突然弹出“SEC_ERROR_UNKNOWN_ISSUER”，说明它无法识别证书的签发者——既不在内置根证书列表里，也没法通过中间证书拼出完整信任链，连接被强制中断。这不是网站故障，而是本地证书信任机制出了问题。
先校准系统时间
火狐严格按本地时间判断证书有效期，偏差超±5分钟就会拒绝有效证书。
右键任务栏时间→“调整日期和时间”→开启“自动设置时间”和“自动设置时区”。等待同步完成后再重启火狐。
这一步操作起来很简单，直接让系统联网校准即可。但若跳过此步，哪怕证书本身完全合法，也会稳定触发SEC_ERROR_UNKNOWN_ISSUER或SEC_ERROR_EXPIRED_CERTIFICATE。
确认是否为杀毒软件或代理劫持
银行网银、电子税务局或企业内网白屏、反复跳转，大概率是杀软或Zscaler/Fiddler等工具在后台重签证书。
方法一：检查错误码线索
① 地址栏输入about:config→回车→点击“接受风险并继续”。
② 搜索security.ssl.errorReporting.enabled→双击设为true。
③ 重新访问出问题的网站→若地址栏出现红色三角警告图标，点击后显示错误码含SEC_ERROR_UNKNOWN_ISSUER或MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT，基本可锁定为第三方伪造证书所致。
方法二：临时禁用SSL扫描功能
打开杀毒软件设置，查找“HTTPS扫描”“SSL/TLS拦截”“安全浏览增强”等选项，全部关闭→重启火狐测试。
启用操作系统根证书信任
火狐默认不读取Windows/macOS系统证书存储，而企业网关、Zscaler、Fiddler或部分杀软生成的证书都依赖系统级根证书。启用该功能后，Firefox将自动识别已安装在系统中的合法CA。
① 地址栏输入about:config→点击“我了解此风险”。
② 搜索security.enterprise_roots.enabled→双击将其值由false改为true。
③ 【必须关闭所有火狐窗口（包括后台进程），再重新启动】。
清理证书缓存与重置证书数据库
cert9.db和key4.db是Firefox当前版本（2026年）唯一有效的证书数据库文件，损坏后会导致信任链解析失败。
第一步：清空运行时缓存
地址栏输入about:networking#security→点击“Clear SSL Cache”右侧的Clear → 再点“Clear OCSP Cache”右侧的Clear → 关闭所有火狐窗口。
第二步：重置证书数据库
关闭火狐后，进入个人资料文件夹（可通过about:support→“显示文件夹”打开），找到并【永久删除 cert9.db 和 key4.db 文件】→重启浏览器。该操作会清除所有手动导入的证书和例外，但系统默认信任的根证书不受影响。
手动导入私有CA证书（仅限可信环境）
适用于开发测试、内网系统或抓包工具（如Burp Suite、Charles）生成的根证书。
在火狐中依次点击菜单→设置→隐私与安全→证书→查看证书→“证书机构”选项卡→“导入”→选择导出的cacert.der或cacert.pem文件→勾选“信任此CA用于标识网站”→确认导入。
注意：只对明确可控的私有CA执行此操作，绝不可随意导入来源不明的根证书。
