Firefox SEC_ERROR_UNTRUSTED_ISSUER: издатель сертификата не признан доверенным

SEC_ERROR_UNTRUSTED_ISSUER Firefox показывает, когда сертификат сайта подписан центром сертификации, которого нет в списке доверенных для этого браузера. Сам сертификат может быть технически исправным и даже актуальным: проблема именно в цепочке доверия. У Firefox есть собственное хранилище корневых сертификатов, независимое от системного, и это первая особенность, из-за которой ошибка появляется только в нём.

Браузер проверяет сертификат сайта, затем промежуточные и доходит до корневого. Если хотя бы одно звено не удаётся связать с доверенным корнем, возникает это сообщение.

Самая частая причина на домашних компьютерах — программа, которая перехватывает защищённый трафик для проверки: антивирус, родительский контроль, отладочный прокси. Она подставляет сертификат собственного издателя, и Firefox его не знает, если программа не установила свой корневой сертификат в его хранилище.

Вторая причина — сеть организации или общественная точка доступа с шлюзом, проверяющим трафик. Третья — старая версия Firefox с устаревшим списком корневых центров. Четвёртая — сайт, у которого неправильно настроена цепочка: отдаётся только конечный сертификат без промежуточного.

Наконец, возможен и редкий тревожный вариант: подмена сертификата в недоверенной сети. Поэтому не стоит принимать исключение вслепую.

На странице ошибки нажмите «Дополнительно» и просмотрите сведения. Firefox показывает, кем выдан сертификат. Если там написано название вашего антивируса или организации, вы понимаете источник подмены. Если название вам ничего не говорит, а сайт крупный, лучше не продолжать.

Сравните поведение в разных сетях. Откройте тот же адрес через мобильную сеть: если ошибка исчезла, дело в домашней или рабочей сети. Проверьте и другой браузер: если он тоже показывает ошибку, причина, скорее всего, в самом сайте, если нет, то в хранилище Firefox.

Обновите Firefox: свежие версии содержат актуальный список корневых центров. Если ошибка вызвана антивирусом, в его настройках найдите проверку защищённых соединений и включите интеграцию с Firefox либо отключите проверку HTTPS для браузера.

В корпоративной сети попросите администратора выдать корневой сертификат организации и импортируйте его в настройки Firefox в разделе сертификатов. Существует и параметр использования системного хранилища сертификатов, но менять его без необходимости не нужно.

Исключение безопасности добавляйте только для узла, в котором вы уверены: например, для собственного устройства в домашней сети.

Когда ошибка одинаково появляется в разных браузерах и сетях, проблема у владельца. Чаще всего не установлен промежуточный сертификат. Современные браузеры порой достраивают цепочку сами, а Firefox в некоторых случаях этого не делает, и потому ловит ошибку раньше остальных.

Владельцу нужно установить полную цепочку от издателя и проверить конфигурацию публичным анализатором TLS. Пользователю остаётся сообщить об этом администратору сайта и не вводить пароли, пока предупреждение не исчезнет.

Главная особенность Firefox в том, что он ведёт собственный список доверенных корневых центров. Это удобно с точки зрения независимости от операционной системы, но приводит к расхождениям: сертификат, принятый в Chrome и Edge, в Firefox может считаться неизвестным. Так происходит с корневыми сертификатами организаций, которые установлены только в систему.

В настройках приватности и защиты Firefox есть раздел сертификатов, где можно посмотреть авторитеты и импортировать нужный корневой файл. Есть и режим, при котором Firefox учитывает корневые сертификаты, установленные в системе. Включать его стоит осознанно и только в доверенной среде, например на рабочем компьютере по указанию администратора. Дома для обычного сёрфинга менять это не нужно.

Чего лучше не делать: Не отключайте проверку сертификатов в служебных настройках Firefox и не устанавливайте корневые сертификаты по просьбе незнакомых людей или сайтов. Корневой сертификат позволяет своему владельцу читать весь ваш защищённый трафик. Устанавливайте только те, что выдал администратор организации, и только на рабочих устройствах. Для остальных случаев достаточно обновить браузер и разобраться с источником подмены.