关掉 HTTPS 扫描会不安全吗？

会少一层网页过滤，但浏览器仍会检查证书、拦截已知的恶意网站，杀毒软件也照样扫描你下载和运行的文件。不少安全研究者认为，有缺陷的 HTTPS 拦截反而带来更大风险。关闭它是恢复正常的证书校验，并不是关掉杀毒软件。

为什么只有 Firefox 报错？

Firefox 用自己的根证书库。杀毒软件没把根证书注册到 Firefox，就只有 Firefox 看到不受信任的证书，Firefox 可能报 MOZILLA_PKIX_ERROR_MITM_DETECTED。

只能用软件自带的修复功能或官方文档里的方法安装。网站让你装的根证书一律不要装。

会扫描 HTTPS 的杀毒软件和安全套件，夹在浏览器和每个网站之间，把每个网站的证书换成它自己签发的。 正常时你察觉不到；一旦它的根证书不在浏览器里、版本过旧或配置出错，就会一下子很多网站都报证书错误。这是本地问题，不是网站的问题。

检测显示网站证书正常、浏览器里的证书颁发者却是安全软件，就是本地拦截。挑一个报错的网站，用 SSL 检测查：

curl ssl.sh/example.com

检测显示的是正常的公开证书，就在浏览器里打开证书（点警告页的详细信息或地址栏的锁），看“颁发者”。写着你安装的安全软件的品牌，或者“Web Shield”“SSL scanning”“Personal Root”之类的字样，就确认是本地拦截。

多数情况是安全软件的根证书没装进浏览器的证书库。下面按出现频率列出 4 种情况。

软件把根证书装进了 Windows 或 macOS，却没装进 Firefox，或者浏览器更新后集成被重置。结果是 Chrome 正常、Firefox 报错，或者反过来。

老版本可能用 SHA-1 签名、弱密钥或缺少扩展，新浏览器会拒绝（NET::ERR_CERT_INVALID、NET::ERR_CERT_WEAK_SIGNATURE_ALGORITHM）。

各种“清理优化”工具、重置浏览器配置，或者根证书本身到期，都会让软件继续用一张没人信任的根证书签发。

有些拦截引擎处理不好 TLS 1.3、HTTP/2 或新的密钥交换方式，导致 ERR_SSL_PROTOCOL_ERROR 或 PR_END_OF_FILE_ERROR。

浏览器	显示内容
Chrome / Edge / 360 / QQ 浏览器	很多网站报 NET::ERR_CERT_AUTHORITY_INVALID，或者协议错误
Firefox	MOZILLA_PKIX_ERROR_MITM_DETECTED 或 SEC_ERROR_UNKNOWN_ISSUER
Safari	“此连接非私人连接”
程序（Git、Python、Java）	每个 HTTPS 请求都证书校验失败

多数情况下升级软件或只关闭 HTTPS 扫描就能解决，不需要卸载安全软件。

1. 把安全软件升级到最新版，然后重启浏览器。

2. 如果软件有修复浏览器组件的选项，运行一次。

3. 只关闭 HTTPS 扫描功能。 在网页防护设置里找类似“HTTPS 扫描”“扫描加密连接”“SSL/TLS 过滤”“加密网页扫描”的选项。实时文件防护保持开启。国内部分安全软件的“网购保护”“浏览器防护”模块也可能涉及这一功能，按同样思路排查。

4. Firefox 用户只有在确认那张根证书属于你主动安装的软件后，才在 about:config 里开启 security.enterprise_roots.enabled。

5. 清理已卸载软件残留的根证书（Windows 运行 certmgr.msc → 受信任的根证书颁发机构；macOS 打开钥匙串访问 → 系统）。

只要 curl ssl.sh/example.com 显示证书链有效，服务器就不用改。客服看到用户截图里的颁发者是某个安全软件时，就能判断是这种情况，把这一页发给用户即可。