开启 security.enterprise_roots.enabled 安全吗？

公司统一管理的电脑上开启是安全的，这和 Chrome、Edge 的做法一样。开启后，Firefox 会信任你或管理员加到操作系统里的所有根证书；个人电脑上先看看系统里多装了哪些根证书，不认识的先删掉。

Chrome 都信任了，证书肯定没问题吧？

不一定。Chrome 可能信任的是本地的拦截根证书，也可能悄悄补上了缺失的中间证书。运行 curl ssl.sh/example.com，如果我们的检测也提示证书链有问题，不管 Chrome 怎么显示，网站都需要修。

怎么看 Firefox 收到的是哪张证书？

在警告页点“高级…”，再点“查看证书”。第一张证书的颁发者能告诉你，它来自公开 CA、你们公司，还是某个安全软件。

SEC_ERROR_UNKNOWN_ISSUER：Chrome 能打开，只有 Firefox 报错

网站在 Chrome、Edge 里能打开，Firefox 却报 SEC_ERROR_UNKNOWN_ISSUER，原因是两边信任的根证书不一样，或者构建证书链的方式不一样。 Firefox 用 Mozilla 自己的根证书库，也不会自己下载缺失的中间证书；Chromium 系浏览器会信任添加到操作系统的根证书，还会自动补中间证书。

先判断是网站的问题还是你电脑的问题

外部检测报证书链有问题，是网站配置错了；外部检测正常，差异出在你电脑上的根证书。用行为像严格客户端的 SSL 检测测一下：

curl ssl.sh/example.com

检测提示证书链有问题：网站配置错了，只是被 Chrome 掩盖了，需要站长修证书链。
检测正常：差异出在你的电脑上。在 Firefox 里点“高级…” → “查看证书”，看颁发者。写的是杀毒软件、公司或代理设备的名字，就是一张 Firefox 不信任的本地根证书。

原因

只有 Firefox 报错时，多半是杀毒软件的根证书没装进 Firefox 自己的证书库。

1. 杀毒软件的根证书没装进 Firefox

做 HTTPS 扫描的安全软件会把根证书装进操作系统，很多也会同时注册到 Firefox；这一步失败了，就只有 Firefox 报错。Firefox 也可能改报 MOZILLA_PKIX_ERROR_MITM_DETECTED。修复或升级该软件，或关闭它的 HTTPS 扫描。

2. 公司根证书只部署到了操作系统

IT 通过域控组策略或终端管理软件下发了公司 CA，却没下发到 Firefox。集中解决用 Firefox 企业策略（Certificates 里的 ImportEnterpriseRoots 或 Install）；单台电脑可以开启企业根证书：

about:config  ->  security.enterprise_roots.enabled  ->  true

3. 私有 CA 的网站缺中间证书

Chrome 通过 AIA 地址下载到了中间证书，Firefox 没有，而 Firefox 的中间证书预加载只覆盖公开 CA。网站必须发送完整证书链，见缺少中间证书。

4. 根证书被微软或苹果信任，但不被 Mozilla 信任

各家根证书计划并不相同。只在 Windows 或苹果根库里的 CA，在 Firefox 里会失败。查一下签发者是否在 Mozilla 的 CA 计划里，必要时换 CA。

5. 开发工具

本地 HTTPS 开发工具常会往系统里装一张开发用根证书。把同一张根证书导入 Firefox，或者在开发机上开启企业根证书。

在各浏览器/系统上的样子

只有 Firefox 显示 SEC_ERROR_UNKNOWN_ISSUER，Chrome 内核的浏览器照常打开，这正是两边信任库不同的表现。

浏览器	结果
Firefox	“警告：面临潜在的安全风险”，代码 `SEC_ERROR_UNKNOWN_ISSUER`
Chrome / Edge / 360 / QQ 浏览器	正常打开，显示锁图标
Safari	根证书在 macOS 钥匙串里时通常能打开
curl / Python	证书链不完整时失败；网站正常且没有拦截时成功

站长怎么修

站长要发送完整证书链，公开网站选各大根证书计划都信任的 CA，内部网站把根证书部署到 Firefox。

1. 发送完整证书链。 用 fullchain 文件，并用严格的客户端验证：

ssl_certificate     /etc/nginx/ssl/example.com.fullchain.pem;
ssl_certificate_key /etc/nginx/ssl/example.com.key;

证书链工具能生成正确的证书链文件。宝塔面板、云 CDN 上传证书时要把中间证书一起粘进去。

2. 公开网站选用被各大根证书计划都信任的 CA。

3. 内部网站要通过策略把根证书明确部署到 Firefox，而不只是操作系统。然后用 curl ssl.sh/example.com（公网域名）和干净的 Firefox 配置文件测试。