# SEC_ERROR_UNKNOWN_ISSUER：Chrome 能打开，只有 Firefox 报错

> 网站在 Chrome、Edge 里正常，Firefox 却报 SEC_ERROR_UNKNOWN_ISSUER：根证书库不同、企业根证书、杀毒软件和私有 CA 是主要原因。

Source: https://ssl.sh/zh/errors/firefox-sec-error-unknown-issuer-only/
Last updated: 2026-11-10

**网站在 Chrome、Edge 里能打开，Firefox 却报 SEC_ERROR_UNKNOWN_ISSUER，原因是两边信任的根证书不一样，或者构建证书链的方式不一样。** Firefox 用 Mozilla 自己的根证书库，也不会自己下载缺失的中间证书；Chromium 系浏览器会信任添加到操作系统的根证书，还会自动补中间证书。

## 先判断是网站的问题还是你电脑的问题

外部检测报证书链有问题，是网站配置错了；外部检测正常，差异出在你电脑上的根证书。用行为像严格客户端的 [SSL 检测](https://ssl.sh/zh/tools/ssl-checker/) 测一下：

```bash
curl ssl.sh/example.com
```

- **检测提示证书链有问题**：网站配置错了，只是被 Chrome 掩盖了，需要站长修证书链。
- **检测正常**：差异出在你的电脑上。在 Firefox 里点“高级…” → “查看证书”，看颁发者。写的是杀毒软件、公司或代理设备的名字，就是一张 Firefox 不信任的本地根证书。

## 原因

只有 Firefox 报错时，多半是杀毒软件的根证书没装进 Firefox 自己的证书库。

### 1. 杀毒软件的根证书没装进 Firefox

做 HTTPS 扫描的安全软件会把根证书装进操作系统，很多也会同时注册到 Firefox；这一步失败了，就只有 Firefox 报错。Firefox 也可能改报 [MOZILLA_PKIX_ERROR_MITM_DETECTED](https://ssl.sh/zh/errors/mozilla-pkix-error-mitm-detected/)。修复或升级该软件，或关闭它的 HTTPS 扫描。

### 2. 公司根证书只部署到了操作系统

IT 通过域控组策略或终端管理软件下发了公司 CA，却没下发到 Firefox。集中解决用 Firefox 企业策略（`Certificates` 里的 `ImportEnterpriseRoots` 或 `Install`）；单台电脑可以开启企业根证书：

```text
about:config  ->  security.enterprise_roots.enabled  ->  true
```

### 3. 私有 CA 的网站缺中间证书

Chrome 通过 AIA 地址下载到了中间证书，Firefox 没有，而 Firefox 的中间证书预加载只覆盖公开 CA。网站必须发送完整证书链，见 [缺少中间证书](https://ssl.sh/zh/errors/missing-intermediate-certificate/)。

### 4. 根证书被微软或苹果信任，但不被 Mozilla 信任

各家根证书计划并不相同。只在 Windows 或苹果根库里的 CA，在 Firefox 里会失败。查一下签发者是否在 Mozilla 的 CA 计划里，必要时换 CA。

### 5. 开发工具

本地 HTTPS 开发工具常会往系统里装一张开发用根证书。把同一张根证书导入 Firefox，或者在开发机上开启企业根证书。

## 在各浏览器/系统上的样子

只有 Firefox 显示 SEC_ERROR_UNKNOWN_ISSUER，Chrome 内核的浏览器照常打开，这正是两边信任库不同的表现。

| 浏览器 | 结果 |
|---|---|
| Firefox | “警告：面临潜在的安全风险”，代码 `SEC_ERROR_UNKNOWN_ISSUER` |
| Chrome / Edge / 360 / QQ 浏览器 | 正常打开，显示锁图标 |
| Safari | 根证书在 macOS 钥匙串里时通常能打开 |
| curl / Python | 证书链不完整时失败；网站正常且没有拦截时成功 |

## 站长怎么修

站长要发送完整证书链，公开网站选各大根证书计划都信任的 CA，内部网站把根证书部署到 Firefox。

**1. 发送完整证书链。** 用 fullchain 文件，并用严格的客户端验证：

```nginx
ssl_certificate     /etc/nginx/ssl/example.com.fullchain.pem;
ssl_certificate_key /etc/nginx/ssl/example.com.key;
```

[证书链工具](https://ssl.sh/zh/tools/chain-builder/) 能生成正确的证书链文件。宝塔面板、云 CDN 上传证书时要把中间证书一起粘进去。

**2. 公开网站选用被各大根证书计划都信任的 CA。**

**3. 内部网站**要通过策略把根证书明确部署到 Firefox，而不只是操作系统。然后用 `curl ssl.sh/example.com`（公网域名）和干净的 Firefox 配置文件测试。