火狐浏览器“连接不安全”提示通常由ssl缓存异常或证书验证失败导致，可通过清除ssl/ocsp缓存、禁用ocsp/crl本地缓存、重置证书数据库cert9.db与key4.db、禁用增强型跟踪保护对证书基础设施的拦截等五步解决。
如果您在使用火狐浏览器访问 HTTPS 网站时遇到“您的连接存在安全风险”或“您的连接并不安全”等提示，且确认网站本身可信，则很可能是 SSL/TLS 会话缓存、证书状态缓存或证书吊销列表（CRL/OCSP）缓存异常所致。火狐浏览器为提升 HTTPS 性能，会缓存证书验证结果与握手参数，但当证书更新、吊销或中间证书链变更时，旧缓存可能阻碍新验证流程。以下是多种可操作的清理与修复方法：
一、清除SSL会话缓存与证书状态缓存
火狐浏览器将 TLS 会话票证（Session Tickets）、OCSP 响应及证书吊销检查结果缓存在内存与磁盘中。这些缓存若未及时刷新，会导致浏览器复用已失效的信任判断，从而持续报错。该方法不删除根证书信任配置，仅重置运行时验证上下文。
1、在火狐地址栏输入 about:networking#security 并按回车键。
2、在打开的页面中，点击“Clear SSL Cache”按钮右侧的“Clear”链接。
3、等待页面显示“SSL cache cleared”提示后，再点击“Clear OCSP Cache”右侧的“Clear”链接。
4、关闭所有火狐窗口，重新启动浏览器并重试访问目标网站。
二、重置证书吊销检查缓存（OCSP与CRL）
火狐默认启用 OCSP Stapling 和本地 CRL 缓存以加速证书吊销状态验证。但若服务器未正确提供 stapled OCSP 响应，或本地缓存了过期的吊销信息，将触发 SEC_ERROR_REVOKED_CERTIFICATE 等错误。此方法强制清空全部吊销状态缓存并禁用本地缓存机制，改用实时在线查询。
1、在地址栏输入 about:config 并回车，点击“我接受风险并继续”。
2、在搜索框中依次输入并双击修改以下三项配置项，将其值设为 false：
network.http.enforce-tls13-downgrade-check
security.OCSP.enabled
security.nocertdb
3、再次搜索 security.ocsp.require，将其值设为 false。
4、完全退出火狐浏览器（包括后台进程），重启后访问原报错网站。
三、手动刷新证书固定（HPKP）与证书透明度（CT）日志缓存
尽管 HPKP 已被弃用，部分老旧站点或测试环境仍可能触发相关策略残留；而证书透明度（CT）日志验证结果亦会被缓存。若网站更换了符合 CT 要求的新证书但浏览器仍引用旧日志条目，可能造成验证失败。本方法清除所有与证书策略相关的内存缓存条目。
1、在地址栏输入 about:config 并回车，确认接受风险。
2、搜索 security.cert_pinning.enforcement_level，双击将其值改为 0（禁用证书固定策略检查）。
3、搜索 security.ssl.enable_ocsp_stapling，双击设为 false。
4、搜索 security.ssl.disable_session_identifiers，双击设为 true。
5、关闭所有标签页与窗口，彻底退出火狐进程，重新启动浏览器。
四、重建证书数据库（cert9.db）与密钥数据库（key4.db）
火狐将用户导入的证书、例外规则、私钥及信任设置持久化存储于 cert9.db 与 key4.db 文件中。若这两个文件损坏或版本不兼容（如从旧版升级后未迁移），会导致证书验证逻辑崩溃，表现为随机性 SEC_ERROR_UNKNOWN_ISSUER 或 SEC_ERROR_BAD_SIGNATURE 错误。该方法在保留书签、历史、密码的前提下，安全重建证书存储结构。
1、关闭火狐浏览器，确保无后台进程运行。
2、按下 Windows + R 键，输入 %APPDATA%\Mozilla\Firefox\Profiles\（Windows）或前往 ~/Library/Application Support/Firefox/Profiles/（macOS）或 ~/.mozilla/firefox/（Linux）。
3、进入当前使用的配置文件文件夹（名称含 .default-release 或 .default）。
4、找到并重命名以下两个文件：
cert9.db → cert9.db.bak
key4.db → key4.db.bak
5、重新启动火狐浏览器，系统将自动生成新的空白证书与密钥数据库。
五、临时禁用增强型跟踪保护对HTTPS资源的拦截
火狐的增强型跟踪保护（ETP）在“严格”模式下会主动拦截第三方证书颁发机构（CA）的 OCSP 查询域名或证书透明度日志端点，导致证书状态无法验证，从而触发安全警告。该方法不关闭 ETP，仅排除关键证书基础设施域名的拦截。
1、访问任意 HTTPS 报错页面，点击地址栏左侧灰色锁形图标。
2、点击“连接已阻止”或“连接不安全”旁的“>”展开详情。
3、在“连接安全”区域下方，查找是否显示“增强型跟踪保护已阻止某些内容”提示。
4、点击右侧“禁用增强型跟踪保护”链接，选择“仅针对此站点”。
5、刷新页面，观察证书错误是否消失；若恢复访问，说明 ETP 干预了证书验证链。
