火狐无法解析自签名本地ssl证书，需校准系统时间、确认san匹配访问地址、启用security.enterprise_roots.enabled或手动导入根ca证书并勾选“信任此证书可用于标识网站”，再清除ssl/ocsp缓存并删除cert9.db与key4.db重启生效。
火狐浏览器无法正确解析某些自签名的本地SSL证书，是因为它完全不信任未预置在自身NSS证书数据库中的根CA，而这类证书往往缺失关键信任锚点、SAN字段不匹配、或证书链结构被错误构造——导致访问时直接中断连接并弹出SEC_ERROR_UNKNOWN_ISSUER或ERROR_SELF_SIGNED_CERT警告页。
确认系统时间是否准确
火狐严格依据本地系统时间验证证书有效期，若偏差超过±5分钟，即使证书本身有效，也会触发sec_error_expired_certificate或sec_error_not_yet_valid_error。右键点击Windows任务栏右下角时间→选择“调整日期和时间”→确保“自动设置时间”和“自动设置时区”均已开启→等待同步完成。
关闭所有Firefox窗口（包括后台进程），重新启动后重试访问。这一步操作起来很简单，直接让系统联网校准即可；但若跳过此步，后续所有证书导入操作都会失效。
检查证书中Subject Alternative Name（SAN）是否覆盖访问地址
Firefox强制要求HTTPS证书必须包含访问目标的完整标识，仅靠Common Name（CN）已不被接受。如果你用 https://127.0.0.1 访问，但证书只写了 localhost 或未声明IP地址，就会稳定报错。
打开证书文件（.crt/.pem），用文本编辑器搜索DNS.1、IP.1等字段，确认其值与你实际输入的URL完全一致。例如：IP.1 = 127.0.0.1 或 DNS.1 = localhost。若缺失，请使用OpenSSL或mkcert工具重新生成，明确添加 -addext "subjectAltName = IP:127.0.0.1,DNS:localhost" 参数。
启用企业根证书同步（适用于域控/SSL解密网关环境）
该方法让Firefox主动读取Windows系统证书存储中的企业级根证书，适合Zscaler、GlobalProtect、Fiddler等中间设备签发证书的场景，无需逐个导入。
① 在Firefox地址栏输入 about:config → 回车 → 点击“我了解此风险”。
② 搜索框中键入 security.enterprise_roots.enabled。
③ 若该项不存在：右键空白处→新建→布尔值→粘贴完整名称→设为 true；若已存在：双击将其值由false改为true。
④ 【必须完全关闭所有Firefox窗口(含后台进程),否则新设置不生效】
⑤ 重启Firefox，访问内网HTTPS地址，sec_error_untrusted_issuer错误应立即消失。
手动导入并信任自签名根证书（开发/测试/无域控环境）
你必须导入的是原始根CA证书文件（如ca.crt），而不是终端站点证书（如dev.example.com.crt）——后者导入后完全无效。
方法一：从OpenSSL或开发工具导出PEM格式根证书
确认文件以-----BEGIN CERTIFICATE-----开头、-----END CERTIFICATE-----结尾；若为.der/.cer格式，可用记事本打开，手动添加首尾标记后保存为.crt或.pem。
方法二：在Firefox中导入并启用网站信任
点击右上角菜单→设置→隐私与安全→滚动到“证书”区域→点击“查看证书…”→切换至“证书机构”选项卡→点击“导入…”→选中你的CA.crt文件。
勾选信任此证书可用于标识网站→不要勾选另外两项→点击“确定”。
强制清除SSL与OCSP缓存并重置证书数据库
第一步：清空运行时缓存
地址栏输入 about:networking#security → 点击“Clear SSL Cache”右侧的Clear → 再点“Clear OCSP Cache”右侧的Clear → 关闭所有火狐窗口。
第二步：重置证书数据库
关闭火狐后，进入个人资料文件夹（可通过 about:support →“显示文件夹”打开），找到并永久删除 cert9.db 和 key4.db两个文件。重启火狐时会自动生成新库，旧的损坏缓存彻底清零。
注意：不要只删cert8.db——那是旧版火狐遗留，当前版本（2026年）已全面切换为cert9.db+key4.db双文件结构，删错文件无效。
