为什么火狐浏览器在内网环境下无法使用自签名证书访问网页

火狐内网无法使用自签名证书，因默认不信任未预置根证书；需校准系统时间、启用security.enterprise_roots.enabled同步企业证书，或手动导入CA.crt并勾选“信任此证书可用于标识网站”。

火狐浏览器在内网环境下无法使用自签名证书访问网页，是因为它默认不信任任何未预置在自身证书数据库中的根证书，而自签名证书的签发者（即其根CA）既不在Mozilla官方根证书列表中，也未被手动导入并启用网站身份信任——导致每次访问都弹出“您的连接存在安全风险”警告页，实际请求被中断。

校准系统时间避免证书过期误判

火狐严格依据本地系统时间验证证书有效期，若当前时间比真实时间快或慢超过5分钟，即使证书本身有效，也会触发sec_error_expired_certificate或sec_error_not_yet_valid_error错误。

右键点击Windows任务栏右下角时间→选择“调整日期和时间”→确保“自动设置时间”和“自动设置时区”均已开启→等待同步完成。

关闭所有Firefox窗口（包括后台进程），重新启动后重试访问。

启用企业根证书同步（适用于域控/SSL解密网关环境）

该方法让Firefox主动读取Windows系统证书存储中的企业级根证书，适合Zscaler、GlobalProtect、Fiddler等中间设备签发证书的场景，无需逐个导入。

① 在Firefox地址栏输入 about:config → 回车 → 点击“我了解此风险”。

② 搜索框中键入 security.enterprise_roots.enabled。

③ 若该项不存在：右键空白处→新建→布尔值→粘贴完整名称→设为 true；若已存在：双击将其值由false改为true。

④ 【必须完全关闭所有Firefox窗口（含后台进程），否则新设置不生效】

⑤ 重启Firefox，访问内网HTTPS地址，sec_error_untrusted_issuer错误应立即消失。

手动导入并信任自签名根证书（开发/测试/无域控环境）

你必须导入的是原始根CA证书文件（如ca.crt），而不是终端站点证书（如dev.example.com.crt）——后者导入后完全无效。

方法一：从OpenSSL或开发工具导出PEM格式根证书

确认文件以-----BEGIN CERTIFICATE-----开头、-----END CERTIFICATE-----结尾；若为.der/.cer格式，可用记事本打开，手动添加首尾标记后保存为.crt或.pem。

方法二：在Firefox中导入并启用网站信任

点击右上角菜单→设置→隐私与安全→滚动到“证书”区域→点击“查看证书…”→切换至“证书机构”选项卡→点击“导入…”→选中你的CA.crt文件。

勾选信任此证书可用于标识网站→不要勾选另外两项→点击“确定”。

这一步是关键：不勾选“标识网站”，导入后证书不会参与HTTPS验证，页面继续报错。

临时跳过警告（仅限单次验证）

该操作不修改任何配置，仅对当前页面生效，适合快速确认网页内容是否可访问。

在警告页点击“高级”→点击“接受风险并继续”。

地址栏左侧出现灰色锁图标带三角形，表示本次连接已被临时放行。