如何在不使用自动选择策略的情况下禁用浏览器mTLS客户端证书提示？

Chrome/Edge 浏览器 #

官方强制禁用提示方法 #

可以通过组策略或注册表直接设置浏览器永远不响应客户端证书请求、不弹出提示：

• 组策略配置：
  打开组策略编辑器，定位到计算机配置 > 管理模板 > Google/Google Chrome（对应Chrome）或计算机配置 > 管理模板 > Microsoft/Microsoft Edge（对应Edge），找到默认客户端证书设置策略，设置为「永远不提示客户端证书」，保存后生效。

• 注册表配置：

  • Chrome：在HKEY_LOCAL_MACHINE\Software\Policies\Google\Chrome路径下，新建DWORD值DefaultClientCertificateSetting，赋值为2。
  • Edge：在HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Edge路径下，新建DWORD值DefaultClientCertificateSetting，赋值为2。

  该配置会让浏览器直接忽略所有客户端证书请求，既不弹出提示，也不发送任何客户端证书。

Firefox 浏览器 #

官方强制禁用提示方法 #

• about:config 手动设置：
  在地址栏输入about:config，搜索security.default_personal_cert，将其值修改为"Never Ask"。此配置会让Firefox在收到客户端证书请求时，直接跳过提示且不发送证书。
• 组策略批量配置：
  导入Firefox的ADMX组策略模板后，定位到计算机配置 > 管理模板 > Mozilla > Firefox，找到默认个人证书策略，设置为「永不询问」，可批量部署到所有客户端。

替代方案（若上述官方方法不适用） #

如果因环境限制无法使用上述配置，可尝试以下方案：

• 调整证书存储位置：将用于mTLS的客户端证书从用户个人证书存储转移到本地计算机存储，浏览器默认不会主动读取该存储中的证书用于客户端认证，因此不会触发提示。
• 反向代理中转认证：在用户浏览器与mTLS服务之间部署反向代理，由代理服务器完成客户端证书的认证流程，用户浏览器与代理之间使用普通HTTPS通信，彻底规避客户端证书提示。
• 自定义浏览器扩展：开发轻量扩展，拦截浏览器的客户端证书请求事件，自动返回无证书的响应，阻止提示弹出。该方案需通过企业级扩展部署方式推送给用户，确保权限合规。

内容的提问来源于stack exchange，提问作者Mselmi Ali