Firefox升级至102.1.0esr后自定义CA证书添加异常求助

一、修正certutil命令参数 #

Firefox 75及以上版本对证书数据库格式和信任属性规则做了调整，旧命令的参数已不再适配。正确的certutil命令如下：

certutil -d sql:~/.mozilla/firefox/profiledir -A -n myca -i ./myca.pem -t "C,,"

参数关键变化说明： #

• sql:前缀：Firefox 60+默认采用SQL格式的证书数据库，必须添加该前缀（旧版本的dbm:格式已被102ESR弃用）
• -t "C,,,"：信任属性更新为明确标记该证书为合法的CA签名证书，引号避免shell解析异常

执行后用以下命令验证证书是否添加成功：

certutil -d sql:~/.mozilla/firefox/profiledir -L

重启Firefox后，即可在设置-隐私与安全-证书-查看证书的「证书机构」标签页找到该CA证书。

二、其他可选添加方式 #

• GUI手动导入：

  1. 打开Firefox进入设置-隐私与安全-证书-查看证书-证书机构
  2. 点击「导入」，选择myca.pem文件
  3. 勾选「信任由此证书机构颁发的证书」相关选项，完成导入

• 系统级证书同步：
  若Linux系统已全局安装该CA证书（通常存放于/usr/share/ca-certificates/或/etc/ssl/certs/目录），可配置Firefox自动加载系统证书：

  1. 在地址栏输入about:config并回车
  2. 搜索security.enterprise_roots.enabled，将其值设为true
  3. 重启Firefox后即可自动识别系统级CA证书

内容的提问来源于stack exchange，提问作者nochkin