Błąd SEC_ERROR_UNKNOWN_ISSUER – jak go naprawić?

Błąd SEC_ERROR_UNKNOWN_ISSUER pojawia się najczęściej w przeglądarce Mozilla Firefox, gdy próbujemy otworzyć stronę zabezpieczoną protokołem HTTPS, ale przeglądarka nie ufa wystawcy certyfikatu SSL. Innymi słowy – Firefox nie potrafi zweryfikować, kto faktycznie wystawił certyfikat dla danej domeny.
W efekcie użytkownik widzi ostrzeżenie o potencjalnym zagrożeniu bezpieczeństwa, a witryna nie ładuje się poprawnie.

Na ekranie widać wtedy komunikat w rodzaju:

⚠️ Połączenie nie jest bezpieczne
Kod błędu: SEC_ERROR_UNKNOWN_ISSUER

Dlaczego Firefox zgłasza „wystawca nieznany”?

Aby certyfikat SSL był uznany za wiarygodny, przeglądarka musi odtworzyć pełny łańcuch zaufania (certificate chain) — od certyfikatu domeny, przez certyfikaty pośrednie (intermediate), aż po główne zaufane urzędy certyfikacji (Root CA).

Jeśli brakuje któregokolwiek ogniwa, Firefox nie potrafi potwierdzić autentyczności certyfikatu.

Błąd SEC_ERROR_UNKNOWN_ISSUER – najczęstsze przyczyny

1. Brak certyfikatów pośrednich (CA chain)

To najczęstszy powód tego błędu.

Certyfikat został poprawnie zainstalowany, ale bez pakietu pośrednich certyfikatów (tzw. CA bundle), które łączą go z głównym urzędem certyfikacji.

Firefox wymaga pełnego łańcucha — jeśli go nie znajdzie, uznaje certyfikat za niezaufany.

Jak to sprawdzić:

Wejdź na tę stronę i wpisz nazwę swojej domeny.

Jeśli w wynikach zobaczysz komunikat Chain issues: Incomplete — oznacza to, że serwer nie udostępnia pełnego łańcucha certyfikatów.

Jak naprawić:

W panelu cPanel → SSL/TLS → „Zarządzaj certyfikatami” → zainstaluj lub wklej CA Bundle.

W Apache/Nginx dodaj odpowiedni plik w konfiguracji:

SSLCertificateFile /etc/ssl/certs/domena.crt
SSLCertificateKeyFile /etc/ssl/private/domena.key
SSLCertificateChainFile /etc/ssl/certs/ca-bundle.crt

Jeśli używasz Let’s Encrypt, wykonaj:

certbot renew --force-renewal

2. Filtrowanie HTTPS przez antywirusa

Niektóre programy antywirusowe (np. Avast, Kaspersky, ESET) wstawiają własny certyfikat pośredni, aby skanować ruch HTTPS.

Firefox nie ufa takim lokalnym certyfikatom, więc zgłasza „nieznanego wystawcę”.

Jak rozpoznać:

Otwórz szczegóły certyfikatu (ikona kłódki → Więcej informacji → Pokaż certyfikat).
Jeśli widzisz np. „Kaspersky Anti-Virus Root CA”, problem leży po stronie antywirusa.

Jak naprawić:

• Wyłącz w antywirusie Skanowanie HTTPS / Skanowanie szyfrowanych połączeń.
• Ewentualnie dodaj certyfikat programu do magazynu Firefoxa (niezalecane ze względów bezpieczeństwa).

3. Samopodpisany lub testowy certyfikat SSL

Jeśli certyfikat został wystawiony samodzielnie (self-signed), Firefox nie ma podstaw, by mu ufać — nie ma weryfikowalnego łańcucha CA.

Jak naprawić:

Zainstaluj certyfikat od zaufanego dostawcy (np. Let’s Encrypt, Sectigo, DigiCert).

4. Błędna konfiguracja lub stary profil Firefoxa

W rzadkich przypadkach problem dotyczy lokalnej instalacji przeglądarki:

• nieaktualna wersja Firefoxa,
• uszkodzony profil użytkownika,
• błędne ustawienia proxy.

Rozwiązanie:

Zaktualizuj Firefoxa do najnowszej wersji lub uruchom w trybie awaryjnym.

Jak zapobiec błędom SSL w przyszłości?

• Zawsze instaluj pełny pakiet certyfikatu (cert + CA bundle).
• Korzystaj z narzędzi diagnostycznych.
• Regularnie (co roku) odnawiaj certyfikat SSL.
• Unikaj używania testowych lub samopodpisanych certyfikatów w środowisku produkcyjnym.

Podsumowanie

Błąd SEC_ERROR_UNKNOWN_ISSUER to sygnał, że przeglądarka nie ufa certyfikatowi SSL, ponieważ nie potrafi zweryfikować jego wystawcy.

Najczęściej wystarczy zainstalować pełny łańcuch certyfikatów (CA bundle), aby problem zniknął.

Jeśli jednak błąd dotyczy tylko części użytkowników, przyczyną może być oprogramowanie antywirusowe lub lokalna konfiguracja przeglądarki.

Co dalej?

W kolejnym wpisie z tej serii omówimy inne komunikaty SSL, które mogą pojawiać się w Chrome, Edge i Safari — m.in. NET::ERR_CERT_AUTHORITY_INVALID czy Your connection is not private.

Pamiętaj, że zaufany certyfikat SSL dla swojej domeny możesz zamówić w naszym serwisie!