Em sites criptografados com segurança (o endereço começa com "https://"), o Firefox precisa verificar se o certificado apresentado pelo site é válido. Se o certificado não for validado, o Firefox irá abortar a conexão com o site e exibir uma página de erro com a mensagem "Alerta: Potencial risco de segurança à frente". Ao clicar no botão Avançado, você pode ver o erro específico que o Firefox encontrou.

Este artigo explica porque pode aparecer o código de erro SEC_ERROR_UNKNOWN_ISSUER, MOZILLA_PKIX_ERROR_MITM_DETECTED ou ERROR_SELF_SIGNED_CERT em uma página de erro e como resolver.

O que este erro significa?

Durante uma conexão segura, um site precisa apresentar um certificado emitido por uma autoridade certificadora confiável para garantir que o usuário está conectado com o site esperado e a conexão é criptografada. Se você clicar no botão Avançado em uma página de erro "Alerta: Potencial risco de segurança à frente" e ver o código de erro SEC_ERROR_UNKNOWN_ISSUER ou MOZILLA_PKIX_ERROR_MITM_DETECTED, significa que o certificado fornecido foi emitido por uma autoridade certificadora não reconhecida pelo Firefox, portanto não pode ser aceito por padrão como confiável.

O erro ocorre em vários sites seguros

Se você encontrar este erro em vários sites seguros que não estão relacionados uns com os outros, isso indica que algo em seu sistema ou rede está interceptando a conexão e injetando certificados de uma forma que o Firefox não confia. As causas mais comuns são programas de segurança analisando conexões criptografadas ou softwares maliciosos interceptando suas conexões e substituindo certificados legítimos por falsos. Em particular, o código de erro MOZILLA_PKIX_ERROR_MITM_DETECTED indica que o Firefox detectou que a conexão foi interceptada.

Produtos antivírus

Software antivírus de terceiros podem interferir com as conexões seguras do Firefox. Você pode tentar reinstalar, o que pode fazer com que o software coloque novamente seus certificados na lista de confiança do Firefox.

Aqui estão algumas soluções alternativas que você pode tentar:

Avast/AVG

Nos produtos de segurança da Avast ou AVG, você pode desativar a interceptação de conexões seguras:

1. Abra o painel de controle do seu produto Avast ou AVG.
2. Vá para Menu e clique em Configurações > Proteção > Core Shields.
3. Desça até a seção de configuração Configure shield e clique em Web Shield.
4. Desmarque a opção Ativar escaneamento HTTPS e confirme clicando em OK.

   Em versões mais antigas do produto, você encontrará a opção correspondente indo em Menu > Configurações > Componentes e clicando em Personalizar próximo a Web Shield

Leia mais detalhes no artigo de suporte da Avast Managing HTTPS scanning in Web Shield in Avast Antivirus. Mais informações a respeito deste recurso estão disponíveis neste blog da Avast.

Bitdefender

Nos produtos de segurança da Bitdefender, você pode desativar a interceptação de conexões seguras:

1. Abra o painel de controle na aplicação Bitdefender.
2. Vá até Proteção e, na seção Prevenção contra ameaças online, clique em Configurações.
3. Desative a opção Encrypted Web Scan.

   Em versões mais antigas do produto, você pode encontrar a opção correspondente Escanear SSL indo em Módulos > Proteção da web

No Bitdefender Antivirus Free, não é possível controlar esta configuração. Em vez disso, você pode tentar reparar ou remover o programa se estiver com problemas em acessar sites seguros.

Para produtos corporativos Bitdefender, leia o artigo Bitdefender Support Center.

BullGuard

Nos produtos de segurança da BullGuard, você pode desativar a interceptação de conexões seguras em alguns dos grandes sites da web, como Google, Yahoo e Facebook:

1. Abra o painel de controle do aplicativo BullGuard.
2. Clique em Configurações e ative o modo Avançado no canto superior direito do painel.
3. Vá em Antivírus > Navegação segura.
4. Desmarque a opção Mostrar resultados seguros para os sites que estão apresentando mensagem de erro.

ESET

Em produtos de segurança ESET você pode tentar desativar e reativar a opção Filtragem de protocolo SSL/TLS ou desativar completamente a interceptação de conexões seguras como descrito neste artigo de suporte do ESET.

Kaspersky

Usuários do Kaspersky afetados devem atualizar para a versão mais recente do seu produto de segurança, como Kaspersky 2019 e acima que contêm atenuações para este problema. A página de download do Kaspersky inclui links de "Update", para os usuários com assinatura atual instalarem a versão mais recente gratuitamente.

Ou então, você pode também desativar a interceptação de conexões seguras:

1. Abra o painel de controle da sua aplicação Kaspersky.
2. Clique em Configurações no canto inferior esquerdo.
3. Clique em Adicional e depois em Rede.

1. Na seção Escanear conexões criptografadas, marque a opção Não escanear conexões criptografadas e confirme esta alteração.
2. Finalmente, reinicie seu sistema para que as mudanças sejam aplicadas.

Monitoramento/Filtragem em redes corporativas

Alguns produtos de monitoramento/filtragem usados em ambientes corporativos podem interceptar conexões criptografadas, substituindo o certificado de um site por um próprio, causando problemas em sites seguros. Se você suspeita que este seja o caso, entre em contato com o seu departamento de TI para saber qual deve ser a configuração correta do Firefox para que ele funcione corretamente, já que pode ser necessário instalar um certificado no Firefox. Mais informações para os departamentos de TI sobre isso pode ser encontrado na Mozilla Wiki CA:AddRootToFirefox.

Softwares Maliciosos (Malware)

A interceptação de conexões seguras feitas por certos tipos de softwares maliciosos pode causar esta mensagem de erro. Leia o artigo Solucione problemas no Firefox causados por malware para saber como lidar com este problema.

O erro ocorre apenas em um site em particular

Se você recebe este erro apenas em um determinado site, isso pode significar que o servidor do site não está configurado corretamente; o certificado do site pode não ter sido emitido por uma entidade certificadora conhecida e nenhuma relação com outras entidades certificadoras confiáveis foi fornecida (um tipo de certificado conhecido como “certificado intermediário” está faltando). Você deve entrar em contato com o responsável pelo site e informar o erro.

Certificado emitido por uma autoridade pertencente à Symantec

Após vir à tona várias irregularidades com certificados emitidos por autoridades raiz da Symantec, fabricantes de navegadores, incluindo a Mozilla, estão gradualmente removendo de seus produtos a confiança nesses certificados. O Firefox não confia mais em certificados de servidor emitidos pela Symantec, incluindo aqueles emitidos sob as marcas GeoTrust, RapidSSL, Thawte e Verisign. Para mais informações, consulte esta publicação no blog da Mozilla.

MOZILLA_PKIX_ERROR_ADDITIONAL_POLICY_CONSTRAINT_FAILED é o principal erro, mas em alguns servidores pode aparecer o código de erro SEC_ERROR_UNKNOWN_ISSUER. Se você encontrar um site assim, deve entrar em contato com o proprietário do site para informar o problema.

A Mozilla encoraja fortemente que operadores de sites afetados tomem ações imediatas para substituir esses certificados. Para obter mais auxílio, consulte esta publicação de blog do DigiCert e esta página de ferramentas do DigiCert.

Certificado intermediário faltando

Em um site onde falta um certificado intermediário, aparece a seguinte descrição de erro após clicar em Avançado na página de erro:

O certificado do site pode não ter sido emitido por uma autoridade de certificação confiável, nem uma cadeia completa de certificados para uma autoridade confiável foi fornecida (um assim chamado "certificado intermediário" está faltando).
Você pode verificar se um site está configurado corretamente digitando um endereço do site em uma ferramenta de terceiros como a página de teste da SSL Labs (inglês). Se ela retornar o resultado "Chain issues: Incomplete", um certificado intermediário apropriado está faltando. Você deve entrar em contato com o proprietário do site que está com dificuldade de acesso para informar o problema.

Certificado auto-assinado

Em um site com um certificado auto-assinado, aparece o código de erro ERROR_SELF_SIGNED_CERT e a seguinte descrição de erro após clicar em Avançado na página de erro:

Um certificado auto-assinado, que não foi emitido por uma autoridade de certificação reconhecida, não é confiável por padrão. Certificados auto-assinados podem proteger seus dados de bisbilhoteiros, mas não dão nenhuma informação sobre quem está recebendo os dados. Isto é comum em sites de intranet que não estão disponíveis publicamente. Você pode desconsiderar o alerta em tais sites.

Desconsiderando o alerta

Se o site permitir, você pode ignorar o alerta para acessar o site, apesar do certificado apresentado não ser confiável por padrão.

1. Na página de alerta, clique em Avançado.
2. Clique em Aceitar o risco e continuar.