Como resolver problemas de códigos de erro de segurança em sites seguros

Em sites supostamente seguros (cujo endereço começa com "https://") o Firefox precisa verificar se o certificado apresentado pelo site é válido. Se o certificado não for validado, o Firefox irá abortar a conexão com o site e exibir uma página de erro com a mensagem "Sua conexão não é segura""Alerta: Potencial risco de segurança à frente".

Este artigo explica porque pode aparecer o código de erro SEC_ERROR_UNKNOWN_ISSUER, MOZILLA_PKIX_ERROR_MITM_DETECTED ou ERROR_SELF_SIGNED_CERT em uma página de erro e como resolver.

O que este erro significa?

Durante uma conexão segura, um site precisa apresentar um certificado emitido por uma autoridade certificadora confiável para garantir que o usuário está conectado com o site esperado e a conexão é criptografada. Se você clicar no botão Avançado em uma página de erro "Sua conexão não é segura""Alerta: Potencial risco de segurança à frente" e ver o código de erro SEC_ERROR_UNKNOWN_ISSUER ou MOZILLA_PKIX_ERROR_MITM_DETECTED, significa que o certificado fornecido foi emitido por uma autoridade certificadora não reconhecida pelo Firefox e portanto não pode ser aceito por padrão como confiável.

Fx45 erro SEC_ERROR_UNKNOWN_ISSUER Fx66WarningSEC_ERROR_UNKNOWN_ISSUER

O erro ocorre em vários sites seguros

Se você encontrar esse erro em vários sites seguros que não estão relacionados uns com os outros, isso indica que algo em seu sistema ou rede está interceptando a conexão e injetando certificados de uma forma que o Firefox não confia. Os casos mais comuns são programas de segurança analisando conexões criptografadas ou softwares maliciosos interceptando suas conexões e substituindo certificados legítimos por falsos. Em particular, o código de erro MOZILLA_PKIX_ERROR_MITM_DETECTED indica que o Firefox foi capaz de detectar que a conexão foi interceptada.

Produtos antivírus

Software antivírus de terceiros podem interferir com as conexões seguras do Firefox. Recomendamos desinstalar o software de terceiros e usar o software de segurança oferecido para Windows pela Microsoft:

Se você não quiser desinstalar o software de terceiros, você pode tentar reinstalá-lo, o que pode acionar o software para colocar seus certificados na loja de confiança do Firefox novamente.

Aqui estão algumas soluções alternativas que você pode tentar:

Avast/AVG

Nos produtos de segurança da Avast ou AGV, você pode desativar a interceptação de conexões seguras:

  1. Abra o painel de controle do seu produto Avast ou AGV.
  2. Vá para Menu e clique em Configurações > Proteção > Core Shields.
  3. Desça até a seção de configuração Configure shield e clique em Web Shield.
  4. Desmarque a opção Ativar escaneamento HTTPS e confirme clicando em OK.
    Em versões mais antigas do produto, você encontrará a opção correspondente indo em Menu > Configurações > Componentes e clicando em Personalizar próximo a Web Shield

Leia mais detalhes no artigo de suporte da Avast Managing HTTPS scanning in Web Shield in Avast Antivirus. Mais informações a respeito deste recurso estão disponíveis neste blog da Avast.

Bitdefender

Nos produtos de segurança da Bitdefender, você pode desativar a interceptação de conexões seguras:

  1. Abra o painel de controle na aplicação Bitdefender.
  2. Vá até Proteção e, na seção Prevenção contra ameaças online, clique em Configurações.
  3. Desative a opção Encrypted Web Scan.
    Em versões mais antigas do produto, você pode encontrar a opção correspondente Escanear SSL indo em Módulos > Proteção da web

No Bitdefender Antivirus Free, não é possível controlar esta configuração. Em vez disso, você pode tentar reparar ou remover o programa se estiver com problemas em acessar sites seguros.

Para produtos corporativos Bitdefender, leia o artigo Bitdefender Support Center.

BullGuard

Nos produtos de segurança da BullGuard, você pode desativar a interceptação de conexões seguras em alguns dos grandes sites da web, como Google, Yahoo e Facebook:

  1. Abra o painel de controle do aplicativo BullGuard.
  2. Clique em Configurações e ative o modo Avançado no canto superior direito do painel.
  3. Vá em Antivírus > Navegação segura.
  4. Desmarque a opção Mostrar resultados seguros para os sites que estão apresentando mensagem de erro.

ESET

Em produtos de segurança ESET você pode tentar desativar e reativar a opção Filtragem de protocolo SSL/TLS ou desativar completamente a interceptação de conexões seguras como descrito neste artigo de suporte do ESET.

Kaspersky

Usuários do Kaspersky afetados devem atualizar para a versão mais recente do seu produto de segurança, como Kaspersky 2019 e acima que contêm atenuações para este problema. A página de download do Kaspersky inclui links de "Update", para os usuários com assinatura atual instalarem a versão mais recente gratuitamente.

Ou então, você pode também desativar a interceptação de conexões seguras:

  1. Abra o painel de controle da sua aplicação Kaspersky.
  2. Clique em Configurações no canto inferior esquerdo.
  3. Clique em Adicional e depois em Rede.
  1. Na seção Escanear conexões criptografadas, marque a opção Não escanear conexões criptografadas e confirme esta alteração.
  2. Finalmente, reinicie seu sistema para que as mudanças sejam aplicadas.

Configurações de Segurança Familiar em contas do Windows

Em contas do Microsoft Windows protegidas pelas configurações de Segurança Familiar, conexões seguras a sites populares como o Google, Facebook e YouTube podem ser interceptadas e ter os certificados substituídos por outros emitidos pela Microsoft para que as buscas sejam filtradas e monitoradas.

Leia esta página de suporte da Microsoft para aprender como desativar estas configurações para contas específicas. Caso você queira instalar manualmente os certificados da Microsoft faltando em contas afetadas, veja este artigo de suporte da Microsoft.

Monitoramento/Filtragem em redes corporativas

Alguns produtos de monitoramento/filtragem usados em ambientes corporativos podem interceptar conexões criptografadas, substituindo o certificado de um site por um próprio, causando problemas em sites seguros. Se você suspeita que este seja o caso, entre em contato com o seu departamento de TI para saber qual deve ser a configuração correta do Firefox para que ele funcione corretamente, já que pode ser necessário instalar um certificado no Firefox. Mais informações para os departamentos de TI sobre isso pode ser encontrado na Mozilla Wiki CA:AddRootToFirefox.

Softwares Maliciosos (Malware)

A interceptação de conexões seguras feitas por certos tipos de softwares maliciosos pode causar esta mensagem de erro. Leia o artigo Solucione problemas do Firefox causados por malware para saber como lidar com este problema.

O erro ocorre apenas em um site em particular

Se você recebe este erro apenas em um determinado site, isso pode significar que o servidor do site não está configurado corretamente; o certificado do site pode não ter sido emitido por uma entidade certificadora conhecida e nenhuma relação com outras entidades certificadoras confiáveis foi fornecida (um tipo de certificado conhecido como “certificado intermediário” está faltando). Você deve entrar em contato com o dono do site e informá-lo deste erro.

Certificado emitido por uma autoridade pertencente à Symantec

Após um número de irregularidades com certificados emitidos por autoridades raiz da Symantec virem à tona, fabricantes de navegadores incluindo a Mozilla estão gradualmente removendo de seus produtos a confiança nesses certificados. Na primeira etapa, o Firefox 60 não confiará mais em certificados encadeados até autoridades raiz da Symantec (incluindo todas as marcas da Symantec: GeoTrust, RapidSSL, Thawte e VeriSign) que foram emitidos antes de 2016-06-01. No Firefox 63 esta remoção de confiança será extendida a todos os certificados da Symantec, independente da data de emissão.

MOZILLA_PKIX_ERROR_ADDITIONAL_POLICY_CONSTRAINT_FAILED será o erro principal, mas em alguns servidores pode aparecer o código de erro SEC_ERROR_UNKNOWN_ISSUER. De qualquer modo, se você for para um site assim, deve entrar em contato com o proprietário do site para informar o problema. Encorajamos fortemente que operadores de sites afetados tomem ações imediatas para substituir esses certificados.

Para mais informações sobre esse assunto, leia essa publicação no blog da Mozilla: Distrust of Symantec TLS Certificates.

Certificado intermediário faltando

Em um site onde falta um certificado intermediário, você verá a seguinte descrição de erro após clicar em Avançado na página de erro:

O certificado não é confiável porque o certificado emissor é desconhecido.
O servidor pode não estar enviando os certificados intermediários apropriados.
Um certificado raiz adicional pode precisar ser importado.

O certificado do site pode não ter sido emitido por uma autoridade de certificação confiável, nem uma cadeia completa de certificados para uma autoridade confiável foi fornecida (um assim chamado "certificado intermediário" está faltando).
Você pode verificar se um site está configurado corretamente digitando um endereço do site em uma ferramenta de terceiros como a página de teste da SSL Labs (inglês). Se ela retornar o resultado "Chain issues: Incomplete", um certificado intermediário apropriado está faltando. Você deve entrar em contato com o proprietário do site que está com dificuldade de acesso para informar o problema.

Certificado auto-assinado

Em um site com um certificado auto-assinado, você verá o código de erro ERROR_SELF_SIGNED_CERT e a seguinte descrição de erro após clicar em Avançado na página de erro:

O certificado não é confiável porque é auto-assinado.

Um certificado auto-assinado que não foi emitido por uma autoridade de certificação reconhecida não é confiável por padrão. Certificados auto-assinados podem proteger seus dados de bisbilhoteiros, mas não dão nenhuma informação sobre quem está recebendo os dados. Isto é comum em sites de intranet que não estão disponíveis publicamente. Você pode desconsiderar o alerta para tais sites.

Desconsiderando o alerta

Atenção: Você nunca deve adicionar uma exceção de certificado para um site amplamente conhecido ou para sites onde transações financeiras são efetuadas – neste caso, um certificado inválido pode indicar que sua conexão está comprometida por terceiros.

Se o site permitir, você pode ignorar o alerta para acessar o site, apesar do certificado apresentado não ser confiável por padrão.

  1. Na página de erro, clique em Avançado.
  2. Clique no botão Adicionar exceção…. A janela Adicionar exceção de segurança será aberta.
  3. Leia o texto que descreve o problema com o site. Você também pode clicar em Ver certificado… para inspecionar os detalhes do certificado não confiável.
  4. Clique em Confirmar exceção de segurança se você tiver certeza que confia no site.
  1. Na página de alerta, clique em Avançado.
  2. Clique em Aceitar o risco e continuar.
// Contribuidores que ajudaram a escrever esse artigo:André Marcelo Alvarenga, André Marinho, Wolfgang Marcos, Cynthia Pereira, Marcelo Ghelman, Jhonatas Rodrigues , Magno Reis. Você também pode ajudar - descubra como.

Este artigo foi útil? Por favor, aguarde...

Contribua com o suporte da Mozilla