Якщо ваша організація використовує приватні центри сертифікації (ЦС) для випуску сертифікатів для внутрішніх серверів, такі браузери, як Firefox, можуть виводити помилки, якщо ви не налаштуєте їх на розпізнавання цих приватних сертифікатів. Це слід зробити заздалегідь, щоб ваші користувачі не мали проблем з доступом до вебсайтів.

Ви можете додати ці сертифікати ЦС одним із наведених далі способів.

Використання вбудованої підтримки для Windows, macOS та Android (рекомендовано)

За замовчуванням Firefox на Windows, macOS та Android шукатиме та використовуватиме сторонні ЦС, які були додані до сховища сертифікатів операційної системи. Отже, якщо ви налаштували свою операційну систему на довіру до приватних ЦС вашої організації, Firefox повинен довіряти цим ЦС без додаткового налаштування. Цією функцією можна керувати на вкладці Privacy & Security сторінки about:preferences за допомогою прапорця Дозволити Firefox автоматично довіряти стороннім кореневим сертифікатам, які ви встановлюєте. Крім того, цією функцією керує параметр security.enterprise_roots.enabled на сторінці about:config.

Підтримка Windows Enterprise

Firefox можна налаштувати на автоматичний пошук та імпорт центрів сертифікації, доданих до сховища сертифікатів Windows користувачем або адміністратором.

1. Введіть about:config у панелі адреси та натисніть EnterReturn.
   Може з'явитися сторінка з попередженням. Виберіть Погодитись на ризик і продовжити для переходу на сторінку about:config.
2. Знайдіть параметр security.enterprise_roots.enabled.
3. Клацніть кнопоку Перемикача навпроти цього параметра, щоб змінити його значення на true.
4. Перезапустіть Firefox.

Firefox перевірить реєстр HKLM\SOFTWARE\Microsoft\SystemCertificates (що відповідає прапору API CERT_SYSTEM_STORE_LOCAL_MACHINE) на наявність центрів сертифікації, довірених для видачі сертифікатів для автентифікації вебсервера TLS. Будь-які такі центри будуть імпортовані та довірені Firefox, хоча вони можуть не показуватися в менеджері сертифікатів Firefox. Адміністрування цих центрів має відбуватися за допомогою вбудованих інструментів Windows або інших утиліт сторонніх виробників.

Firefox також виконає пошук у каталогах реєстру HKLM\SOFTWARE\Policies\Microsoft\SystemCertificates\Root\Certificates і HKLM\SOFTWARE\Microsoft\EnterpriseCertificates\Root\Certificates (відповідно до прапорів API CERT_SYSTEM_STORE_LOCAL_MACHINE_GROUP_POLICY і CERT_SYSTEM_STORE_LOCAL_MACHINE_ENTERPRISE).

Підтримка macOS Enterprise

Ця функція також працює для macOS, імпортуючи корені, знайдені в системному наборі ключів macOS.

Використання політик для імпорту сертифікатів ЦС

Корпоративні політики можна використовувати, щоб додавати сертифікати ЦС у Firefox.

• Якщо вказати ключу ImportEnterpriseRoots значення true, Firefox довірятиме кореневим сертифікатам. Ми радимо використовувати цей параметр для налаштування довіри до приватного PKI у Firefox. Це еквівалентно встановленню параметра security.enterprise_roots.enabled, як описано в розділі Використання вбудованої підтримки для Windows, macOS та Android (рекомендовано) вище.
• Ключ Install за замовчуванням шукає сертифікати в наведених нижче місцях. Ви можете вказати повний шлях (перегляньте приклади, наведені тут). Якщо Firefox не знайде нічого за вказаним вами повним шляхом, він виконає пошук в усталених каталогах:
  • Windows
    • %USERPROFILE%\AppData\Local\Mozilla\Certificates
    • %USERPROFILE%\AppData\Roaming\Mozilla\Certificates
  • macOS
    • /Library/Application Support/Mozilla/Certificates
    • ~/Library/Application Support/Mozilla/Certificates
  • Linux
    • /usr/lib/mozilla/certificates
    • /usr/lib64/mozilla/certificates

Linux

Використати p11-kit-trust.so на Linux

Сертифікати можна програмно імпортувати за допомогою p11-kit-trust.so з p11-kit. Це можна зробити, налаштувавши політику SecurityDevices в /etc/firefox/policies/policies.json і додавши запис, що вказує на розташування p11-kit-trust.so у системі, додавши його вручну через менеджер “Пристрої безпеки” у Налаштуваннях або за допомогою утиліти modutil.

Попереднє завантаження баз даних сертифікатів (лише для нових профілів)

Деякі користувачі створюють новий профіль у Firefox, вручну встановлюють потрібні їм сертифікати, а потім розподіляють різні файли баз даних (cert9.db, key4.db і secmod.db) в нові профілі, використовуючи цей метод. Це не рекомендований підхід, і цей метод працює лише для нових профілів.

Certutil

Ви можете використовувати certutil для оновлення баз даних сертифікатів Firefox з командного рядка. Докладнішу інформацію можна знайти на сайті підтримки Microsoft.