火狐浏览器出现SEC_ERROR_OCSP_INVALID等证书报错且证书有效时，问题通常源于本地OCSP响应、TLS会话、HSTS策略等底层安全缓存；应依次执行硬重载→用about:cache精准清理域名级证书缓存→重置TLS参数与HSTS→最后重建cert9.db证书库。
火狐浏览器遇到 SEC_ERROR_OCSP_INVALID、sec_error_bad_signature 或“您的连接不是私密连接”等报错，且确认网站证书本身有效，问题大概率出在本地缓存的 SSL 证书状态数据上——不是普通网页缓存，而是 OCSP 响应、TLS 会话票证、HSTS 策略、证书链验证结果这些底层安全状态。直接清“浏览数据”没用，必须针对性干预。
执行硬重载强制刷新 OCSP 和 TLS 会话状态
这是最快、最轻量的试探性操作，适用于刚换证书、服务器重启后首次访问失败的场景。硬重载会跳过本地 OCSP 缓存和 TLS 会话复用，直连 CA 服务器重新获取吊销状态并协商全新握手参数。
- 确保当前标签页停留在报错的 HTTPS 页面（比如
https://example.com） - Windows/Linux 按
Ctrl + Shift + R；macOS 按Command + Shift + R - 观察地址栏左侧是否出现持续旋转图标——有则说明正在绕过缓存重查 OCSP，不是单纯刷新页面
- 若仍报错，说明缓存已固化或损坏，需下一步操作
用 about:cache 精准删除域名级证书相关缓存条目
火狐把 OCSP 响应、证书公钥哈希、/cert/ 路径响应等写入磁盘缓存，但常规“清除数据”不识别这些条目。about:cache 能让你按域名或关键词定位并手动清除，避免误删其他站点的正常缓存。
- 地址栏输入
about:cache回车 → 点击“主缓存(disk)”下方的“列出缓存条目” - 用
Ctrl + F搜索目标域名（如example.com）、或关键词ocsp、cert、crl - 找到匹配项后，复制其“Key”字段完整值（必须含
https://且路径中有/ocsp/或/cert/） - 新开标签页，粘贴该 Key 并回车；返回
Not in cache即表示删除成功
重置 TLS 版本协商参数与清除 HSTS 策略
火狐会记住某网站上次成功协商的 TLS 版本（如 TLS 1.2）和加密套件。若服务器已升级到 TLS 1.3 或禁用旧套件，而浏览器仍固执复用旧参数，就会报 SSL Handshake Failed。同时，HSTS 强制跳转也可能导致 HTTP 访问被拦截，表现为“无法建立安全连接”。
- 访问
about:config→ 搜索security.tls.version.min和security.tls.version.max，双击重置为默认值 - 访问
about:support→ 点“配置文件夹”旁的“打开文件夹” → 找到SiteSecurityServiceState.txt - 用记事本打开该文件，搜索目标域名（如
example.com），删掉整行，保存 - 关闭所有火狐进程（任务管理器确认无
firefox.exe），再重启
彻底清空证书数据库文件（最后手段）
当以上步骤都无效，或错误集中出现在多个不同域名（尤其是企业内网、测试环境），说明 cert9.db 等底层 SQLite 文件可能已损坏。这不是清缓存，而是重建证书信任库，会丢失手动添加的临时例外，但不影响登录密码（key4.db 和 logins.json 别删）。
- 完全退出火狐（包括后台进程）
- 打开
%APPDATA%\Mozilla\Firefox\Profiles\（Windows）或~/Library/Application Support/Firefox/Profiles/（macOS） - 进入以
.default-release结尾的子文件夹 - 删除以下文件：
cert9.db、pkcs11.txt、secmod.db（若存在） - 重启火狐，它会自动生成新证书库；首次访问 HTTPS 网站时可能提示重新验证证书链
真正难处理的是那些混合了企业代理、HSTS 预加载、系统时间偏差和自签名中间证书的场景——单一操作往往无效，得按顺序试，而且每步之后都要彻底退出进程再重启，否则缓存状态可能残留在内存里不动。
