火狐浏览器出现SEC_ERROR_OCSP_INVALID等证书报错且证书有效时，问题通常源于本地OCSP响应、TLS会话、HSTS策略等底层安全缓存；应依次执行硬重载→用about:cache精准清理域名级证书缓存→重置TLS参数与HSTS→最后重建cert9.db证书库。

火狐浏览器遇到 SEC_ERROR_OCSP_INVALID、sec_error_bad_signature 或“您的连接不是私密连接”等报错，且确认网站证书本身有效，问题大概率出在本地缓存的 SSL 证书状态数据上——不是普通网页缓存，而是 OCSP 响应、TLS 会话票证、HSTS 策略、证书链验证结果这些底层安全状态。直接清“浏览数据”没用，必须针对性干预。

执行硬重载强制刷新 OCSP 和 TLS 会话状态

这是最快、最轻量的试探性操作，适用于刚换证书、服务器重启后首次访问失败的场景。硬重载会跳过本地 OCSP 缓存和 TLS 会话复用，直连 CA 服务器重新获取吊销状态并协商全新握手参数。

• 确保当前标签页停留在报错的 HTTPS 页面（比如 https://example.com）
• Windows/Linux 按 Ctrl + Shift + R；macOS 按 Command + Shift + R
• 观察地址栏左侧是否出现持续旋转图标——有则说明正在绕过缓存重查 OCSP，不是单纯刷新页面
• 若仍报错，说明缓存已固化或损坏，需下一步操作

用 about:cache 精准删除域名级证书相关缓存条目

火狐把 OCSP 响应、证书公钥哈希、/cert/ 路径响应等写入磁盘缓存，但常规“清除数据”不识别这些条目。about:cache 能让你按域名或关键词定位并手动清除，避免误删其他站点的正常缓存。

• 地址栏输入 about:cache 回车 → 点击“主缓存(disk)”下方的“列出缓存条目”
• 用 Ctrl + F 搜索目标域名（如 example.com）、或关键词 ocsp、cert、crl
• 找到匹配项后，复制其“Key”字段完整值（必须含 https:// 且路径中有 /ocsp/ 或 /cert/）
• 新开标签页，粘贴该 Key 并回车；返回 Not in cache 即表示删除成功

重置 TLS 版本协商参数与清除 HSTS 策略

火狐会记住某网站上次成功协商的 TLS 版本（如 TLS 1.2）和加密套件。若服务器已升级到 TLS 1.3 或禁用旧套件，而浏览器仍固执复用旧参数，就会报 SSL Handshake Failed。同时，HSTS 强制跳转也可能导致 HTTP 访问被拦截，表现为“无法建立安全连接”。

• 访问 about:config → 搜索 security.tls.version.min 和 security.tls.version.max，双击重置为默认值
• 访问 about:support → 点“配置文件夹”旁的“打开文件夹” → 找到 SiteSecurityServiceState.txt
• 用记事本打开该文件，搜索目标域名（如 example.com），删掉整行，保存
• 关闭所有火狐进程（任务管理器确认无 firefox.exe），再重启

彻底清空证书数据库文件（最后手段）

当以上步骤都无效，或错误集中出现在多个不同域名（尤其是企业内网、测试环境），说明 cert9.db 等底层 SQLite 文件可能已损坏。这不是清缓存，而是重建证书信任库，会丢失手动添加的临时例外，但不影响登录密码（key4.db 和 logins.json 别删）。

• 完全退出火狐（包括后台进程）
• 打开 %APPDATA%\Mozilla\Firefox\Profiles\（Windows）或 ~/Library/Application Support/Firefox/Profiles/（macOS）
• 进入以 .default-release 结尾的子文件夹
• 删除以下文件：cert9.db、pkcs11.txt、secmod.db（若存在）
• 重启火狐，它会自动生成新证书库；首次访问 HTTPS 网站时可能提示重新验证证书链

真正难处理的是那些混合了企业代理、HSTS 预加载、系统时间偏差和自签名中间证书的场景——单一操作往往无效，得按顺序试，而且每步之后都要彻底退出进程再重启，否则缓存状态可能残留在内存里不动。