Firefox 59が.dev virtualhostで自己署名SSL証明書を受け入れないように修正する方法

私のローカルApache環境では、開発にSSLを必要とするサイトがあるため、自己署名証明書を使用しています。ローカルサイトはこれまでFirefoxとChromeで正常に機能していましたが、Firefoxをバージョン59に更新した後、セキュリティ例外を受け入れることができません（Chromeでは自己署名証明書は引き続き機能します）。

Firefoxでは、ブロックされたページに次の追加情報が表示されます。

...無効なセキュリティ証明書を使用しています。証明書は自己署名されているため、信頼されていません。エラーコード：SEC_ERROR_UNKNOWN_ISSUER

以前のようにここで例外を許可するオプションはありませんが、[証明書]の下の[Firefox設定]に移動し、[サーバー]タブでローカルドメインの例外を追加しました。次に、証明書は正しいローカルサーバー名にリストされ、詳細には、発行者と発行者が同じであるという有効な期間の証明書設定が表示されます。

FF 59で同様の問題が発生している、または自己署名証明書をローカルで再び機能させるために何を試すべきか手掛かりを持っている人はいますか？

編集：FF 59リリースノートにはこれについての言及はありませんが、新しいバージョンの何かにより、*。devドメイン上のすべてのローカル仮想ホストが自動的にhttps接続を確立しようとします（つまり、すべてのhttp * .devのリクエストは自動的にhttps URLに送信されます）。たぶん、この動作についての何かが私の実際のhttps仮想ホストでこれらの問題を引き起こしているものでもあります。

これがどのように正確に組み合わされるかについてはまだ完全には明確ではありませんが、この回答で 指摘されているように、.devドメインは公式のTLDです。そのため、ブラウザは何らかのHSTS動作を強制し、https接続を強制するようです。それらのTLDについては、私の自己署名証明書がFirefoxで受け入れられなくなったようです。使用する仮想ホストを.test変更すると、自己署名証明書の内容をまったく変更する必要なく、問題が解決しました。

Firefoxでは、HSTSの動作が、SSLを介して提供するように設定していない仮想ホストでSSLを強制するようだったため、Firefoxでも非SSL仮想ホストが今日バージョン59以降で動作したことは注目に値します。Chromeではこれがまだ機能していましたが、いずれにしても、現在公式に使用されている.devTLD から移行することで多くの頭痛の種を解決できます。

これを回避する簡単な方法があります。

1. に行く about:config
2. 「network.stricttransportsecurity.preloadlist」を検索します。
3. に設定しfalseます。

警告：これによりHSTSが完全に無効になります。この方法の欠点についての議論については、この回答のコメントをご覧ください。私は個人的には利益がリスクを上回ると思いますが、あなたはあなた自身の安全に対して責任があります。

ページでに設定security.enterprise_roots.enabledするtrueと、about:configこれが解決され、自己署名証明書が開発中に機能するようになりました。

これがデフォルトでオンになっていることのメリットについては、ここで少し議論があります：
security.enterprise_roots.enabledをデフォルトでtrueに設定します。

このフラグの目的は、Firefoxがマシン全体のCAルートストアを認証局の有効なソースとして使用できるようにすることですが、これにより、使用する自己署名マルチドメイン証明書があるという私自身の使用例の状況が修正されましたローカルでテストする（subjectAltName's）。Firefox証明書リストに証明書を追加した後でも、これをオンにして初めて、ローカルサイトをロードできるようになりました。

バジリスクWebブラウザで同じ問題がありました。ネットワークプロキシ設定を変更するか、「network.stricttransportsecurity.preloadlist」または「security.enterprise_roots.enabled」フラグを変更しようとしましたが、ブロックされたWebサイトの証明書を追加するための欠落しているボタンを解決できませんでした。これだけが成功しました：

1. に移動しabout:supportます。
2. Open Directoryブラウザプロファイルをクリックします。
3. ブラウザを完全に閉じます。
4. 上記のディレクトリにある「SiteSecurityServiceState.txt」ファイルを編集します。
5. ブロックされたHSTSサイトを含む行全体を見つけて削除します。
6. ファイルを保存し、そのサイトでブラウザを再度開きます。

「Let's Encrypt」に行ってきました

https://letsencrypt.org/

一度に3か月間のみ有効ですが、更新は自動化できます。

備考でわかるように、落とし穴があります。開発ドメインとテストドメインは、dev-www.example.comおよびtest-www.example.comと呼ばれます。本番環境のワイルドカード証明書を使用します。