杀毒软件 HTTPS 扫描导致证书报错怎么办：加密连接扫描原理、各品牌关闭步骤与开发工具例外

刚装完卡巴斯基、Avast、ESET、Bitdefender 或 360，Chrome 打开平时没问题的网站，整页变红，写着「您的连接不是私密连接」，错误代码是 NET::ERR_CERT_AUTHORITY_INVALID；Firefox 则提示「警告：潜在的安全风险」，代码是 SEC_ERROR_UNKNOWN_ISSUER。点开锁图标看证书，颁发给谁仍是那个网站，颁发者却变成了「Kaspersky」「ESET SSL Filter CA」或「Avast Web/Mail Shield Root」。开发者这边 git clone 与 curl 报 SSL certificate problem: unable to get local issuer certificate，Gradle 报 PKIX path building failed。卸掉杀毒或关掉某一个开关，全部立刻恢复。

这个开关的学名因品牌而异，卡巴斯基叫「加密连接扫描」，ESET 叫「SSL/TLS 协议过滤」，Avast 叫「HTTPS 扫描」，原理一样：杀毒在本机装一张自己的根证书，把 HTTPS 拆开检查再重新签发。浏览器认这张证书，页面能开但锁背后已不是原站证书；不认就整站变红。Firefox 用自己的证书库，不读 Windows 系统库，所以经常只有它报错。下面先把它和浏览器安全浏览、公司网关解密分开，再按品牌关扫描。各软件的开关名称与菜单位置会随版本改动，以官方最新界面为准。

HTTPS 扫描和其他检查方式的区别

Chrome 的安全浏览和 Windows Defender 的 SmartScreen 都是拿网址对黑名单，并不解密正文，所以不会改证书链。杀毒的 HTTPS 扫描是本机中间人，换网络换节点都挡不住；公司网关解密是网络侧中间人，回家或连上加密隧道后通常消失。先分清这三类，避免把公司策略和家里的杀毒当成同一件事。功能边界以各软件当前版本说明为准。

从全站报红到恢复小锁：分步操作

• 第一步：先把网络线路准备好，连上刺猬VPN。安装客户端后自定义用户名和密码即可匿名注册，不需要邮箱、也不需要手机号；免费节点永久免费、不限流量、不限速，注册即用，全程 HTTPS+AES 加密传输。连上后再打开刚才报错的网站：如果红色警告消失，问题在本地网络或公共 Wi-Fi 的登录页劫持，不在杀毒；如果警告还在、证书颁发者仍是杀毒的名字，就可以专心关扫描，不必再换节点；
• 第二步：确认颁发者。在 Chrome 或 Edge 的报错页点「高级」，能打开的站点则点地址栏小锁 →「连接是安全的」→「证书有效」，看「颁发者」一栏。出现 Kaspersky、ESET SSL Filter CA、Avast、AVG、Bitdefender、Norton、McAfee 这些字样，就是 HTTPS 扫描；颁发者是公司名或「Firewall」之类，才是公司网关；
• 第三步：卡巴斯基。打开主界面 →「设置」→「其他设置」→「网络」→「加密连接扫描」，改成「不扫描加密连接」。若只想放过部分站点，用同一页的排除列表，不要去点浏览器里的「继续前往」；
• 第四步：ESET。按 F5 打开「高级设置」→「互联网与电子邮件」→「SSL/TLS」，关掉「启用 SSL/TLS 协议过滤」。模式里的「自动」会静默替换证书，「交互」会弹窗问你，两种都会让不读系统证书库的工具失败；
• 第五步：Avast 与 AVG。菜单 →「设置」→「防护」→「核心防护」→「网页防护」，取消「启用 HTTPS 扫描」。证书名一般是 Avast Web/Mail Shield Root 或 AVG Web/Mail Shield Root；
• 第六步：Bitdefender。打开「防护」→「在线威胁防护」右侧齿轮 → 关掉「加密网页扫描」。Norton 多在「设置」→「防火墙」或 Safe Web 相关项里，McAfee 在「网页与电子邮件防护」里找 Scan HTTPS，名称以当前版本为准；
• 第七步：国内套装。360 安全卫士在「防护中心」的网页防护或上网防护里关 HTTPS 相关开关；火绒在「防护中心」→「网络防护」；腾讯电脑管家在「防护中心」→「上网防护」。有的版本把开关写进「木马防火墙」高级选项，找不到就在设置里搜「HTTPS」或「加密」；
• 第八步：只修 Firefox。地址栏打开 about:preferences#privacy，拉到「证书」→「查看证书」→「证书机构」。不想继续扫描就回到杀毒里关开关；坚持开着扫描，就要把杀毒的根证书导入这个列表并勾选信任网站。不要用 about:config 去关校验；
• 第九步：验证。关掉扫描后完全退出浏览器再打开，用无痕窗口访问刚才失败的站点，证书颁发者应回到 Let's Encrypt、DigiCert、Google Trust Services 这类公共机构。再用 git ls-remote 或 curl -I 打一个 https 地址，不应再出现 unable to get local issuer certificate。实际可用性取决于当前网络环境。

按现象排查：浏览器、开发工具与手机

同一台电脑上，浏览器、命令行和手机的表现经常不一致，按现象对号入座比盲目重装快。

• 所有浏览器全站报红，颁发者是杀毒名：根证书没装进系统库，或被你在 certmgr.msc 里误删。重装杀毒让它重新写入根证书，或者直接关闭 HTTPS 扫描；
• Chrome、Edge 正常，只有 Firefox 报 SEC_ERROR_UNKNOWN_ISSUER：Firefox 不读系统证书库，按第八步导入或关扫描；
• 浏览器正常，git、curl、npm、pip 失败：这些工具用自己的证书包，不认杀毒临时签发的叶子证书。关扫描是正路，不要长期设置 http.sslVerify false 或 NODE_TLS_REJECT_UNAUTHORIZED=0；
• Gradle、Maven、Android Studio 报 PKIX path building failed：Java 读的是 JDK 自己的 cacerts，把杀毒根证书导进去能治标，换 JDK 又会丢。开发机更适合关扫描；
• 只有银行、支付、邮箱打不开，其他站正常：这些站点做了证书钉扎，拒绝任何中间人。到杀毒的排除列表里加入该域名，不要点「继续前往」；
• 开着刺猬VPN 仍然全站证书报错：扫描发生在本机协议栈，加密隧道挡不住本机中间人。换节点无效，必须关扫描。VPN 与杀毒在驱动和白名单层面的冲突，见后文相关文章；
• 只在公司网络报错、回家就好：这是网关解密，不是家里的杀毒。装不装公司根证书由你决定，个人账号不要在这种网络上登录；
• 安卓杀毒一开，客户端就连不上：安卓同时只允许一条 VPN。不少手机管家用系统 VpnService 做本地流量检查，等于占掉了唯一的 VPN 槽，关掉它的「流量防护」再连线路。

关扫描、留扫描还是换方案

对个人电脑，关掉 HTTPS 扫描通常最省事：浏览器自己有安全浏览，杀毒仍查本地文件和行为，只是不再拆开 HTTPS。坚持开着扫描，就要给 Firefox、Java、Git 分别导入根证书。办公设备的企业防护不要自己关。套装功能与默认开关以官方最新条款为准。

和证书报错、杀毒共存文章怎么分工

HTTPS 扫描只是证书报错的其中一个来源。时钟不对、公共 Wi-Fi 登录页、网站自己的证书过期，都会弹出同一张红页，错误代码分类与能不能点「继续前往」，见 浏览器提示连接不是私密连接怎么办。那篇按 ERR_CERT_DATE_INVALID、ERR_CERT_COMMON_NAME_INVALID 把原因归到设备、网络、软件、网站四类；本篇只把「颁发者是杀毒名字」这一支拆开，接到具体菜单。

杀毒和客户端打架还有另外两层：网络防护把隧道流量当可疑对象、行为防护拦截虚拟网卡驱动。那是白名单的事，不是证书替换，处理见 VPN 和杀毒软件冲突怎么办。两篇可以叠着用：先按本篇关扫描，再按那篇把客户端目录加进排除列表。刺猬VPN 提供断线保护和按域名、IP 的智能分流，没有分应用代理，不要在杀毒里找「把某个 App 加入代理列表」这种开关。

常见报错速查表

高频问答

• 问：关掉 HTTPS 扫描是不是就不安全了？答：杀毒对本地文件和行为的查杀还在，网址声誉交给浏览器安全浏览。少一张本机根证书，反而少一个能解密流量的中间人；
• 问：为什么只有 Firefox 报错，Chrome 却正常？答：Chrome 与 Edge 读 Windows 证书库，杀毒安装时通常已写入；Firefox 用自己的 NSS 库，没导入就报 SEC_ERROR_UNKNOWN_ISSUER；
• 问：把杀毒根证书导入所有工具，能不能一直开着扫描？答：能，但每换一个 JDK 或便携版 Git 都要再导一次。开发机更省事的做法是关扫描；
• 问：公司电脑弹窗让我装一张证书，和家里的杀毒是一回事吗？答：不是。公司那张是网关解密用的，装了之后管理方可以看加密流量，是否接受由你决定；
• 问：开了刺猬VPN 为什么还报证书错误？答：杀毒在本机拆连接，隧道包不住它。颁发者是杀毒名就关扫描；颁发者正常再按证书错误那篇查时钟和节点；
• 问：Windows Defender 要关 HTTPS 扫描吗？答：它没有这项功能，也不替换证书。已经在用 Defender 就不必为了证书再装一套带扫描的套装。

开发机、手机和长期习惯

Windows 上第三方杀毒会往系统证书库写根证书，所以最常见。macOS 上同类产品走系统扩展，证书出现在「钥匙串访问」里，处理逻辑相同。iPhone 上普通杀毒做不了系统级中间人；装客户端需要外区 Apple ID，中国大陆区 App Store 不提供 VPN，在 App Store 搜索「Hedge VPN」，步骤见 iOS 安装教程。安卓要避开「用本地 VPN 做流量检查」的管家，否则会和线路抢唯一的 VPN 通道。

长期习惯：个人电脑默认关 HTTPS 扫描、保留文件查杀；证书报警先看颁发者；开发工具宁可关扫描，也不要关校验。刺猬VPN 采用 HTTPS+AES 加密传输，支持自定义用户名和密码匿名注册，不需要邮箱和手机号；免费节点永久免费、不限流量、不限速，适合先判断红色警告在不在隧道里消失；时长套餐按周期计费、期间不限流量不限速，一个账号支持多设备同时在线。杀毒套装的菜单与默认开关会随版本调整，以官方最新界面为准，实际可用性取决于当前网络环境。