火狐浏览器如何开启强制HTTPS访问所有网站？

使用火狐浏览器时，如果发现访问某些网站仍然是 HTTP 明文连接，你的账号密码、Cookie 甚至表单数据都可能被窃听——这不是危言耸听，而是真真切切的风险。解决办法其实不复杂：让浏览器强制使用 HTTPS 加密连接，而且是从你输入网址的第一个字节就开始加密，而不是等网站自己跳转。

火狐为此提供了四种手段，各有侧重，下面逐一拆解。

图形界面一键启用 HTTPS-Only 模式

这是最直观、最安全的方式，适用于 Firefox 桌面版（Windows/macOS）和安卓端，不需要动底层配置，而且支持按窗口粒度控制——你可以只让某个窗口强制 HTTPS，其他窗口保持原样。

具体操作：点击右上角三条横线菜单 → 选择【设置】 → 左侧点击【隐私与安全】 → 向下滚动至【HTTPS-Only 模式】区域 → 打开开关 → 选择【在所有窗口启用 HTTPS-Only 模式】。

启用之后，Firefox 会自动把所有 HTTP 请求升级为 HTTPS。如果目标网站压根不支持 HTTPS，浏览器会显示一个明确的提示页，这时候你可以手动选择“继续前往不安全的 HTTP 网站”。不过要注意：这个操作是不可逆的，如果之后想关闭，需要手动清除已缓存的 HSTS 记录才能恢复 HTTP 访问。

通过 about:config 强制启用（推荐高级用户）

如果你觉得图形界面不够“硬核”，或者 Firefox 136+ 版本中界面开关没生效、需要配合其他安全参数一起控制，那就直接改内核配置吧。这一步绕过了图形界面的限制，直接激活浏览器核心级别的 HTTPS 优先策略。

第一步：地址栏输入 about:config → 点击【接受风险并继续】。

第二步：搜索 dom.security.https_only_mode → 双击将其值设为 true。

第三步：再搜索 network.http.enforce-tls → 如果不存在，右键空白处 → 【新建】→ 【布尔值】→ 名称填 network.http.enforce-tls，值设为 true。

第四步：搜索 dom.security.https_first → 确保其值为 true（如不存在则新建并启用）。

完成以上四步后，必须完全关闭所有 Firefox 窗口（包括后台进程），再重新启动浏览器，新策略才会生效。别小看这一步，很多人都卡在没重启上。

安装 HTTPS Everywhere 扩展补全规则覆盖

原生 HTTPS-Only 模式依赖服务器响应和 HSTS 策略，对于某些老站点或者没有预置规则的域名，可能无法自动跳转。这时候就需要一个“补丁”——HTTPS Everywhere 扩展。它由 EFF（电子前哨基金会）开发，内置了数千条重写规则，能在你输入地址或点击链接的瞬间，就把 HTTP 替换成 HTTPS。

安装方式：在 Firefox 扩展商店搜索“HTTPS Everywhere”并添加即可（注意：不要从非官方渠道下载）。安装完成后，地址栏右侧会出现锁形图标，点击就能看到当前页面是否已启用规则、是否处于激活状态。

扩展默认启用全部规则，不需要额外设置。如果个别网站因为强制 HTTPS 变得异常，可以点击图标 → 【选项】→ 在规则管理界面临时禁用对应站点的策略。

为内网地址添加 HTTP 例外（避免断连）

启用了强制 HTTPS 之后，访问 http://192.168.1.100、http://localhost 这类局域网服务就会失败。如果你经常做开发调试、管理 NAS 或者访问路由器后台，就必须把这些内网地址明确豁免掉，否则日子没法过。

在地址栏输入 about:config → 点击【接受风险并继续】→ 搜索 network.http.non-https-allowlist。

如果该项不存在，右键空白处 → 【新建】→ 【字符串】→ 名称填 network.http.non-https-allowlist。

双击该项，输入值：192.168.0.0/16,10.0.0.0/8,172.16.0.0/12,localhost,127.0.0.1（英文逗号分隔，支持 CIDR 和主机名）。

同样，务必关闭所有 Firefox 进程后重启，否则例外不会生效。