Asi to bude způsobeno HTTP 1.1 KeepAlive. S podobným problémem jsem bojoval u CzechPOINTu, kde je povinná autentizace klientským certifikátem.
Tam to mají tak „chytře“ udělané, že místo toho, aby server vyžadoval certikikát natvrdo už při zahájení TLS, tak vás nechá propadnout do HTTP, kde dostanete webovou stránku stěžující si na chybějící autentizaci. Když si uvědomíte chybu a zastrčíte token do USB a dáte znovu načíst stránku, tak to nepomůže, protože HTTPS spojení je už ustanovené z minulého pokusu. Webový prohlížeč (Firefox) nikde nemá možnost ručně ukončit TCP spojení. Takže jediné řešení je prohlížeč znovu spustit.
Celé to mají takhle hloupě proto, že na stejné doméně běží ještě novellácká aplikace na přiřazování klientských certifikátů uživatelským účtům, kde autentizace certifikátem není vyžadována (ani být nemůže, jinak by si uživatel neměl jak certifikáty přiřadit). Ale vyřešit to šlo jednoduše pomocí poddomény.