PFX in PEM umwandeln (und zurück)

Welche Formate es gibt

• PFX / P12 (PKCS#12): ein passwortgeschützter Container mit Zertifikat, Zwischenzertifikaten und privatem Schlüssel. Standard unter Windows, IIS, Exchange und Azure.
• PEM: Textdateien mit Blöcken wie -----BEGIN CERTIFICATE-----. Standard unter Linux, nginx, Apache und HAProxy. Die Endungen .pem, .crt, .cer und .key sind oft PEM.
• DER: dasselbe wie PEM, nur binär. Unter Windows ist .cer häufig DER.
• P7B (PKCS#7): enthält nur Zertifikate ohne Schlüssel, oft als Kette von der CA geliefert.

Ohne OpenSSL: im Browser umwandeln

Im Zertifikat-Konverter die PFX-Datei hineinziehen und das Passwort eingeben. Danach lassen sich Zertifikat, Kette und Schlüssel einzeln oder als Bundle herunterladen. Umgekehrt nimmt der Konverter Zertifikat und Schlüssel als PEM und baut daraus eine PFX, wobei fehlende Zwischenzertifikate automatisch ergänzt werden. Die Verarbeitung läuft vollständig im Browser.

PFX → PEM mit OpenSSL

# alles in eine Datei (Schlüssel unverschlüsselt)
openssl pkcs12 -in datei.pfx -out alles.pem -nodes

# nur das Server-Zertifikat
openssl pkcs12 -in datei.pfx -clcerts -nokeys -out server.crt

# nur die Zwischenzertifikate
openssl pkcs12 -in datei.pfx -cacerts -nokeys -out chain.crt

# nur der private Schlüssel
openssl pkcs12 -in datei.pfx -nocerts -nodes -out server.key

Fehler „unsupported“ unter OpenSSL 3

error:0308010C:digital envelope routines::unsupported

Ältere PFX-Dateien sind mit RC2 oder 3DES verschlüsselt. OpenSSL 3 lädt diese Verfahren nur noch im Legacy-Modus. Die Lösung ist der Schalter -legacy:

openssl pkcs12 -legacy -in alt.pfx -out alles.pem -nodes

PEM → PFX mit OpenSSL

openssl pkcs12 -export -out server.pfx \
  -inkey server.key -in server.crt -certfile chain.crt

Windows meldet „Das eingegebene Kennwort ist falsch“

OpenSSL 3 verschlüsselt PFX standardmäßig mit AES-256. Windows Server 2016 und ältere Windows-Versionen können das nicht öffnen und melden ein falsches Kennwort, obwohl es stimmt. Mit 3DES erzeugte Dateien funktionieren überall:

openssl pkcs12 -export -out server.pfx -inkey server.key -in server.crt -certfile chain.crt \
  -keypbe PBE-SHA1-3DES -certpbe PBE-SHA1-3DES -macalg sha1

Der Zertifikat-Konverter erzeugt PFX-Dateien von vornherein mit 3DES und liest sowohl AES- als auch ältere RC2-Dateien.

Welches Format für welchen Server?

• nginx: PEM: ssl_certificate mit Server-Zertifikat und Kette in einer Datei, ssl_certificate_key mit dem Schlüssel.
• Apache ab 2.4.8: PEM: SSLCertificateFile mit Zertifikat und Kette, SSLCertificateKeyFile mit dem Schlüssel.
• HAProxy: eine einzige PEM-Datei mit Zertifikat, Kette und Schlüssel.
• IIS, Exchange, Windows-Dienste: PFX.
• Tomcat und Java ab Version 9: PKCS#12 direkt als Keystore (keystoreType="PKCS12").