Convertir PFX en PEM (et inversement)

Les formats

• PFX / P12 (PKCS#12) : un conteneur protégé par mot de passe avec certificat, intermédiaires et clé privée. Standard sous Windows, IIS, Exchange et Azure.
• PEM : des fichiers texte avec des blocs comme -----BEGIN CERTIFICATE-----. Standard sous Linux, nginx, Apache et HAProxy. Les extensions .pem, .crt, .cer et .key sont souvent du PEM.
• DER : la même chose que PEM, mais en binaire. Sous Windows, .cer est souvent du DER.
• P7B (PKCS#7) : uniquement des certificats, sans clé, souvent fourni par l’AC comme chaîne.

Sans OpenSSL : convertir dans le navigateur

Dépose le fichier PFX dans le convertisseur de certificats et saisis le mot de passe. Certificat, chaîne et clé se téléchargent alors séparément ou en bundle. Dans l’autre sens, le convertisseur prend certificat et clé en PEM et crée un PFX, en complétant automatiquement les intermédiaires manquants. Tout se passe dans le navigateur.

PFX → PEM avec OpenSSL

# tout dans un fichier (clé non chiffrée)
openssl pkcs12 -in fichier.pfx -out tout.pem -nodes

# uniquement le certificat serveur
openssl pkcs12 -in fichier.pfx -clcerts -nokeys -out server.crt

# uniquement les intermédiaires
openssl pkcs12 -in fichier.pfx -cacerts -nokeys -out chain.crt

# uniquement la clé privée
openssl pkcs12 -in fichier.pfx -nocerts -nodes -out server.key

Erreur « unsupported » avec OpenSSL 3

error:0308010C:digital envelope routines::unsupported

Les anciens fichiers PFX sont chiffrés en RC2 ou 3DES. OpenSSL 3 ne charge plus ces algorithmes qu’en mode legacy. La solution est l’option -legacy :

openssl pkcs12 -legacy -in ancien.pfx -out tout.pem -nodes

PEM → PFX avec OpenSSL

openssl pkcs12 -export -out server.pfx \
  -inkey server.key -in server.crt -certfile chain.crt

Windows prétend que le mot de passe est incorrect

OpenSSL 3 chiffre les PFX en AES-256 par défaut. Windows Server 2016 et les versions antérieures ne savent pas les ouvrir et signalent un mot de passe incorrect (« The password you entered is incorrect ») alors qu’il est juste. Les fichiers créés en 3DES fonctionnent partout :

openssl pkcs12 -export -out server.pfx -inkey server.key -in server.crt -certfile chain.crt \
  -keypbe PBE-SHA1-3DES -certpbe PBE-SHA1-3DES -macalg sha1

Le convertisseur de certificats crée d’emblée des PFX en 3DES et lit aussi bien les fichiers AES que les anciens fichiers RC2.

Quel format pour quel serveur ?

• nginx : PEM : ssl_certificate avec certificat serveur et chaîne dans un fichier, ssl_certificate_key avec la clé.
• Apache 2.4.8+ : PEM : SSLCertificateFile avec certificat et chaîne, SSLCertificateKeyFile avec la clé.
• HAProxy : un seul fichier PEM avec certificat, chaîne et clé.
• IIS, Exchange, services Windows : PFX.
• Tomcat et Java 9+ : PKCS#12 directement comme keystore (keystoreType="PKCS12").