Comprobador de clave privada y certificado

Sí. Ese error, y el «Unable to configure RSA server private key» de Apache, significan que el servidor cargó un certificado y una clave con claves públicas distintas. Esta herramienta le dice qué par está mal antes de reiniciar el servidor, y si los dos archivos son siquiera del mismo algoritmo.

La receta clásica ejecuta openssl rsa -modulus y openssl x509 -modulus y compara el MD5 de cada uno. Funciona, pero solo con RSA: con una clave EC openssl no imprime módulo alguno, dos cadenas vacías tienen el mismo hash y la comprobación parece pasar con cualquier par. Comparar la SubjectPublicKeyInfo completa no tiene ese punto ciego.

Sí, en las tres formas habituales: PKCS#8 cifrado moderno, el PEM antiguo de OpenSSL con cabecera «Proc-Type: 4,ENCRYPTED» y paquetes .pfx / .p12, incluidas viejas exportaciones de Windows con RC2-40, que las herramientas de navegador normalmente no leen en absoluto.

Uno de los dos es de otra emisión. La causa habitual es una renovación en la que se generó una clave nueva mientras seguía desplegado el certificado antiguo, o al revés. Si conserva el CSR que envió a la CA, compare la clave con él: si coinciden, el certificado que le dieron pertenece a otra solicitud y necesita el archivo correcto de su CA. Si no coinciden, la clave se ha sustituido y el certificado debe reemitirse a partir de la que todavía tiene.