Convertisseur de formats de certificat — PEM, DER, PFX, PKCS#8

Parce qu'ils reposent sur l'API WebCrypto du navigateur, qui implémente AES mais ni RC2 ni 3DES. Les paquets exportés par Windows, IIS et l'ancien keytool de Java sont chiffrés précisément avec ces deux algorithmes : un outil purement WebCrypto ne peut donc pas les déchiffrer et signale généralement un mot de passe erroné. Ici ces algorithmes sont implémentés directement, si bien qu'un .pfx de 2018 s'ouvre comme un fichier créé ce matin.

Ils contiennent exactement les mêmes données. DER est l'encodage binaire brut ; PEM est ce même binaire en base64 entouré d'un en-tête « -----BEGIN …----- ». Les outils Windows et Java produisent plutôt du DER, avec les extensions .der ou .cer ; les logiciels Unix veulent du PEM. Convertir de l'un à l'autre ne change que l'enveloppe, jamais le certificat.

nginx comme Apache lisent les deux. PKCS#8 (« BEGIN PRIVATE KEY ») est la forme moderne par défaut et celle qu'attendent Java, Go et .NET. PKCS#1 (« BEGIN RSA PRIVATE KEY ») est l'ancienne forme réservée à RSA. Si un logiciel refuse votre clé sans dire pourquoi, convertir de l'une à l'autre vaut la peine : c'est une cause fréquente.

Oui. Déposez fullchain.pem et privkey.pem ensemble, choisissez PFX et définissez un mot de passe. Utilisez le profil Moderne pour Windows 10 ou Server 2016 et suivants ; si l'importation échoue avec une erreur de mot de passe sur un système plus ancien, essayez le profil Compatible.

Oui. Il existe une vieille ambiguïté sur l'encodage d'un mot de passe vide — OpenSSL et certaines versions de Java divergent — et un fichier écrit selon une convention ne s'ouvre pas selon l'autre. Les deux sont essayées ici : un paquet à mot de passe vide s'ouvre dans tous les cas.