PFX 转 PEM

PFX 转 PEM 工具把 PFX/P12 文件拆成 PEM 文件。选择 .pfx 或 .p12 文件，输入密码，点 转换，就能得到 Nginx、Apache 用的 fullchain.pem、单独的站点证书和证书链文件，以及私钥。解密全部在浏览器里完成。

什么时候需要

• 证书从 Windows/IIS 迁移到 Linux（Nginx、Apache、HAProxy）。
• 阿里云、腾讯云下载的 IIS 或 Tomcat 格式证书包是 PFX（附一个密码 txt），但你的服务器要 PEM。
• 宝塔面板要粘贴“密钥(KEY)”和“证书(PEM格式)”：分别填这里输出的私钥和 fullchain.pem。
• CDN、负载均衡上传证书要求分别填写证书内容和私钥（PEM）。

步骤

1. 选择 PFX 文件。
2. 输入密码（云厂商下载包里的 pfx-password.txt、keystorePass.txt 之类的文件里就是密码；导出时没设密码就留空）。
3. 点 转换，下载需要的文件： - fullchain.pem：站点证书 + 中间证书，用于 Nginx 的 ssl_certificate、Apache 2.4.8+ 的 SSLCertificateFile、宝塔的“证书(PEM格式)”； - cert.pem 和 chain.pem：给要求分开存放的软件； - privkey.pem：PKCS #8 格式的私钥。

等价的 OpenSSL 命令

openssl pkcs12 -in example.pfx -clcerts -nokeys -out cert.pem
openssl pkcs12 -in example.pfx -cacerts -nokeys -out chain.pem
openssl pkcs12 -in example.pfx -nocerts -nodes -out privkey.pem
# OpenSSL 3 读取旧版 RC2 加密的 PFX：每条命令加 -legacy

常见错误

• 密码错误：MAC 校验没通过。PFX 密码区分大小写，有些工具导出的 PFX 密码为空。
• 包含根证书：根证书不会放进 chain.pem，服务器不需要发送根证书。
• 一个文件里有多个私钥：会分别提供，用私钥匹配工具看哪个和证书是一对。