Conversión de certificados entre PEM, DER y PKCS#12 con openssl para confianza multiplataforma y almacenes de claves

Objetivo

Mover un certificado (y, si hace falta, su clave privada) entre los formatos PEM, DER y PKCS#12 para poder instalarlo en un directorio de anchors de Linux, en un almacén de Windows/macOS que espera .cer/.p12 o en un keystore de Java, usando OpenSSL 1.1.1 o posterior (la sintaxis de los comandos mostrados se mantiene estable hasta OpenSSL 3.x).

Requisitos previos

openssl en la máquina que realiza la conversión; el certificado de origen y, para las operaciones PKCS#12 que involucran una clave, la clave privada correspondiente y su contraseña si está cifrada.

Pasos

1. Inspeccione primero lo que tiene: openssl x509 -in cert.pem -noout -text muestra el certificado analizado (emisor, sujeto, validez, SAN), de modo que pueda comprobar que realmente es un certificado y no un bundle o una clave antes de convertirlo.
2. De DER a PEM (el .cer de Windows suele estar codificado en DER, y PEM es lo que esperan los directorios de anchors de Linux): openssl x509 -inform der -in cert.cer -out cert.pem -outform pem.
3. De PEM a DER, cuando una herramienta exige la forma binaria: openssl x509 -in cert.pem -outform der -out cert.der.
4. Extraer un certificado y una clave privada de un bundle PKCS#12 (un .pfx/.p12 que le han entregado para un servicio que necesita archivos PEM separados): openssl pkcs12 -in bundle.p12 -clcerts -nokeys -out cert.pem para el certificado y openssl pkcs12 -in bundle.p12 -nocerts -out key.pem para la clave; ambos piden la contraseña de importación del bundle, salvo que se indique -passin para uso no interactivo. La clave extraída se vuelve a cifrar con una nueva contraseña PEM, a menos que añada -noenc (OpenSSL 3; en 1.1.1 es -nodes, obsoleto pero aún aceptado en 3.x).
5. Crear un bundle PKCS#12 a partir de archivos PEM separados, para importarlo en Windows o en un keystore de Java: openssl pkcs12 -export -in cert.pem -inkey key.pem -certfile chain.pem -out bundle.p12 -name "myservice"; añada -passout para evitar la solicitud interactiva de contraseña en scripts. Por defecto, OpenSSL 3 cifra el bundle con AES-256-CBC/PBKDF2 y un MAC SHA-256, lo que puede ser rechazado por importadores antiguos (versiones antiguas de Windows, Java antiguo); en ese caso añada -legacy (basado en 3DES).

Resultado esperado

openssl pkcs12 -in bundle.p12 -info -noout lista las entradas de certificado y de clave que contiene sin extraerlas, lo que confirma que el bundle está bien formado. openssl x509 -in cert.pem -noout -subject -issuer sobre un archivo convertido debe mostrar el mismo sujeto y emisor que el original, lo que confirma que no se perdieron datos en la conversión.

Límites y base de verificación

Convertir formatos nunca cambia lo que dice un certificado ni su periodo de validez; solo se recodifica el mismo contenido. OpenSSL 3 se niega a leer archivos PKCS#12 protegidos con algoritmos heredados como RC2-40-CBC (habituales en exportaciones antiguas de Windows y en la salida de OpenSSL 1.x) y devuelve un error "unsupported"; -legacy carga el proveedor legacy, que algunas distribuciones empaquetan por separado. Una contraseña indicada en la línea de comandos con -passin pass:/-passout pass: queda visible en el historial del shell y en los listados de procesos; para cualquier uso que vaya más allá de un archivo de prueba desechable, prefiera -passout file:/path (legible solo por el usuario que ejecuta el comando) y elimine los archivos intermedios key.pem en texto plano después de usarlos.