Convertir des certificats entre PEM, DER et PKCS#12 avec openssl pour les magasins de confiance et les keystores multiplateformes

Objectif

Faire passer un certificat (et, si nécessaire, sa clé privée) d'un format PEM, DER ou PKCS#12 à un autre, afin de pouvoir l'installer dans un répertoire d'ancres de confiance sous Linux, dans un magasin Windows/macOS qui attend du .cer/.p12, ou dans un keystore Java. La procédure utilise OpenSSL 1.1.1 ou une version ultérieure (la syntaxe des commandes présentées reste stable jusqu'à OpenSSL 3.x).

Prérequis

openssl sur la machine qui effectue la conversion ; le certificat source et, pour les opérations PKCS#12 impliquant une clé, la clé privée correspondante ainsi que sa phrase secrète si elle est chiffrée.

Étapes

1. Commencer par inspecter le fichier : openssl x509 -in cert.pem -noout -text affiche le certificat analysé (émetteur, sujet, validité, SAN). On s'assure ainsi qu'il s'agit bien d'un certificat, et non d'un bundle ou d'une clé, avant de le convertir.
2. DER vers PEM (un .cer Windows est souvent encodé en DER, alors que les répertoires d'ancres Linux attendent du PEM) : openssl x509 -inform der -in cert.cer -out cert.pem -outform pem.
3. PEM vers DER, lorsqu'un outil exige la forme binaire : openssl x509 -in cert.pem -outform der -out cert.der.
4. Extraire un certificat et une clé privée d'un bundle PKCS#12 (un .pfx/.p12 qui vous est remis pour un service nécessitant des fichiers PEM séparés) : openssl pkcs12 -in bundle.p12 -clcerts -nokeys -out cert.pem pour le certificat, et openssl pkcs12 -in bundle.p12 -nocerts -out key.pem pour la clé. Les deux commandes demandent le mot de passe d'import du bundle, sauf si -passin est fourni pour un usage non interactif. La clé extraite est rechiffrée avec une nouvelle phrase secrète PEM, sauf si l'on ajoute -noenc (OpenSSL 3 ; -nodes dans la version 1.1.1, obsolète mais toujours accepté en 3.x).
5. Construire un bundle PKCS#12 à partir de fichiers PEM séparés, pour l'importer dans Windows ou dans un keystore Java : openssl pkcs12 -export -in cert.pem -inkey key.pem -certfile chain.pem -out bundle.p12 -name "myservice" ; ajouter -passout pour éviter la saisie interactive du mot de passe dans des scripts. Par défaut, OpenSSL 3 chiffre le bundle avec AES-256-CBC/PBKDF2 et un MAC SHA-256, ce que les anciens outils d'import (anciennes versions de Windows, vieux Java) peuvent rejeter ; pour eux, ajouter -legacy (basé sur 3DES).

Résultat attendu

openssl pkcs12 -in bundle.p12 -info -noout liste les entrées de certificat et de clé que contient le bundle sans les extraire, ce qui confirme qu'il est bien formé. openssl x509 -in cert.pem -noout -subject -issuer appliqué à un fichier converti doit afficher le même sujet et le même émetteur que l'original, ce qui confirme qu'aucune donnée n'a été perdue lors de la conversion.

Limites et base de vérification

Convertir un format ne modifie jamais ce qu'un certificat affirme ni sa durée de validité ; il ne fait que ré-encoder le même contenu. OpenSSL 3 refuse de lire les fichiers PKCS#12 protégés par des algorithmes hérités comme RC2-40-CBC (fréquents dans les anciens exports Windows et dans la sortie d'OpenSSL 1.x) et renvoie une erreur "unsupported" ; -legacy charge le fournisseur legacy, que certaines distributions empaquettent séparément. Un mot de passe donné en ligne de commande avec -passin pass:/-passout pass: est visible dans l'historique du shell et dans la liste des processus : pour tout autre usage qu'un fichier de test jetable, préférer -passout file:/path (lisible uniquement par l'utilisateur qui lance la commande), et supprimer après usage les fichiers intermédiaires key.pem en clair.