¿Qué es el formato de archivo PFX?
Los archivos .pfx están asociados con el estándar de criptografía PKCS #12, desarrollado originalmente por RSA Laboratories y actualmente regido por el RFC 7292.
Los archivos con la extensión .pfx almacenan objetos criptográficos cifrados y firmados digitalmente en un contenedor binario codificado en DER. Cada archivo .pfx se divide en los llamados SafeBags, que también pueden cifrarse y firmarse de forma independiente. El estándar PKCS #12 divide además los SafeBags en tipos adecuados para almacenar claves privadas, certificados X.509, cadenas de certificados y otros datos de seguridad.
.pfx se utiliza más comúnmente para agrupar una clave privada junto con su cadena de certificados correspondiente en un único archivo protegido por contraseña. Los usos típicos incluyen la exportación de certificados TLS/SSL entre servidores, la distribución de identidades de firma de código y la transferencia de credenciales S/MIME entre dispositivos.
.pfx y .p12 son funcionalmente idénticos: las herramientas de Windows utilizan .pfx mientras que macOS y Linux prefieren .p12. Ambos pueden convertirse al formato de texto .pem con el comando openssl pkcs12. A diferencia de los certificados .cer independientes, un archivo .pfx lleva la clave privada junto al certificado, lo que lo convierte en el formato preferido cuando la clave debe viajar con el certificado.
Seguridad y protección
RIESGO: HIGHUn PFX contiene una CLAVE PRIVADA, por lo que es uno de los tipos de archivo más sensibles que maneja un usuario: cualquier persona con el archivo y su contraseña puede suplantar al propietario del certificado -firmar código o documentos en su nombre, o levantar un servidor con su identidad TLS-. Nunca envíe un PFX sin protección por correo electrónico, nunca lo incluya en el control de versiones, use una contraseña de exportación robusta y almacénelo de forma segura (lo ideal es eliminar el archivo tras importarlo). Trate cualquier adjunto .pfx inesperado como sospechoso. Solo genere o manipule archivos PFX con herramientas de confianza (asistentes del SO, OpenSSL), no en sitios web aleatorios de «visualización de certificados» que podrían exfiltrar su clave y contraseña.
Detalles del formato
en pocas palabrasNOMBRE COMPLETOPKCS #12 Personal Information Exchange File
DESARROLLADORRSA Laboratories (PKCS #12 standard); now IETF RFC 7292desde PKCS #12 v1.0 published 1999 by RSA; Microsoft .pfx predates and feeds into it
CATEGORÍAArchivos de sistema
TIPO MIMEapplication/x-pkcs12
TIPOPaquete de clave+certificado cifrado y protegido por contraseña (binario, DER/PKCS#12)
ESTÁNDARAbierto · libre de regalías
MAGIC BYTES · FIRMA DE ARCHIVO
OFFSET
0001
HEX
3082
ASCII
0·
Comienza con la etiqueta DER 30 82 xx xx (una SEQUENCE ASN.1 con una longitud de 2 bytes), el mismo prefijo genérico que muchos objetos criptográficos codificados en DER, por lo que no es exclusivo de PFX. El contenido es una estructura PKCS#12; identifíquelo por la extensión o el contexto, no solo por los primeros bytes.
Programas que abren archivos PFX
Windows4 apps
OpenSSL
Código abierto Extraer o convertir: «openssl pkcs12 -in archivo.pfx -out salida.pem -nodes» (solicitará la contraseña).
Windows Certificate Import Wizard (built-in)
Integrado Doble clic en el .pfx → se abre el Asistente para importación de certificados; introduzca la contraseña y elija el almacén (Personal/Usuario actual o Equipo local).
certutil / PowerShell (built-in)
Integrado Inspeccionar/importar desde una consola: «certutil -dump archivo.pfx» o en PowerShell «Get-PfxData -FilePath archivo.pfx» / «Import-PfxCertificate».
Adobe Acrobat (as a digital ID, not a viewer)
Freemium Edición/Preferencias → Firmas → Identidades y certificados de confianza → añadir el .pfx como una ID digital para firmar PDFs. No muestra el archivo como un documento. 
macOS2 apps
OpenSSL
Código abierto Extraer o convertir: «openssl pkcs12 -in archivo.pfx -out salida.pem -nodes» (solicitará la contraseña).
Keychain Access (built-in)
Integrado Doble clic en el .pfx → se importa en Acceso a Llaveros (introduzca la contraseña del archivo); la identidad estará entonces disponible para las aplicaciones. 
Linux2 apps
OpenSSL
Código abierto Extraer o convertir: «openssl pkcs12 -in archivo.pfx -out salida.pem -nodes» (solicitará la contraseña).
GNOME Keyring / Seahorse
Código abierto Importe el .pfx/.p12 en la aplicación «Contraseñas y claves» (Seahorse) para almacenar el certificado y la clave. Detalles técnicos
especificación profunda| Codificación del contenedor | Binario DER (Distinguished Encoding Rules) sobre ASN.1; el archivo no es legible por humanos sin un analizador dedicado |
| Tipo MIME | application/x-pkcs12 |
| Bytes mágicos | 30 82 en el desplazamiento 0 (ASN.1 DER SEQUENCE con longitud de 2 bytes); compartido con otros formatos codificados en DER - identificar por extensión o tipo MIME, no solo por los bytes |
| Estructura interna | Capas anidadas: PFX → AuthenticatedSafe → SafeContents → SafeBags; cada SafeBag contiene un objeto criptográfico tipificado |
| Tipos de SafeBag | KeyBag, PKCS8ShroudedKeyBag, CertBag, CRLBag, SecretBag, SafeContents - los seis tipos oficiales de SafeBag definidos en el RFC 7292 |
| Protección por contraseña | El archivo general y los SafeBags individuales pueden cifrarse de forma independiente con una frase de paso elegida por el usuario mediante cifrado basado en contraseña |
| Algoritmos de cifrado | AES-256-CBC y 3DES-CBC para implementaciones modernas; RC2 y RC4 aparecen en archivos heredados (obsoletos - evitar al generar nuevos archivos) |
| Integridad MAC | Un HMAC (SHA-1 en sistemas heredados; SHA-256 o SHA-384 en implementaciones modernas) cubre la estructura AuthenticatedSafe para detectar manipulaciones |
| Derivación de claves | PBKDF1 (RFC 7292 Apéndice B) o PBKDF2 con recuento de iteraciones configurable refuerza el cifrado basado en contraseña contra ataques de fuerza bruta |
| Nombre Windows vs. IETF | .pfx es el sufijo original acuñado por Microsoft; .p12 es el nombre estándar de IETF; ambos son idénticos byte por byte y totalmente intercambiables |
| Almacenamiento de múltiples objetos | Un solo .pfx puede contener múltiples certificados y claves; por ejemplo, una cadena completa de certificados de entidad final, intermedios y raíz de la CA, además de la clave privada |
| Conversión CLI común | openssl pkcs12 -in archivo.pfx -out archivo.pem -nodes extrae a texto PEM; openssl pkcs12 -export -out archivo.pfx agrupa entradas PEM en un nuevo archivo |
| Soporte de plataformas | Nativo en Windows (Asistente para importación de certificados, certutil, PowerShell), macOS (Acceso a Llaveros), iOS, Android, Java (keytool) y la mayoría de las librerías TLS |
| Casos de uso típicos | Despliegue de certificados de servidor TLS/SSL, identidades de firma de código, claves de correo S/MIME, credenciales de cliente VPN y aprovisionamiento de tarjetas inteligentes |
| Lanzado | PKCS #12 v1.0 published 1999 by RSA; Microsoft .pfx predates and feeds into it |
| Estándar abierto | Sí · libre de regalías |
| Especificación | www.rfc-editor.org |
Conversiones de PFX
Posible
.PFX .CRTGUÍA
Sí - extraiga el certificado público de un archivo PFX con un comando de OpenSSL o con el Asistente para…
Cómo convertir
.PFX .P12GUÍA
Sí - en la mayoría de los casos, cambie el nombre del archivo de .pfx a .p12; ambos son el mismo formato…
Cómo convertir
.PFX .CERGUÍA
Sí - extraiga el certificado público de su archivo PFX con un comando de OpenSSL o a través del Asistente…
Cómo convertir
.PFX .PEMGUÍA
Sí - OpenSSL convierte un PFX a PEM en un solo comando en Windows, macOS y Linux.
Cómo convertir
.PFX .KEYGUÍA
Sí - extraiga la clave privada de un archivo PFX usando OpenSSL: openssl pkcs12 -in file.pfx -nocerts -nodes…
Cómo convertir
.PFX .JKSGUÍA
Sí - la forma estándar es la utilidad integrada keytool de Java: un comando en Windows, macOS o Linux.
Cómo convertir
No es posible
Preguntas y respuestas de la comunidad
preguntado por usuarios
M
Preguntas frecuentes
¿Qué es un archivo PFX?
Un paquete cifrado y protegido por contraseña (el formato PKCS #12 / .p12) que contiene un certificado digital más su clave privada, utilizado para certificados TLS, firma de código, autenticación de clientes y firma de documentos.
¿Cómo abro un archivo PFX en Windows?
Haga doble clic en él para iniciar el Asistente para importación de certificados, introduzca la contraseña con la que fue creado y elija un almacén de certificados. Para inspeccionarlo en su lugar, use «certutil -dump archivo.pfx» o OpenSSL; un PFX no se «lee», se importa.
¿Cuál es la diferencia entre .pfx y .p12?
Ninguna en la práctica: ambos son el formato PKCS #12. .pfx es el nombre de Microsoft, .p12 el más general. Normalmente se puede renombrar uno por el otro.
¿En qué se diferencia un PFX de un certificado CER/CRT?
Un .cer/.crt contiene solo el certificado público y es seguro compartirlo. Un .pfx también contiene la clave privada, que es secreta; puede recrear la identidad completa, por lo que debe protegerse.
¿Cómo extraigo el certificado y la clave de un PFX para Apache/Nginx?
Use OpenSSL: «openssl pkcs12 -in archivo.pfx -clcerts -nokeys -out cert.pem» para el certificado y «... -nocerts -nodes -out key.pem» para la clave privada.
He perdido la contraseña del PFX, ¿puedo abrirlo todavía?
No. La clave privada está cifrada con esa contraseña y no existe una recuperación legítima. Deberá volver a exportar el certificado desde donde se creó o solicitar la emisión de uno nuevo.
¿Puede Adobe Acrobat abrir un archivo PFX?
Acrobat puede importar un PFX como una «ID digital» para firmar archivos PDF, pero no lo abre como un documento visualizable. Para instalar el certificado en sí, use el almacén de certificados de Windows o el Llavero de macOS.
Referencias
1IETF RFC 7292 - PKCS #12: Personal Information Exchange Syntax v1.1www.rfc-editor.org
2Microsoft Learn - Export/import certificates with private keys (PFX)learn.microsoft.com
