Qu'est-ce que le format de fichier PFX ?
Les fichiers .pfx sont associés à la norme de cryptographie PKCS #12, initialement développée par RSA Laboratories et désormais régie par la RFC 7292.
Les fichiers avec l'extension .pfx stockent des objets cryptographiques chiffrés et signés numériquement dans un conteneur binaire encodé en DER. Chaque fichier .pfx est divisé en ce qu'on appelle des « SafeBags », qui peuvent également être chiffrés et signés indépendamment. La norme PKCS #12 divise ensuite les SafeBags en types adaptés au stockage de clés privées, de certificats X.509, de chaînes de certificats et d'autres données de sécurité.
Le format .pfx est le plus souvent utilisé pour regrouper une clé privée avec sa chaîne de certificats correspondante dans un seul fichier protégé par mot de passe. Les utilisations typiques incluent l'exportation de certificats TLS/SSL entre serveurs, la distribution d'identités de signature de code et le transfert d'identifiants S/MIME entre appareils.
Les formats .pfx et .p12 sont fonctionnellement identiques - les outils Windows utilisent .pfx tandis que macOS et Linux préfèrent .p12. Les deux peuvent être convertis au format texte .pem avec la commande openssl pkcs12. Contrairement aux certificats autonomes .cer, un fichier .pfx transporte la clé privée aux côtés du certificat, ce qui en fait le format privilégié lorsque la clé doit accompagner le certificat.
Sécurité et sûreté
RISQUE : HIGHUn PFX contient une CLÉ PRIVÉE, c'est donc l'un des types de fichiers les plus sensibles qu'un utilisateur puisse manipuler : toute personne possédant le fichier et son mot de passe peut usurper l'identité du propriétaire du certificat - signer du code ou des documents en son nom, ou mettre en place un serveur avec son identité TLS. N'envoyez jamais un PFX sans protection par e-mail, ne le validez jamais dans un contrôle de source, utilisez un mot de passe d'exportation fort et stockez-le de manière sécurisée (idéalement, supprimez le fichier après l'importation). Traitez toute pièce jointe .pfx inattendue comme suspecte. Ne générez/manipulez des fichiers PFX qu'avec des outils de confiance (assistants du système d'exploitation, OpenSSL) - pas sur des sites web de « visualisation de certificats » aléatoires, qui pourraient exfiltrer votre clé et votre mot de passe.
Détails du format
en brefNOM COMPLETPKCS #12 Personal Information Exchange File
DÉVELOPPEURRSA Laboratories (PKCS #12 standard); now IETF RFC 7292depuis PKCS #12 v1.0 published 1999 by RSA; Microsoft .pfx predates and feeds into it
CATÉGORIEFichiers système
TYPE MIMEapplication/x-pkcs12
TYPEEnsemble clé+certificat chiffré et protégé par mot de passe (binaire, DER/PKCS#12)
STANDARDOuvert · libre de droits
OCTETS MAGIQUES · SIGNATURE DE FICHIER
OFFSET
0001
HEX
3082
ASCII
0·
Commence par la balise DER 30 82 xx xx (une SEQUENCE ASN.1 avec une longueur de 2 octets) - le même préfixe générique que de nombreux objets cryptographiques encodés en DER, il n'est donc pas unique au PFX. Le contenu est une structure PKCS#12 ; identifiez-le par l'extension ou le contexte, pas seulement par les premiers octets.
Programmes qui ouvrent les fichiers PFX
Windows4 apps
OpenSSL
Open-source Extraire ou convertir : « openssl pkcs12 -in file.pfx -out out.pem -nodes » (demande le mot de passe).
Windows Certificate Import Wizard (built-in)
Intégré Double-cliquez sur le .pfx → l'Assistant d'importation de certificat s'ouvre ; saisissez le mot de passe et choisissez le magasin (Personnel/Utilisateur actuel ou Ordinateur local).
certutil / PowerShell (built-in)
Intégré Inspecter/importer depuis un terminal : « certutil -dump file.pfx » ou via PowerShell « Get-PfxData -FilePath file.pfx » / « Import-PfxCertificate ».
Adobe Acrobat (as a digital ID, not a viewer)
Freemium Édition/Préférences → Signatures → Identités et certificats approuvés → ajoutez le .pfx comme identité numérique pour signer des PDF. Il n'affiche pas le fichier comme un document. 
macOS2 apps
OpenSSL
Open-source Extraire ou convertir : « openssl pkcs12 -in file.pfx -out out.pem -nodes » (demande le mot de passe).
Keychain Access (built-in)
Intégré Double-cliquez sur le .pfx → il s'importe dans Trousseau d'accès (saisissez le mot de passe du fichier) ; l'identité est ensuite disponible pour les applications. 
Linux2 apps
OpenSSL
Open-source Extraire ou convertir : « openssl pkcs12 -in file.pfx -out out.pem -nodes » (demande le mot de passe).
GNOME Keyring / Seahorse
Open-source Importez le .pfx/.p12 dans l'application « Mots de passe et clés » (Seahorse) pour stocker le certificat et la clé. Détails techniques
spécifications approfondies| Encodage du conteneur | Binaire DER (Distinguished Encoding Rules) sur ASN.1 ; le fichier n'est pas lisible par l'homme sans un analyseur dédié |
| Type MIME | application/x-pkcs12 |
| Octets magiques | 30 82 à l'offset 0 (SEQUENCE ASN.1 DER avec longueur de 2 octets) ; partagé avec d'autres formats encodés en DER - identifier par l'extension ou le type MIME, pas par les octets seuls |
| Structure interne | Couches imbriquées : PFX → AuthenticatedSafe → SafeContents → SafeBags ; chaque SafeBag contient un objet cryptographique typé |
| Types de SafeBag | KeyBag, PKCS8ShroudedKeyBag, CertBag, CRLBag, SecretBag, SafeContents - les six types officiels de SafeBag définis dans la RFC 7292 |
| Protection par mot de passe | L'archive globale et les SafeBags individuels peuvent chacun être chiffrés indépendamment avec une phrase secrète choisie par l'utilisateur via un chiffrement basé sur mot de passe |
| Algorithmes de chiffrement | AES-256-CBC et 3DES-CBC pour les piles modernes ; RC2 et RC4 apparaissent dans les fichiers hérités (obsolètes - à éviter lors de la génération de nouvelles archives) |
| Intégrité MAC | Un HMAC (SHA-1 pour l'héritage ; SHA-256 ou SHA-384 dans les implémentations modernes) couvre la structure AuthenticatedSafe pour détecter les altérations |
| Dérivation de clé | PBKDF1 (RFC 7292 Annexe B) ou PBKDF2 avec un nombre d'itérations configurable renforce le chiffrement basé sur mot de passe contre les attaques par force brute |
| Nom Windows vs IETF | .pfx est le suffixe original créé par Microsoft ; .p12 est le nom standard de l'IETF ; les deux sont identiques octet par octet et totalement interchangeables |
| Stockage multi-objets | Un seul .pfx peut contenir plusieurs certificats et clés - par exemple, une chaîne complète de certificats d'entité finale, intermédiaires et racine de l'AC, plus la clé privée |
| Conversion CLI courante | openssl pkcs12 -in file.pfx -out file.pem -nodes extrait vers du texte PEM ; openssl pkcs12 -export -out file.pfx regroupe les entrées PEM dans une nouvelle archive |
| Prise en charge des plateformes | Natif sur Windows (Assistant d'importation de certificat, certutil, PowerShell), macOS (Trousseau d'accès), iOS, Android, Java (keytool) et la plupart des bibliothèques TLS |
| Cas d'utilisation typiques | Déploiement de certificats de serveur TLS/SSL, identités de signature de code, clés de messagerie S/MIME, identifiants de client VPN et provisionnement de cartes à puce |
| Publié | PKCS #12 v1.0 published 1999 by RSA; Microsoft .pfx predates and feeds into it |
| Standard ouvert | Oui · libre de droits |
| Spécification | www.rfc-editor.org |
Conversions PFX
Possible
.PFX .CRTGUIDE
Oui - extrayez le certificat public d'un fichier PFX avec une commande OpenSSL ou l'Assistant d'exportation…
Comment convertir
.PFX .P12GUIDE
Oui - dans la plupart des cas, renommez le fichier de .pfx en .p12 ; les deux correspondent au même format…
Comment convertir
.PFX .CERGUIDE
Oui - extrayez le certificat public de votre fichier PFX avec une commande OpenSSL ou via l'Assistant…
Comment convertir
.PFX .PEMGUIDE
Oui - OpenSSL convertit un PFX en PEM en une seule commande sur Windows, macOS et Linux.
Comment convertir
.PFX .KEYGUIDE
Oui - extrayez la clé privée d'un fichier PFX à l'aide d'OpenSSL : openssl pkcs12 -in file.pfx -nocerts…
Comment convertir
.PFX .JKSGUIDE
Oui - la méthode standard est l'utilitaire intégré keytool de Java : une seule commande sur Windows, macOS ou…
Comment convertir
Impossible
Q&R de la communauté
posées par les utilisateurs
M
Foire aux questions
Qu'est-ce qu'un fichier PFX ?
Un ensemble chiffré et protégé par mot de passe (le format PKCS #12 / .p12) qui contient un certificat numérique plus sa clé privée, utilisé pour les certificats TLS, la signature de code, l'authentification client et la signature de documents.
Comment ouvrir un fichier PFX sous Windows ?
Double-cliquez dessus pour lancer l'Assistant d'importation de certificat, saisissez le mot de passe avec lequel il a été créé et choisissez un magasin de certificats. Pour l'inspecter plutôt que l'installer, utilisez « certutil -dump file.pfx » ou OpenSSL - on ne « lit » pas un PFX, on l'importe.
Quelle est la différence entre .pfx et .p12 ?
Aucune en pratique - les deux utilisent le format PKCS #12. .pfx est le nom de Microsoft, .p12 le nom plus général. Vous pouvez généralement renommer l'un en l'autre.
En quoi un PFX est-il différent d'un certificat CER/CRT ?
Un .cer/.crt ne contient que le certificat public et peut être partagé en toute sécurité. Un .pfx contient également la clé privée, qui est secrète - il peut recréer l'identité complète, il doit donc être protégé.
Comment extraire le certificat et la clé d'un PFX pour Apache/Nginx ?
Utilisez OpenSSL : « openssl pkcs12 -in file.pfx -clcerts -nokeys -out cert.pem » pour le certificat et « ... -nocerts -nodes -out key.pem » pour la clé privée.
J'ai perdu le mot de passe du PFX - puis-je encore l'ouvrir ?
Non. La clé privée est chiffrée avec ce mot de passe et il n'existe aucune récupération légitime. Vous devrez réexporter le certificat depuis son lieu de création ou en faire émettre un nouveau.
Adobe Acrobat peut-il ouvrir un fichier PFX ?
Acrobat peut importer un PFX en tant qu'« identité numérique » pour signer des PDF, mais il ne l'ouvre pas comme un document consultable. Pour installer le certificat lui-même, utilisez le magasin de certificats Windows ou le Trousseau d'accès macOS.
Références
1IETF RFC 7292 - PKCS #12: Personal Information Exchange Syntax v1.1www.rfc-editor.org
2Microsoft Learn - Export/import certificates with private keys (PFX)learn.microsoft.com
