Che cos'è il formato di file PFX?
I file .pfx sono associati allo standard crittografico PKCS #12, originariamente sviluppato dai laboratori RSA e ora regolato dalla RFC 7292.
I file con estensione .pfx memorizzano oggetti crittografici crittografati e firmati digitalmente in un contenitore binario codificato in DER. Ogni file .pfx è suddiviso in cosiddetti SafeBag, che possono anche essere crittografati e firmati indipendentemente. Lo standard PKCS #12 divide ulteriormente i SafeBag in tipi adatti alla memorizzazione di chiavi private, certificati X.509, catene di certificati e altri dati di sicurezza.
.pfx è comunemente usato per raggruppare una chiave privata insieme alla sua catena di certificati corrispondente in un unico file protetto da password. Gli usi tipici includono l'esportazione di certificati TLS/SSL tra server, la distribuzione di identità per la firma del codice (code-signing) e il trasferimento di credenziali S/MIME tra dispositivi.
.pfx e .p12 sono funzionalmente identici: gli strumenti Windows usano .pfx mentre macOS e Linux preferiscono .p12. Entrambi possono essere convertiti nel formato di testo .pem con il comando openssl pkcs12. A differenza dei certificati standalone .cer, un file .pfx trasporta la chiave privata insieme al certificato, rendendolo il formato preferito quando la chiave deve viaggiare con il certificato.
Sicurezza e incolumità
RISCHIO: HIGHUn PFX contiene una CHIAVE PRIVATA, quindi è uno dei tipi di file più sensibili che un utente possa gestire: chiunque abbia il file e la sua password può impersonare il proprietario del certificato - firmare codice o documenti a suo nome, o attivare un server con la sua identità TLS. Non inviare mai un PFX via email non protetto, non caricarlo mai nel controllo sorgente, usa una password di esportazione complessa e conservalo in modo sicuro (idealmente elimina il file dopo l'importazione). Tratta un allegato .pfx inaspettato come sospetto. Genera/gestisci i file PFX solo con strumenti affidabili (wizard del sistema operativo, OpenSSL) - non siti web casuali di «visualizzazione certificati», che potrebbero sottrarre la tua chiave e la tua password.
Dettagli del formato
in sintesiNOME COMPLETOPKCS #12 Personal Information Exchange File
SVILUPPATORERSA Laboratories (PKCS #12 standard); now IETF RFC 7292dal PKCS #12 v1.0 published 1999 by RSA; Microsoft .pfx predates and feeds into it
CATEGORIAFile di sistema
TIPO MIMEapplication/x-pkcs12
TIPOPacchetto chiave+certificato crittografato e protetto da password (binario, DER/PKCS#12)
STANDARDAperto · royalty-free
MAGIC BYTES · FIRMA DEL FILE
OFFSET
0001
HEX
3082
ASCII
0·
Inizia con il tag DER 30 82 xx xx (una SEQUENCE ASN.1 con una lunghezza di 2 byte) - lo stesso prefisso generico di molti oggetti crittografici codificati in DER, quindi non è univoco per il PFX. Il contenuto è una struttura PKCS#12; identificare in base all'estensione/contesto, non solo dai primi byte.
Programmi che aprono file PFX
Windows4 apps
OpenSSL
Open-source Estrai o converti: «openssl pkcs12 -in file.pfx -out out.pem -nodes» (richiede la password).
Windows Certificate Import Wizard (built-in)
Integrato Fai doppio clic sul file .pfx → si apre l'Importazione guidata certificati; inserisci la password e scegli l'archivio (Personale/Utente corrente o Computer locale).
certutil / PowerShell (built-in)
Integrato Ispeziona/importa da shell: «certutil -dump file.pfx» o tramite PowerShell «Get-PfxData -FilePath file.pfx» / «Import-PfxCertificate».
Adobe Acrobat (as a digital ID, not a viewer)
Freemium Modifica/Preferenze → Firme → Identità e certificati affidabili → aggiungi il .pfx come ID digitale per la firma dei PDF. Non visualizza il file come documento. 
macOS2 apps
OpenSSL
Open-source Estrai o converti: «openssl pkcs12 -in file.pfx -out out.pem -nodes» (richiede la password).
Keychain Access (built-in)
Integrato Fai doppio clic sul file .pfx → viene importato in Accesso Portachiavi (inserisci la password del file); l'identità sarà quindi disponibile per le app. 
Linux2 apps
OpenSSL
Open-source Estrai o converti: «openssl pkcs12 -in file.pfx -out out.pem -nodes» (richiede la password).
GNOME Keyring / Seahorse
Open-source Importa il file .pfx/.p12 nell'app «Password e chiavi» (Seahorse) per memorizzare il certificato e la chiave. Dettagli tecnici
specifiche approfondite| Codifica del contenitore | Binario DER (Distinguished Encoding Rules) su ASN.1; il file non è leggibile dall'uomo senza un parser dedicato |
| Tipo MIME | application/x-pkcs12 |
| Magic bytes | 30 82 all'offset 0 (ASN.1 DER SEQUENCE con lunghezza di 2 byte); condiviso con altri formati codificati in DER - identificare tramite estensione o tipo MIME, non solo dai byte |
| Struttura interna | Livelli nidificati: PFX → AuthenticatedSafe → SafeContents → SafeBags; ogni SafeBag contiene un oggetto crittografico tipizzato |
| Tipi di SafeBag | KeyBag, PKCS8ShroudedKeyBag, CertBag, CRLBag, SecretBag, SafeContents - i sei tipi ufficiali di SafeBag definiti nella RFC 7292 |
| Protezione tramite password | L'intero archivio e i singoli SafeBag possono essere crittografati indipendentemente con una passphrase scelta dall'utente tramite crittografia basata su password |
| Algoritmi di crittografia | AES-256-CBC e 3DES-CBC per stack moderni; RC2 e RC4 compaiono nei file legacy (deprecati - da evitare nella generazione di nuovi archivi) |
| Integrità MAC | Un HMAC (SHA-1 nei sistemi legacy; SHA-256 o SHA-384 nelle implementazioni moderne) copre la struttura AuthenticatedSafe per rilevare manomissioni |
| Derivazione della chiave | PBKDF1 (RFC 7292 Appendice B) o PBKDF2 con conteggio delle iterazioni configurabile rafforza la crittografia basata su password contro gli attacchi brute-force |
| Nome Windows vs. IETF | .pfx è il suffisso originale coniato da Microsoft; .p12 è il nome standard IETF; i due sono identici byte per byte e completamente intercambiabili |
| Archiviazione multi-oggetto | Un singolo .pfx può contenere più certificati e chiavi - ad esempio, una catena completa di certificati foglia, intermedi e root CA più la chiave privata |
| Conversione CLI comune | «openssl pkcs12 -in file.pfx -out file.pem -nodes» estrae in testo PEM; «openssl pkcs12 -export -out file.pfx» raggruppa input PEM in un nuovo archivio |
| Supporto piattaforma | Nativo su Windows (Importazione guidata certificati, certutil, PowerShell), macOS (Accesso Portachiavi), iOS, Android, Java (keytool) e la maggior parte delle librerie TLS |
| Casi d'uso tipici | Distribuzione di certificati server TLS/SSL, identità per la firma del codice, chiavi email S/MIME, credenziali client VPN e provisioning di smart-card |
| Rilasciato | PKCS #12 v1.0 published 1999 by RSA; Microsoft .pfx predates and feeds into it |
| Standard aperto | Sì · royalty-free |
| Specifica | www.rfc-editor.org |
Conversioni PFX
Possibile
.PFX .CRTGUIDA
Sì - estrai il certificato pubblico da un file PFX con un comando OpenSSL o con la Creazione guidata…
Come convertire
.PFX .P12GUIDA
Sì - nella maggior parte dei casi, rinomina il file da .pfx a .p12; entrambi sono lo stesso formato binario…
Come convertire
.PFX .CERGUIDA
Sì - estrai il certificato pubblico dal tuo file PFX con un comando OpenSSL o tramite la Creazione guidata…
Come convertire
.PFX .PEMGUIDA
Sì - OpenSSL converte un PFX in PEM con un solo comando su Windows, macOS e Linux.
Come convertire
.PFX .KEYGUIDA
Sì - estrai la chiave privata da un file PFX usando OpenSSL: openssl pkcs12 -in file.pfx -nocerts -nodes -out…
Come convertire
.PFX .JKSGUIDA
Sì - il modo standard è l'utilità keytool integrata di Java: un unico comando su Windows, macOS o Linux.
Come convertire
Non possibile
Domande e risposte della community
chiesto dagli utenti
M
Domande frequenti
Cos'è un file PFX?
Un pacchetto crittografato e protetto da password (formato PKCS #12 / .p12) che contiene un certificato digitale più la sua chiave privata, utilizzato per certificati TLS, firma del codice, autenticazione client e firma di documenti.
Come apro un file PFX su Windows?
Fai doppio clic su di esso per avviare l'Importazione guidata certificati, inserisci la password con cui è stato creato e scegli un archivio certificati. Per ispezionarlo invece, usa «certutil -dump file.pfx» o OpenSSL - un PFX non si «legge», si importa.
Qual è la differenza tra .pfx e .p12?
Nessuna in pratica: entrambi sono in formato PKCS #12. .pfx è il nome di Microsoft, .p12 quello più generico. Di solito puoi semplicemente rinominare l'uno nell'altro.
In cosa differisce un PFX da un certificato CER/CRT?
Un .cer/.crt contiene solo il certificato pubblico ed è sicuro da condividere. Un .pfx contiene anche la chiave privata, che è segreta: può ricreare l'identità completa, quindi deve essere protetto.
Come estraggo il certificato e la chiave da un PFX per Apache/Nginx?
Usa OpenSSL: «openssl pkcs12 -in file.pfx -clcerts -nokeys -out cert.pem» per il certificato e «... -nocerts -nodes -out key.pem» per la chiave privata.
Ho perso la password del PFX: posso ancora aprirlo?
No. La chiave privata è crittografata con quella password e non esiste un recupero legittimo. Dovrai esportare nuovamente il certificato da dove è stato creato o fartene emettere uno nuovo.
Adobe Acrobat può aprire un file PFX?
Acrobat può importare un PFX come «ID digitale» per firmare i PDF, ma non lo apre come documento visualizzabile. Per installare il certificato stesso, usa l'archivio certificati di Windows o il Portachiavi di macOS.
Riferimenti
1IETF RFC 7292 - PKCS #12: Personal Information Exchange Syntax v1.1www.rfc-editor.org
2Microsoft Learn - Export/import certificates with private keys (PFX)learn.microsoft.com
