Co to jest format pliku PFX?
Pliki .pfx są powiązane ze standardem kryptograficznym PKCS #12, pierwotnie opracowanym przez RSA Laboratories, a obecnie regulowanym przez RFC 7292.
Pliki z rozszerzeniem .pfx przechowują zaszyfrowane i podpisane cyfrowo obiekty kryptograficzne w binarnym kontenerze kodowanym metodą DER. Każdy plik .pfx jest podzielony na tak zwane SafeBags, które mogą być również niezależnie szyfrowane i podpisywane. Standard PKCS #12 dodatkowo dzieli SafeBags na typy odpowiednie do przechowywania kluczy prywatnych, certyfikatów X.509, łańcuchów certyfikatów i innych danych bezpieczeństwa.
.pfx jest najczęściej używany do łączenia klucza prywatnego wraz z pasującym do niego łańcuchem certyfikatów w jednym pliku chronionym hasłem. Typowe zastosowania obejmują eksportowanie certyfikatów TLS/SSL między serwerami, dystrybucję tożsamości do podpisywania kodu oraz przenoszenie poświadczeń S/MIME między urządzeniami.
.pfx i .p12 są funkcjonalnie identyczne - narzędzia Windows używają .pfx, podczas gdy macOS i Linux preferują .p12. Oba można przekonwertować na format tekstowy .pem za pomocą polecenia openssl pkcs12. W przeciwieństwie do samodzielnych certyfikatów .cer, plik .pfx przenosi klucz prywatny obok certyfikatu, co czyni go preferowanym formatem, gdy klucz musi podróżować wraz z certyfikatem.
Bezpieczeństwo
RYZYKO: HIGHPlik PFX zawiera KLUCZ PRYWATNY, więc jest jednym z najbardziej wrażliwych typów plików, z jakimi styka się użytkownik: każdy, kto posiada plik i hasło, może podszyć się pod właściciela certyfikatu - podpisywać kod lub dokumenty w jego imieniu lub uruchomić serwer z jego tożsamością TLS. Nigdy nie wysyłaj pliku PFX e-mailem bez zabezpieczeń, nie umieszczaj go w systemach kontroli wersji, używaj silnego hasła eksportu i przechowuj go bezpiecznie (najlepiej usuń plik po zaimportowaniu). Traktuj nieoczekiwane załączniki .pfx jako podejrzane. Generuj i obsługuj pliki PFX wyłącznie za pomocą zaufanych narzędzi (kreatory systemowe, OpenSSL) - nie korzystaj z przypadkowych stron internetowych typu „przeglądarka certyfikatów”, które mogłyby przejąć Twój klucz i hasło.
Szczegóły formatu
w pigułcePEŁNA NAZWAPKCS #12 Personal Information Exchange File
DEWELOPERRSA Laboratories (PKCS #12 standard); now IETF RFC 7292od PKCS #12 v1.0 published 1999 by RSA; Microsoft .pfx predates and feeds into it
KATEGORIAPliki systemowe
TYP MIMEapplication/x-pkcs12
TYPZaszyfrowany, chroniony hasłem pakiet klucza i certyfikatu (binarny, DER/PKCS#12)
STANDARDOtwarty · bezpłatny
MAGICZNE BAJTY · SYGNATURA PLIKU
OFFSET
0001
HEX
3082
ASCII
0·
Zaczyna się od tagu DER 30 82 xx xx (sekwencja ASN.1 z 2-bajtową długością) - jest to ten sam ogólny prefiks, co w wielu obiektach kryptograficznych kodowanych w DER, więc nie jest unikalny dla PFX. Zawartość to struktura PKCS#12; identyfikuj na podstawie rozszerzenia/kontekstu, a nie tylko pierwszych bajtów.
Programy otwierające pliki PFX
Windows4 apps
OpenSSL
Open-source Wyodrębnij lub przekonwertuj: „openssl pkcs12 -in file.pfx -out out.pem -nodes” (wymaga podania hasła).
Windows Certificate Import Wizard (built-in)
Wbudowany Kliknij dwukrotnie .pfx → otworzy się Kreator importu certyfikatów; wprowadź hasło i wybierz magazyn (Osobisty/Bieżący użytkownik lub Komputer lokalny).
certutil / PowerShell (built-in)
Wbudowany Sprawdź/importuj z powłoki: „certutil -dump file.pfx” lub w PowerShell „Get-PfxData -FilePath file.pfx” / „Import-PfxCertificate”.
Adobe Acrobat (as a digital ID, not a viewer)
Freemium Edycja/Preferencje → Podpisy → Tożsamości i zaufane certyfikaty → dodaj .pfx jako identyfikator cyfrowy do podpisywania plików PDF. Nie wyświetla pliku jako dokumentu. 
macOS2 apps
OpenSSL
Open-source Wyodrębnij lub przekonwertuj: „openssl pkcs12 -in file.pfx -out out.pem -nodes” (wymaga podania hasła).
Keychain Access (built-in)
Wbudowany Kliknij dwukrotnie .pfx → zostanie zaimportowany do aplikacji Dostęp do pęku kluczy (wprowadź hasło pliku); tożsamość będzie wtedy dostępna dla aplikacji. 
Linux2 apps
OpenSSL
Open-source Wyodrębnij lub przekonwertuj: „openssl pkcs12 -in file.pfx -out out.pem -nodes” (wymaga podania hasła).
GNOME Keyring / Seahorse
Open-source Zaimportuj .pfx/.p12 do aplikacji „Hasła i klucze” (Seahorse), aby zapisać certyfikat i klucz. Szczegóły techniczne
specyfikacja| Kodowanie kontenera | Binarny DER (Distinguished Encoding Rules) nad ASN.1; plik nie jest czytelny dla człowieka bez dedykowanego parsera |
| Typ MIME | application/x-pkcs12 |
| Magiczne bajty | 30 82 pod offsetem 0 (ASN.1 DER SEQUENCE z 2-bajtową długością); współdzielone z innymi formatami kodowanymi w DER - identyfikuj po rozszerzeniu lub typie MIME, nie po samych bajtach |
| Struktura wewnętrzna | Zagnieżdżone warstwy: PFX → AuthenticatedSafe → SafeContents → SafeBags; każdy SafeBag zawiera jeden typowany obiekt kryptograficzny |
| Typy SafeBag | KeyBag, PKCS8ShroudedKeyBag, CertBag, CRLBag, SecretBag, SafeContents - sześć oficjalnych typów SafeBag zdefiniowanych w RFC 7292 |
| Ochrona hasłem | Całe archiwum oraz poszczególne SafeBags mogą być szyfrowane niezależnie wybranym przez użytkownika hasłem za pomocą szyfrowania opartego na haśle |
| Algorytmy szyfrowania | AES-256-CBC i 3DES-CBC dla nowoczesnych stosów; RC2 i RC4 pojawiają się w starszych plikach (przestarzałe - unikaj przy generowaniu nowych archiwów) |
| Integralność MAC | HMAC (SHA-1 w starszych; SHA-256 lub SHA-384 w nowoczesnych implementacjach) obejmuje strukturę AuthenticatedSafe w celu wykrycia manipulacji |
| Derwacja klucza | PBKDF1 (RFC 7292 Dodatek B) lub PBKDF2 z konfigurowalną liczbą iteracji wzmacnia szyfrowanie oparte na haśle przeciwko atakom brute-force |
| Nazwa Windows vs. IETF | .pfx to oryginalny sufiks ukuty przez Microsoft; .p12 to nazwa standardu IETF; oba są identyczne bajt po bajcie i w pełni wymienne |
| Przechowywanie wielu obiektów | Pojedynczy .pfx może zawierać wiele certyfikatów i kluczy - na przykład pełny łańcuch certyfikatów końcowych, pośrednich i głównych CA wraz z kluczem prywatnym |
| Typowa konwersja CLI | openssl pkcs12 -in file.pfx -out file.pem -nodes wyodrębnia do tekstu PEM; openssl pkcs12 -export -out file.pfx łączy dane wejściowe PEM w nowe archiwum |
| Obsługa platform | Natywna w Windows (Kreator importu certyfikatów, certutil, PowerShell), macOS (Dostęp do pęku kluczy), iOS, Android, Java (keytool) i większości bibliotek TLS |
| Typowe przypadki użycia | Wdrażanie certyfikatów serwera TLS/SSL, tożsamości do podpisywania kodu, klucze e-mail S/MIME, poświadczenia klienta VPN i przygotowywanie kart inteligentnych |
| Wydano | PKCS #12 v1.0 published 1999 by RSA; Microsoft .pfx predates and feeds into it |
| Otwarty standard | Tak · bezpłatny (royalty-free) |
| Specyfikacja | www.rfc-editor.org |
Konwersje PFX
Możliwa
.PFX .CRTPRZEWODNIK
Tak - wyodrębnij certyfikat publiczny z pliku PFX za pomocą jednego polecenia OpenSSL lub Kreatora eksportu…
Jak konwertować
.PFX .P12PRZEWODNIK
Tak - w większości przypadków wystarczy zmienić nazwę pliku z .pfx na .p12; oba to ten sam format binarny…
Jak konwertować
.PFX .CERPRZEWODNIK
Tak - wyodrębnij certyfikat publiczny z pliku PFX za pomocą jednego polecenia OpenSSL lub przez Kreatora…
Jak konwertować
.PFX .PEMPRZEWODNIK
Tak - OpenSSL konwertuje PFX na PEM jednym poleceniem w systemach Windows, macOS i Linux.
Jak konwertować
.PFX .KEYPRZEWODNIK
Tak - wyodrębnij klucz prywatny z pliku PFX za pomocą OpenSSL: openssl pkcs12 -in file.pfx -nocerts -nodes…
Jak konwertować
.PFX .JKSPRZEWODNIK
Tak - standardowym sposobem jest wbudowane narzędzie keytool języka Java: jedna komenda w systemach Windows,…
Jak konwertować
Niemożliwa
Pytania i odpowiedzi społeczności
pytania użytkowników
M
Najczęściej zadawane pytania
Co to jest plik PFX?
Zaszyfrowany, chroniony hasłem pakiet (format PKCS #12 / .p12), który zawiera certyfikat cyfrowy oraz jego klucz prywatny, używany do certyfikatów TLS, podpisywania kodu, uwierzytelniania klientów i podpisywania dokumentów.
Jak otworzyć plik PFX w systemie Windows?
Kliknij go dwukrotnie, aby uruchomić Kreatora importu certyfikatów, wprowadź hasło, z którym został utworzony, i wybierz magazyn certyfikatów. Aby zamiast tego go sprawdzić, użyj „certutil -dump file.pfx” lub OpenSSL - pliku PFX się nie „czyta”, lecz importuje.
Jaka jest różnica między .pfx a .p12?
W praktyce żadna - oba to format PKCS #12. .pfx to nazwa firmy Microsoft, .p12 to nazwa bardziej ogólna. Zazwyczaj można po prostu zmienić rozszerzenie jednego na drugie.
Czym różni się PFX od certyfikatu CER/CRT?
Plik .cer/.crt zawiera tylko certyfikat publiczny i można go bezpiecznie udostępniać. Plik .pfx zawiera również klucz prywatny, który jest tajny - pozwala on na odtworzenie pełnej tożsamości, więc musi być chroniony.
Jak wyodrębnić certyfikat i klucz z PFX dla Apache/Nginx?
Użyj OpenSSL: „openssl pkcs12 -in file.pfx -clcerts -nokeys -out cert.pem” dla certyfikatu oraz „... -nocerts -nodes -out key.pem” dla klucza prywatnego.
Zgubiłem hasło do PFX - czy nadal mogę go otworzyć?
Nie. Klucz prywatny jest zaszyfrowany tym hasłem i nie ma legalnej metody odzyskiwania. Musisz ponownie wyeksportować certyfikat z miejsca, w którym został utworzony, lub poprosić o wydanie nowego.
Czy Adobe Acrobat może otworzyć plik PFX?
Acrobat może zaimportować PFX jako „identyfikator cyfrowy” do podpisywania plików PDF, ale nie otwiera go jako dokumentu do podglądu. Aby zainstalować sam certyfikat, użyj magazynu certyfikatów Windows lub pęku kluczy macOS.
Źródła
1IETF RFC 7292 - PKCS #12: Personal Information Exchange Syntax v1.1www.rfc-editor.org
2Microsoft Learn - Export/import certificates with private keys (PFX)learn.microsoft.com
