O que é o formato de ficheiro PFX?
Arquivos .pfx estão associados ao padrão de criptografia PKCS #12, originalmente desenvolvido pela RSA Laboratories e agora governado pela RFC 7292.
Arquivos com a extensão .pfx armazenam objetos criptográficos criptografados e assinados digitalmente em um contêiner binário codificado em DER. Cada arquivo .pfx é dividido em chamados SafeBags, que também podem ser criptografados e assinados de forma independente. O padrão PKCS #12 divide ainda mais os SafeBags em tipos adequados para armazenar chaves privadas, certificados X.509, cadeias de certificados e outros dados de segurança.
O .pfx é mais comumente usado para agrupar uma chave privada junto com sua cadeia de certificados correspondente em um único arquivo protegido por senha. Os usos típicos incluem a exportação de certificados TLS/SSL entre servidores, a distribuição de identidades de assinatura de código e a transferência de credenciais S/MIME entre dispositivos.
.pfx e .p12 são funcionalmente idênticos - as ferramentas do Windows usam .pfx, enquanto o macOS e o Linux preferem .p12. Ambos podem ser convertidos para o formato de texto .pem com o comando openssl pkcs12. Ao contrário dos certificados .cer independentes, um arquivo .pfx carrega a chave privada junto com o certificado, tornando-o o formato preferido quando a chave deve acompanhar o certificado.
Segurança e proteção
RISCO: HIGHUm PFX contém uma CHAVE PRIVADA, por isso é um dos tipos de arquivo mais sensíveis que um usuário manipula: qualquer pessoa com o arquivo e sua senha pode personificar o proprietário do certificado - assinar códigos ou documentos como ele, ou configurar um servidor com sua identidade TLS. Nunca envie um PFX por e-mail sem proteção, nunca o envie para controle de código-fonte, use uma senha de exportação forte e armazene-o com segurança (idealmente exclua o arquivo após a importação). Trate um anexo .pfx inesperado como suspeito. Apenas gere/manipule arquivos PFX com ferramentas confiáveis (assistentes do SO, OpenSSL) - não sites aleatórios de «visualizador de certificados», que poderiam exfiltrar sua chave e senha.
Detalhes do formato
em resumoNOME COMPLETOPKCS #12 Personal Information Exchange File
DESENVOLVEDORRSA Laboratories (PKCS #12 standard); now IETF RFC 7292desde PKCS #12 v1.0 published 1999 by RSA; Microsoft .pfx predates and feeds into it
CATEGORIAArquivos de Sistema
TIPO MIMEapplication/x-pkcs12
TIPOPacote de chave+certificado criptografado e protegido por senha (binário, DER/PKCS#12)
PADRÃOAberto · livre de royalties
MAGIC BYTES · ASSINATURA DO ARQUIVO
OFFSET
0001
HEX
3082
ASCII
0·
Começa com a tag DER 30 82 xx xx (uma SEQUENCE ASN.1 com comprimento de 2 bytes) - o mesmo prefixo genérico de muitos objetos criptográficos codificados em DER, portanto não é exclusivo do PFX. O conteúdo é uma estrutura PKCS#12; identifique pela extensão/contexto, não apenas pelos primeiros bytes.
Programas que abrem arquivos PFX
Windows4 apps
OpenSSL
Código aberto Extraia ou converta: «openssl pkcs12 -in arquivo.pfx -out saida.pem -nodes» (solicita a senha).
Windows Certificate Import Wizard (built-in)
Integrado Clique duas vezes no .pfx → o Assistente para Importação de Certificados é aberto; digite a senha e escolha o repositório (Pessoal/Usuário Atual ou Máquina Local).
certutil / PowerShell (built-in)
Integrado Inspecione/importe a partir de um shell: «certutil -dump arquivo.pfx» ou PowerShell «Get-PfxData -FilePath arquivo.pfx» / «Import-PfxCertificate».
Adobe Acrobat (as a digital ID, not a viewer)
Freemium Editar/Preferências → Assinaturas → Identidades e Certificados Confiáveis → adicione o .pfx como uma ID Digital para assinar PDFs. Ele não exibe o arquivo como um documento. 
macOS2 apps
OpenSSL
Código aberto Extraia ou converta: «openssl pkcs12 -in arquivo.pfx -out saida.pem -nodes» (solicita a senha).
Keychain Access (built-in)
Integrado Clique duas vezes no .pfx → ele é importado para o Keychain Access (digite a senha do arquivo); a identidade fica então disponível para os aplicativos. 
Linux2 apps
OpenSSL
Código aberto Extraia ou converta: «openssl pkcs12 -in arquivo.pfx -out saida.pem -nodes» (solicita a senha).
GNOME Keyring / Seahorse
Código aberto Importe o .pfx/.p12 para o aplicativo «Senhas e Chaves» (Seahorse) para armazenar o certificado e a chave. Detalhes técnicos
especificação profunda| Codificação do contêiner | DER binário (Distinguished Encoding Rules) sobre ASN.1; o arquivo não é legível por humanos sem um analisador dedicado |
| Tipo MIME | application/x-pkcs12 |
| Magic bytes | 30 82 no deslocamento 0 (ASN.1 DER SEQUENCE com comprimento de 2 bytes); compartilhado com outros formatos codificados em DER - identifique pela extensão ou tipo MIME, não apenas pelos bytes |
| Estrutura interna | Camadas aninhadas: PFX → AuthenticatedSafe → SafeContents → SafeBags; cada SafeBag contém um objeto criptográfico tipado |
| Tipos de SafeBag | KeyBag, PKCS8ShroudedKeyBag, CertBag, CRLBag, SecretBag, SafeContents - os seis tipos oficiais de SafeBag definidos na RFC 7292 |
| Proteção por senha | O arquivo geral e os SafeBags individuais podem ser criptografados independentemente com uma frase secreta escolhida pelo usuário via criptografia baseada em senha |
| Algoritmos de criptografia | AES-256-CBC e 3DES-CBC para pilhas modernas; RC2 e RC4 aparecem em arquivos legados (descontinuados - evite ao gerar novos arquivos) |
| Integridade MAC | Um HMAC (SHA-1 em legado; SHA-256 ou SHA-384 em implementações modernas) cobre a estrutura AuthenticatedSafe para detectar adulterações |
| Derivação de chave | PBKDF1 (RFC 7292 Apêndice B) ou PBKDF2 com contagem de iterações configurável reforça a criptografia baseada em senha contra ataques de força bruta |
| Nome Windows vs. IETF | .pfx é o sufixo original cunhado pela Microsoft; .p12 é o nome padrão da IETF; os dois são idênticos byte a byte e totalmente intercambiáveis |
| Armazenamento de múltiplos objetos | Um único .pfx pode conter vários certificados e chaves - por exemplo, uma cadeia completa de certificados de folha, intermediários e raiz da CA, além da chave privada |
| Conversão CLI comum | openssl pkcs12 -in arquivo.pfx -out arquivo.pem -nodes extrai para texto PEM; openssl pkcs12 -export -out arquivo.pfx agrupa entradas PEM em um novo arquivo |
| Suporte de plataforma | Nativo no Windows (Assistente para Importação de Certificados, certutil, PowerShell), macOS (Keychain Access), iOS, Android, Java (keytool) e na maioria das bibliotecas TLS |
| Casos de uso típicos | Implantação de certificados de servidor TLS/SSL, identidades de assinatura de código, chaves de e-mail S/MIME, credenciais de cliente VPN e provisionamento de smart cards |
| Lançado | PKCS #12 v1.0 published 1999 by RSA; Microsoft .pfx predates and feeds into it |
| Padrão aberto | Sim · livre de royalties |
| Especificação | www.rfc-editor.org |
Conversões de PFX
Possível
.PFX .CRTGUIA
Sim - extraia o certificado público de um arquivo PFX com um comando OpenSSL ou pelo Assistente de Exportação…
Como converter
.PFX .P12GUIA
Sim - na maioria dos casos, renomeie o arquivo de .pfx para .p12; ambos são o mesmo formato binário PKCS#12.
Como converter
.PFX .CERGUIA
Sim - extraia o certificado público do seu arquivo PFX com um comando OpenSSL ou através do Assistente de…
Como converter
.PFX .PEMGUIA
Sim - o OpenSSL converte um PFX para PEM em um comando no Windows, macOS e Linux.
Como converter
.PFX .KEYGUIA
Sim - extraia a chave privada de um arquivo PFX usando OpenSSL: openssl pkcs12 -in file.pfx -nocerts -nodes…
Como converter
.PFX .JKSGUIA
Sim - a forma padrão é a utilidade keytool integrada do Java: um comando no Windows, macOS ou Linux.
Como converter
Não é possível
Perguntas e Respostas da Comunidade
perguntado por usuários
M
Perguntas frequentes
O que é um arquivo PFX?
Um pacote criptografado e protegido por senha (o formato PKCS #12 / .p12) que contém um certificado digital e sua chave privada, usado para certificados TLS, assinatura de código, autenticação de cliente e assinatura de documentos.
Como abro um arquivo PFX no Windows?
Clique duas vezes nele para iniciar o Assistente para Importação de Certificados, digite a senha com a qual ele foi criado e escolha um repositório de certificados. Para inspecioná-lo, use «certutil -dump arquivo.pfx» ou OpenSSL - você não «lê» um PFX, você o importa.
Qual é a diferença entre .pfx e .p12?
Nenhuma na prática - ambos são o formato PKCS #12. .pfx é o nome da Microsoft, .p12 o mais geral. Geralmente, você pode apenas renomear um para o outro.
Como um PFX é diferente de um certificado CER/CRT?
Um .cer/.crt contém apenas o certificado público e é seguro para compartilhar. Um .pfx também contém a chave privada, que é secreta - ele pode recriar a identidade completa, por isso deve ser protegido.
Como extraio o certificado e a chave de um PFX para Apache/Nginx?
Use OpenSSL: «openssl pkcs12 -in arquivo.pfx -clcerts -nokeys -out cert.pem» para o certificado e «... -nocerts -nodes -out key.pem» para a chave privada.
Perdi a senha do PFX - ainda posso abri-lo?
Não. A chave privada é criptografada com essa senha e não há recuperação legítima. Você precisará exportar novamente o certificado de onde ele foi criado ou solicitar a emissão de um novo.
O Adobe Acrobat pode abrir um arquivo PFX?
O Acrobat pode importar um PFX como uma «ID digital» para assinar PDFs, mas não o abre como um documento visualizável. Para instalar o certificado em si, use o repositório de certificados do Windows ou o Keychain do macOS.
Referências
1IETF RFC 7292 - PKCS #12: Personal Information Exchange Syntax v1.1www.rfc-editor.org
2Microsoft Learn - Export/import certificates with private keys (PFX)learn.microsoft.com
