Что такое формат файла PFX?
Файлы .pfx связаны со стандартом криптографии PKCS #12, первоначально разработанным RSA Laboratories и ныне регулируемым RFC 7292.
Файлы с расширением .pfx хранят зашифрованные и цифровые подписанные криптографические объекты в бинарном контейнере с кодировкой DER. Каждый файл .pfx разделен на так называемые SafeBags, которые также могут быть независимо зашифрованы и подписаны. Стандарт PKCS #12 далее разделяет SafeBags на типы, подходящие для хранения закрытых ключей, сертификатов X.509, цепочек сертификатов и других данных безопасности.
.pfx чаще всего используется для объединения закрытого ключа вместе с соответствующей ему цепочкой сертификатов в одном защищенном паролем файле. Типичные варианты использования включают экспорт сертификатов TLS/SSL между серверами, распространение идентификаторов для подписи кода и передачу учетных данных S/MIME между устройствами.
.pfx и .p12 функционально идентичны - инструменты Windows используют расширение .pfx, в то время как macOS и Linux предпочитают .p12. Оба формата могут быть преобразованы в текстовый формат .pem с помощью команды openssl pkcs12. В отличие от отдельных сертификатов .cer, файл .pfx несет закрытый ключ вместе с сертификатом, что делает его предпочтительным форматом, когда ключ должен передаваться вместе с сертификатом.
Безопасность и защита
РИСК: HIGHФайл PFX содержит ЗАКРЫТЫЙ КЛЮЧ, поэтому это один из самых конфиденциальных типов файлов: любой, у кого есть файл и пароль к нему, может выдавать себя за владельца сертификата - подписывать код или документы от его имени или развернуть сервер с его TLS-идентификатором. Никогда не пересылайте PFX без защиты, не фиксируйте его в системах контроля версий, используйте сложный пароль для экспорта и храните его в безопасности (в идеале удалите файл после импорта). Относитесь к неожиданным вложениям .pfx как к подозрительным. Создавайте и обрабатывайте файлы PFX только с помощью доверенных инструментов (мастера ОС, OpenSSL), а не на случайных сайтах «просмотра сертификатов», которые могут похитить ваш ключ и пароль.
Детали формата
в двух словахПОЛНОЕ НАЗВАНИЕPKCS #12 Personal Information Exchange File
РАЗРАБОТЧИКRSA Laboratories (PKCS #12 standard); now IETF RFC 7292с PKCS #12 v1.0 published 1999 by RSA; Microsoft .pfx predates and feeds into it
КАТЕГОРИЯСистемные файлы
MIME-ТИПapplication/x-pkcs12
ТИПЗашифрованный, защищенный паролем пакет ключа и сертификата (бинарный, DER/PKCS#12)
СТАНДАРТОткрытый · без роялти
MAGIC BYTES · СИГНАТУРА ФАЙЛА
СМЕЩЕНИЕ
0001
HEX
3082
ASCII
0·
Начинается с тега DER 30 82 xx xx (последовательность ASN.1 SEQUENCE с 2-байтовой длиной) - тот же общий префикс, что и у многих криптографических объектов в кодировке DER, поэтому он не уникален для PFX. Содержимое представляет собой структуру PKCS#12; идентифицируйте по расширению или контексту, а не только по первым байтам.
Программы, открывающие файлы PFX
Windows4 apps
OpenSSL
Открытый код Извлечение или конвертация: «openssl pkcs12 -in file.pfx -out out.pem -nodes» (потребуется ввод пароля).
Windows Certificate Import Wizard (built-in)
Встроенная Дважды щелкните .pfx → откроется «Мастер импорта сертификатов»; введите пароль и выберите хранилище (Личное/Текущий пользователь или Локальный компьютер).
certutil / PowerShell (built-in)
Встроенная Просмотр/импорт из оболочки: «certutil -dump file.pfx» или PowerShell «Get-PfxData -FilePath file.pfx» / «Import-PfxCertificate».
Adobe Acrobat (as a digital ID, not a viewer)
Freemium Редактирование/Настройки → Подписи → Удостоверения и доверенные сертификаты → добавьте .pfx как цифровое удостоверение для подписи PDF. Программа не отображает файл как документ. 
macOS2 apps
OpenSSL
Открытый код Извлечение или конвертация: «openssl pkcs12 -in file.pfx -out out.pem -nodes» (потребуется ввод пароля).
Keychain Access (built-in)
Встроенная Дважды щелкните .pfx → он импортируется в «Связку ключей» (введите пароль файла); после этого удостоверение станет доступно приложениям. 
Linux2 apps
OpenSSL
Открытый код Извлечение или конвертация: «openssl pkcs12 -in file.pfx -out out.pem -nodes» (потребуется ввод пароля).
GNOME Keyring / Seahorse
Открытый код Импортируйте .pfx/.p12 в приложение «Пароли и ключи» (Seahorse) для хранения сертификата и ключа. Технические подробности
глубокая спецификация| Кодировка контейнера | Бинарная DER (Distinguished Encoding Rules) поверх ASN.1; файл не читается человеком без специального парсера |
| MIME-тип | application/x-pkcs12 |
| Магические байты | 30 82 со смещением 0 (ASN.1 DER SEQUENCE с 2-байтовой длиной); общие с другими форматами в кодировке DER - идентифицируйте по расширению или MIME-типу, а не только по байтам |
| Внутренняя структура | Вложенные слои: PFX → AuthenticatedSafe → SafeContents → SafeBags; каждый SafeBag содержит один типизированный криптографический объект |
| Типы SafeBag | KeyBag, PKCS8ShroudedKeyBag, CertBag, CRLBag, SecretBag, SafeContents - шесть официальных типов SafeBag, определенных в RFC 7292 |
| Защита паролем | Весь архив и отдельные SafeBags могут быть зашифрованы независимо с помощью выбранной пользователем парольной фразы через шифрование на основе пароля |
| Алгоритмы шифрования | AES-256-CBC и 3DES-CBC для современных систем; RC2 и RC4 встречаются в устаревших файлах (не рекомендуется использовать при создании новых архивов) |
| Целостность MAC | HMAC (SHA-1 в устаревших; SHA-256 или SHA-384 в современных реализациях) охватывает структуру AuthenticatedSafe для обнаружения подделки |
| Производная ключа | PBKDF1 (RFC 7292, приложение B) или PBKDF2 с настраиваемым количеством итераций усиливает шифрование на основе пароля против атак методом перебора |
| Название Windows против IETF | .pfx - это оригинальный суффикс, придуманный Microsoft; .p12 - стандартное название IETF; они побайтово идентичны и полностью взаимозаменяемы |
| Хранение нескольких объектов | Один .pfx может содержать несколько сертификатов и ключей - например, полную цепочку из конечного, промежуточного и корневого сертификатов CA плюс закрытый ключ |
| Обычная конвертация через CLI | openssl pkcs12 -in file.pfx -out file.pem -nodes извлекает данные в текстовый PEM; openssl pkcs12 -export -out file.pfx собирает входные данные PEM в новый архив |
| Поддержка платформ | Нативная поддержка в Windows (Мастер импорта сертификатов, certutil, PowerShell), macOS (Связка ключей), iOS, Android, Java (keytool) и большинстве библиотек TLS |
| Типичные сценарии использования | Развертывание серверных сертификатов TLS/SSL, идентификаторы подписи кода, ключи электронной почты S/MIME, учетные данные клиента VPN и подготовка смарт-карт |
| Выпущен | PKCS #12 v1.0 published 1999 by RSA; Microsoft .pfx predates and feeds into it |
| Открыть стандартное | Да · без роялти |
| Спецификация | www.rfc-editor.org |
Конвертации PFX
Возможно
.PFX .CRTРУКОВОДСТВО
Да - извлеките публичный сертификат из файла PFX с помощью одной команды OpenSSL или мастера экспорта…
Как конвертировать
.PFX .P12РУКОВОДСТВО
Да - в большинстве случаев достаточно переименовать файл из .pfx в .p12; оба являются одним и тем же бинарным…
Как конвертировать
.PFX .CERРУКОВОДСТВО
Да - извлеките публичный сертификат из вашего файла PFX с помощью одной команды OpenSSL или через мастер…
Как конвертировать
.PFX .PEMРУКОВОДСТВО
Да - OpenSSL конвертирует PFX в PEM одной командой в Windows, macOS и Linux.
Как конвертировать
.PFX .KEYРУКОВОДСТВО
Да - извлеките закрытый ключ из файла PFX с помощью OpenSSL: openssl pkcs12 -in file.pfx -nocerts -nodes -out…
Как конвертировать
.PFX .JKSРУКОВОДСТВО
Да - стандартный способ заключается в использовании встроенной утилиты Java keytool: одна команда в Windows,…
Как конвертировать
Невозможно
Вопросы и ответы сообщества
спрошено пользователями
M
Часто задаваемые вопросы
Что такое файл PFX?
Это зашифрованный, защищенный паролем контейнер (формат PKCS #12 / .p12), который содержит цифровой сертификат и его закрытый ключ. Используется для сертификатов TLS, подписи кода, аутентификации клиентов и подписи документов.
Как открыть файл PFX в Windows?
Дважды щелкните по нему, чтобы запустить «Мастер импорта сертификатов», введите пароль, с которым он был создан, и выберите хранилище сертификатов. Чтобы просмотреть содержимое, используйте команду «certutil -dump file.pfx» или OpenSSL - PFX не «читают», а импортируют.
В чем разница между .pfx и .p12?
На практике разницы нет - оба являются форматом PKCS #12. .pfx - это название от Microsoft, .p12 - более общее. Обычно можно просто переименовать одно расширение в другое.
Чем PFX отличается от сертификата CER/CRT?
Файл .cer/.crt содержит только открытый сертификат, и его безопасно передавать другим. Файл .pfx также содержит закрытый ключ, который является секретным - он позволяет воссоздать полную личность владельца, поэтому его необходимо защищать.
Как извлечь сертификат и ключ из PFX для Apache/Nginx?
Используйте OpenSSL: «openssl pkcs12 -in file.pfx -clcerts -nokeys -out cert.pem» для сертификата и «... -nocerts -nodes -out key.pem» для закрытого ключа.
Я потерял пароль от PFX - можно ли его открыть?
Нет. Закрытый ключ зашифрован этим паролем, и легальных способов восстановления не существует. Вам придется повторно экспортировать сертификат из места его создания или выпустить новый.
Может ли Adobe Acrobat открыть файл PFX?
Acrobat может импортировать PFX как «цифровое удостоверение» для подписи PDF, но он не открывает его как просматриваемый документ. Чтобы установить сам сертификат, используйте хранилище сертификатов Windows или «Связку ключей» macOS.
Ссылки
1IETF RFC 7292 - PKCS #12: Personal Information Exchange Syntax v1.1www.rfc-editor.org
2Microsoft Learn - Export/import certificates with private keys (PFX)learn.microsoft.com
