DER-in-PEM-Konverter für .cer- und .der-Dateien

So wandeln Sie DER in PEM um

1. Legen Sie die .der-, .cer- oder .crt-Datei im Feld ab. Binäre Eingaben werden als Bytes gelesen. Statt einer Datei können Sie einzeiliges Base64-DER oder Hex wie 30 82 01 b7 … einfügen.
2. Lassen Sie Umwandeln in auf PEM (64 Spalten).
3. Lassen Sie PEM-Label auf Automatisch. Der Konverter liest das ASN.1 und schreibt CERTIFICATE, CERTIFICATE REQUEST, PUBLIC KEY, PRIVATE KEY usw. Wählen Sie ein Label nur dann selbst, wenn ein Tool auf einem bestimmten besteht.
4. Aktivieren Sie bei Bedarf Windows-Zeilenenden (CRLF), dann Ausgabe kopieren oder .pem herunterladen.

Wechseln Sie zu Analysieren, um zu prüfen, was Sie umgewandelt haben: Antragsteller, Ablauf und Fingerabdrücke stehen auf der Karte.

Woher DER-Dateien und Base64 ohne Kopfzeilen stammen

All das wird zum selben PEM. Ein DER-Zertifikat mit 443 Bytes wird zu einem PEM mit 656 Bytes: 592 Base64-Zeichen in zehn Zeilen plus BEGIN- und END-Zeile.

Das PEM-Format in Kürze

RFC 7468 beschreibt, was Parser erwarten, und die Ausgabe hält sich daran:

-----BEGIN CERTIFICATE-----
MIIBtzCCAV2gAwIBAgIUfX6gOa1S96OttEsj3WbuIdu0cE0wCgYIKoZIzj0EAwIw
...64 characters per line, the last line shorter...
-----END CERTIFICATE-----

• Das Label in BEGIN und END muss exakt übereinstimmen.
• Die Inhaltszeilen bestehen aus 64 Zeichen Standard-Base64 mit =-Padding. Eingaben im URL-sicheren Alphabet (- und _) oder ohne Padding werden akzeptiert und in der Standardform ausgegeben.
• Mehrere Zertifikate in einer Datei sind einfach aneinandergehängte Blöcke. So sind fullchain.pem und CA-Bundles aufgebaut. Um eines zu bauen, wandeln Sie jedes DER-Zertifikat um und fügen die Blöcke nacheinander ein, das Endzertifikat zuerst.

DER in PEM mit OpenSSL, Python und der Shell

openssl x509 -inform der -in cert.cer -out cert.pem
openssl pkey -inform der -in key.der -out key.pem
openssl req  -inform der -in app.der -out app.csr

Ältere OpenSSL-Versionen scheitern mit unable to load certificate, wenn Sie -inform der vergessen; neuere erkennen DER selbst. Für eine einzeilige Base64-Zeichenkette wie einen x5c-Eintrag:

{ echo '-----BEGIN CERTIFICATE-----'; echo "$B64" | fold -w 64; echo '-----END CERTIFICATE-----'; } > cert.pem

Python hat das eingebaut: ssl.DER_cert_to_PEM_cert(open("cert.der", "rb").read()). Weitere Rezepte stehen auf den Seiten zu OpenSSL und Python.

Häufige Probleme

• „Weder PEM noch gültiges Base64-DER“ oder „Kein gültiges DER/ASN.1 bei Byte …“: Das Base64 ist beschädigt, abgeschnitten oder kein DER. Eine .p12- oder .pfx-Datei ist zwar auch DER, ihr Inhalt ist aber verschlüsselt; wandeln Sie sie stattdessen mit openssl pkcs12 um.
• Das Label zeigt DATA: Die Struktur wurde nicht als Zertifikat, Schlüssel oder Anforderung erkannt. Die Bytes werden trotzdem umgewandelt; setzen Sie das Label selbst, wenn Sie wissen, was sie sind.
• Die Datei war schon PEM: Manche .cer-Dateien sind trotz der Endung PEM. Die Ausgabe ist dann dasselbe Zertifikat, neu umbrochen, und es gab nichts weiter umzuwandeln. Der Zertifikat-Decoder zeigt, was darin steckt.
• Sie brauchen die Gegenrichtung: PEM in DER liefert einen .der-Download, einzeiliges Base64 oder Hex.

Häufige Fragen