Convertidor de PEM a DER (certificados y claves)

Cómo convertir PEM a DER

1. Pega el bloque PEM en la entrada, o suelta un archivo .pem, .crt, .key o .csr.
2. Elige la salida en Convertir a:
   • DER – Base64 en una línea: el cuerpo del PEM sin las líneas de cabecera ni los saltos de línea, listo para un campo JSON o una variable de entorno.
   • DER – hex: los mismos bytes en hex, para arrays de bytes y trazas de protocolo.
   • PEM (64 columnas) y Clave pública (PEM) están para la dirección inversa y para extraer una clave pública.
3. Haz clic en Descargar .der para guardar el archivo binario, o en Copiar salida para la forma de texto.

El convertidor detecta certificados, CSR, CRL, claves públicas y claves privadas (PKCS#1, PKCS#8, EC SEC1), así que no hay que elegir el tipo de entrada.

Qué hace la conversión

PEM es un envoltorio de texto alrededor de DER. Toma este certificado (acortado):

-----BEGIN CERTIFICATE-----
MIIBtzCCAV2gAwIBAgIUfX6gOa1S96OttEsj3WbuIdu0cE0wCgYIKoZIzj0EAwIw
...
-----END CERTIFICATE-----

Quita las dos líneas de marca, une las líneas restantes, decodifica el Base64 y tendrás el archivo DER: aquí, 443 bytes que empiezan por 30 82 01 b7, la cabecera SEQUENCE de ASN.1. La etiqueta de las líneas de marca es la única información que desaparece. Los archivos DER no llevan etiqueta, y por eso las herramientas que leen DER necesitan que se les diga qué es el archivo o tienen que deducirlo por su estructura.

Dónde necesitas DER

• Dispositivos embebidos y firmware: los certificados compilados en C como array de bytes son casi siempre DER. Usa la salida hex y pégala en un array.
• Plataformas de Apple: SecCertificateCreateWithData recibe datos DER, no texto PEM.
• El parámetro x5c de un JWK y el elemento <ds:X509Certificate> de los metadatos SAML contienen DER en Base64 sin cabeceras PEM.
• Las URL de CA Issuers de los certificados suelen servir un archivo .cer en DER.
• Windows: los archivos .cer pueden estar en cualquiera de las dos formas, pero algunos diálogos de importación antiguos y algunos appliances solo aceptan DER.

PEM a DER con OpenSSL, Python y certutil

openssl x509 -in cert.pem -outform der -out cert.der
openssl req  -in app.csr  -outform der -out app.der
openssl pkey -in key.pem  -outform der -out key.der
grep -v -- '-----' cert.pem | tr -d '\n'

La última línea imprime el DER en Base64 en una línea de un archivo con un solo certificado. En Python, ssl.PEM_cert_to_DER_cert(open("cert.pem").read()) devuelve los bytes DER de un certificado. En Windows, certutil -decode cert.pem cert.der quita las marcas y decodifica. Más en Base64 con OpenSSL y Base64 en Python.

Problemas habituales

• Varios bloques en un archivo: las salidas de texto convierten todos los bloques, pero Descargar .der guarda solo el primer objeto, porque un archivo DER contiene exactamente uno. Divide antes la cadena de certificados o descarga cada certificado desde su ficha en el decodificador de certificados.
• -----BEGIN ENCRYPTED PRIVATE KEY-----: se convierte sin problema, pero el DER sigue cifrado. Descifrarlo requiere la contraseña y aquí no se hace.
• Cabeceras Proc-Type: 4,ENCRYPTED: el cifrado heredado de OpenSSL no tiene forma DER. Ejecuta antes openssl pkey -in key.pem -out plain.pem con la contraseña.
• -----BEGIN OPENSSH PRIVATE KEY-----: no es ASN.1 en absoluto, así que no hay DER que generar. Usa la herramienta de claves SSH para obtener su clave pública.

Preguntas frecuentes