DER 转 PEM 转换器，支持 .cer 和 .der 文件

如何将 DER 转换为 PEM

1. 把 .der、.cer 或 .crt 文件拖到框中。二进制输入会按字节读取。除了文件，你也可以粘贴单行 Base64 DER，或 30 82 01 b7 … 这样的 hex。
2. 转换为 保持 PEM（64 列）。
3. PEM 标签 保持 自动检测。转换器会读取 ASN.1，并写出 CERTIFICATE、CERTIFICATE REQUEST、PUBLIC KEY、PRIVATE KEY 等标签。只有当某个工具坚持要特定标签时，才需要自己选择。
4. 如有需要，勾选 Windows 换行符（CRLF），然后点击 复制输出 或 下载 .pem。

切换到 检查 可以核对转换的内容：主体、到期时间和指纹都在卡片上。

DER 文件和不带头尾行的 Base64 从哪里来

这些最终都会变成同样的 PEM。一张 443 字节的 DER 证书会变成 656 字节的 PEM：分成十行的 592 个 Base64 字符，加上 BEGIN 和 END 两行。

PEM 格式简介

RFC 7468 描述了解析器所期望的格式，输出也遵循它：

-----BEGIN CERTIFICATE-----
MIIBtzCCAV2gAwIBAgIUfX6gOa1S96OttEsj3WbuIdu0cE0wCgYIKoZIzj0EAwIw
...64 characters per line, the last line shorter...
-----END CERTIFICATE-----

• BEGIN 和 END 中的标签必须完全一致。
• 正文每行是 64 个带 = 填充的标准 Base64 字符。使用 URL 安全字母表（- 和 _）或不带填充的输入也能接受，并会以标准形式写出。
• 一个文件中的多张证书就是把各个块连在一起。fullchain.pem 和 CA 证书包就是这样构成的。要自己制作，先逐一转换每张 DER 证书，再把这些块依次粘贴在一起，叶子证书在前。

用 OpenSSL、Python 和 shell 将 DER 转为 PEM

openssl x509 -inform der -in cert.cer -out cert.pem
openssl pkey -inform der -in key.der -out key.pem
openssl req  -inform der -in app.der -out app.csr

如果忘了加 -inform der，较旧的 OpenSSL 版本会报 unable to load certificate；新版本能自己识别 DER。对于 x5c 条目这样的单行 Base64 字符串：

{ echo '-----BEGIN CERTIFICATE-----'; echo "$B64" | fold -w 64; echo '-----END CERTIFICATE-----'; } > cert.pem

Python 内置了这个功能：ssl.DER_cert_to_PEM_cert(open("cert.der", "rb").read())。更多用法见 OpenSSL 和 Python 页面。

常见问题

• “既不是 PEM，也不是有效的 Base64 DER” 或 “第 … 字节处不是有效的 DER/ASN.1”：Base64 已损坏、被截断，或者不是 DER。.p12 或 .pfx 文件也是 DER，但其内容是加密的，请改用 openssl pkcs12 转换。
• 标签显示为 DATA：该结构没有被识别为证书、密钥或请求。字节仍然会被转换；如果你知道它是什么，请自己设置标签。
• 文件本来就是 PEM：有些 .cer 文件虽然用了这个扩展名，内容却是 PEM。这时输出的是重新换行的同一张证书，无需再做其他转换。证书解码器 可以显示其中的内容。
• 需要反向转换：PEM 转 DER 可以下载 .der，或输出单行 Base64 或 hex。

常见问题