Paquete PKCS #12 (.p12)
IETF EstándarPKCS #12 (P12/PFX) es un formato contenedor que puede almacenar claves privadas, certificados y datos relacionados. El archivo puede estar protegido con contraseña o sin cifrar, según cómo se haya creado.
Convertir de P12 a PEM
Convertidor gratuito de P12 a PEM en el navegador. Convierte archivos al instante en tu dispositivo.
Inspección y metadatos
Los sistemas operativos y analizadores de archivos identifican los archivos de P12 inspeccionando la secuencia de bytes binarios inicial:
Firma de cabecera a nivel de bytes (bytes mágicos)
Los sistemas operativos y analizadores de archivos identifican los archivos de P12 inspeccionando la secuencia de bytes binarios inicial:
FIRMA HEXADECIMAL (DESPLAZAMIENTO 0):
30REPRESENTACIÓN ASCII: 0
Estandarización: IETF RFC 7292 / PKCS #12 v1.1
Especificaciones técnicas
| Arquitectura del contenedor | Estructura PFX ASN.1 cifrada con contraseña que contiene bolsas de seguridad con claves privadas, certificados y listas de revocación de certificados (CRL) |
| Compresión | Datos criptográficos sin comprimir |
| Orden de bytes (Endianness) | ASN.1 DER en Big-Endian |
| Espacios de color | N/D (almacén de claves cifrado) |
| Canales y estructura | Claves privadas, certificados públicos, cadenas de CA intermedias y certificados de CA raíz |
| Dimensiones máximas | Normalmente, de 5 a 25 KB |
| Transparencia | Contenedor cifrado (protegido con contraseña) |
| Streaming y progresivo | Extracción del archivo cifrado como una unidad |
Matriz de comparación técnica: P12 frente a la competencia
| Atributo técnico | P12 (Actual) | PEM | CRT | DER |
|---|---|---|---|---|
| Capacidad de empaquetado | Clave privada y cadena de certificados en un solo archivo | Puede incluir una clave sin cifrar en texto | Solo certificado | Clave binaria única o certificado |
| Cifrado | Cifrado con contraseña (AES-256) | Frase de contraseña opcional en la clave privada | Certificado público sin cifrar | Binario sin cifrar |
| Apple iOS y macOS | Formato nativo para exportar identidades | Se usa desde la línea de comandos | Importado como certificado | Se importa como clave sin procesar |
| Intercambiable con | .pfx (formato idéntico) | .crt, .key | .cer | .asn1 |
Modos de corrupción comunes y guía de recuperación hexadecimal
Error de extracción: «Mac verify error: invalid password», aunque la contraseña sea correcta.
Causa raíz: La configuración predeterminada de OpenSSL 3.0 rechaza los algoritmos de cifrado antiguos 3DES/RC2 de algunos archivos P12.
Recuperación: Vuelve a cifrar el archivo con AES-256 mediante la herramienta de certificados de File2File.app.
Análisis de seguridad y vectores de ataque al analizador
Los contenedores P12 almacenan claves privadas críticas; los cifrados heredados deben actualizarse a los estándares AES modernos.
Vectores de ataque conocidos
- Ataques de fuerza bruta contra archivos P12 con cifrado débil y pocas iteraciones.
- Explotación de cifrados RC2-40-CBC débiles en archivos P12 antiguos.
- Filtración de claves privadas descifradas desde búferes de memoria sin protección.
Mejores prácticas defensivas: Protege los archivos P12 con contraseñas robustas y cifrado AES-256 con PBKDF2/SHA-256.
Orígenes históricos e hitos
Ventajas principales
- Paquete integral: reúne la clave privada, el certificado público y toda la cadena de certificados de la CA intermedia en un solo archivo seguro.
- El cifrado con contraseña protege las claves privadas mediante AES-256 o 3DES para transferirlas de forma segura.
- Formato estándar de certificados de cliente para autenticarse en navegadores y firmar código con perfiles de desarrollador de Apple iOS.
Limitaciones técnicas
- Requiere una contraseña para extraer su contenido: olvidar la contraseña hace que la clave privada sea irrecuperable de forma permanente.
- Los archivos P12 heredados utilizaban algoritmos de cifrado débiles, como 3DES o RC2, que generan advertencias en OpenSSL 3.0.
- El formato binario no se puede inspeccionar visualmente sin herramientas de extracción criptográfica.
Curiosidades técnicas interesantes
- Las extensiones .p12 y .pfx son totalmente intercambiables y corresponden al mismo formato.
- Los certificados de desarrollador y perfiles de aprovisionamiento de Apple iOS se distribuyen como archivos .p12 para firmar aplicaciones de iPhone.
- OpenSSL 3.0 dejó obsoletos los algoritmos PKCS #12 antiguos (RC2-40-CBC), por lo que se necesita la opción -legacy para abrir archivos P12 antiguos.
Preguntas técnicas frecuentes
¿Cuál es la diferencia entre .p12 y .pfx?
No hay diferencia. .pfx era el formato anterior de Microsoft, que RSA Laboratories estandarizó como PKCS #12 (.p12). Actualmente, ambas extensiones corresponden al mismo formato.
¿Cómo puedo extraer la clave privada de un archivo .p12?
Puedes extraer la clave privada y el certificado público en archivos .pem limpios en segundos con File2File.app, directamente desde el navegador.
¿Por qué mi archivo P12 necesita una contraseña?
Como los archivos P12 contienen tu clave privada confidencial, se cifran con contraseña para impedir que otras personas roben tu identidad digital.
Pares de conversión de P12 relacionados
La conversión de un paquete PKCS #12 en un certificado PEM extrae sus claves públicas y privadas de un archivo binario protegido y las guarda en archivos de texto sin formato para servidores web.
Convertir un certificado PEM a un paquete PKCS #12 combina tu certificado público y clave privada en un solo archivo protegido por contraseña para una instalación sencilla en servidores Windows y navegadores web.