Certificado PEM (.pem)
IETF EstándarPrivacy-Enhanced Mail (PEM) es una codificación de texto muy usada para objetos criptográficos, como certificados y claves privadas. Usa datos Base64 delimitados por etiquetas como «-----BEGIN...-----» y «-----END...-----».
Convertir de CRT a PEM
Convertidor gratuito de CRT a PEM en el navegador. Convierte archivos al instante en tu dispositivo.
Inspección y metadatos
Los sistemas operativos y analizadores de archivos identifican los archivos de PEM inspeccionando la secuencia de bytes binarios inicial:
Firma de cabecera a nivel de bytes (bytes mágicos)
Los sistemas operativos y analizadores de archivos identifican los archivos de PEM inspeccionando la secuencia de bytes binarios inicial:
FIRMA HEXADECIMAL (DESPLAZAMIENTO 0):
2D 2D 2D 2D 2D 42 45 47 49 4EREPRESENTACIÓN ASCII: -----BEGIN
Estandarización: IETF RFC 7468 / RFC 1421
Especificaciones técnicas
| Arquitectura del contenedor | Contenedor de texto ASCII codificado en Base64, delimitado por «-----BEGIN [LABEL]-----» y «-----END [LABEL]-----», que encapsula estructuras DER binarias |
| Compresión | Formato de texto sin comprimir |
| Orden de bytes (Endianness) | Flujo de texto ASCII / UTF-8 |
| Espacios de color | N/D (contenedor criptográfico) |
| Canales y estructura | Certificados, claves privadas (RSA/EC/DSA), CSR, claves públicas y listas de revocación de certificados |
| Dimensiones máximas | Flujo de texto ilimitado (admite múltiples certificados encadenados) |
| Transparencia | Contenedor ASCII legible |
| Streaming y progresivo | Extracción secuencial, bloque a bloque |
Matriz de comparación técnica: PEM frente a la competencia
| Atributo técnico | PEM (Actual) | DER | P12 | CRT |
|---|---|---|---|---|
| Texto frente a binario | Texto Base64 legible | Solo bytes binarios sin procesar | Archivo binario cifrado | Normalmente, texto Base64 |
| Uso en nube y DevOps | Estándar universal (AWS, K8s) | Tokens de hardware y Java | Importación a servidor Windows IIS | Configuraciones de servidor web |
| Contenidos permitidos | Certificados, claves privadas, cadenas y solicitudes de firma (CSR) | Un solo certificado o clave | Certificado + clave cifrada en un solo archivo | Normalmente, solo certificados públicos |
| Apto para copiar y pegar | Sí (se pega directamente en campos de texto) | No (binario) | No (binario) | Sí (si está codificado en PEM) |
Modos de corrupción comunes y guía de recuperación hexadecimal
Error de OpenSSL: 'PEM_read_bio: no start line'.
Causa raíz: Falta la cabecera «-----BEGIN ...-----» o está dañada, o los saltos de línea CRLF de Windows están corruptos.
Recuperación: Restaura la cabecera estándar de cinco guiones con la herramienta de certificados de File2File.app.
Análisis de seguridad y vectores de ataque al analizador
Los archivos PEM a menudo contienen claves privadas sin cifrar ('-----BEGIN RSA PRIVATE KEY-----') que otorgan acceso completo al servidor si se exponen.
Vectores de ataque conocidos
- Subir claves privadas PEM sin cifrar a repositorios públicos de control de versiones.
- Ataques de salto de directorio para leer claves PEM del servidor mediante inclusión local de archivos (LFI).
- Frases de contraseña débiles en archivos PEM de claves privadas cifradas.
Mejores prácticas defensivas: Protege las claves privadas PEM con permisos estrictos (chmod 600) y nunca las suba a Git.
Orígenes históricos e hitos
Ventajas principales
- Es legible y fácil de copiar y pegar en formularios web, consolas en la nube (AWS, GCP) y correos electrónicos.
- Se usa habitualmente en herramientas y plataformas como OpenSSL, servicios de Linux, Docker, Kubernetes y sistemas en la nube; los formatos aceptados dependen de cada componente.
- Admite varios certificados: permite incluir una cadena completa de confianza en un archivo de texto mediante bloques consecutivos.
Limitaciones técnicas
- Ocupa aproximadamente un 33 % más que el DER binario debido a la codificación Base64.
- Los cambios en los saltos de línea o la falta de guiones en las cabeceras pueden impedir el análisis del archivo.
- Los archivos PEM con claves privadas sin cifrar presentan riesgos de seguridad extremos si se filtran.
Curiosidades técnicas interesantes
- Aunque se creó para un sistema de correo electrónico cifrado que no llegó a adoptarse, su formato ASCII codificado se convirtió en el estándar de seguridad más popular del mundo.
- Cada archivo PEM válido comienza con cinco guiones: '-----BEGIN'.
- Para crear una cadena SSL completa, basta con concatenar varios bloques «BEGIN CERTIFICATE» en un solo archivo .pem.
Preguntas técnicas frecuentes
¿Qué es un archivo .pem?
Un archivo .pem es un formato de texto para guardar certificados de seguridad, claves privadas o cadenas completas de certificados en Base64 legible y con cabeceras como «-----BEGIN...-----».
¿Cómo convierto PEM a P12 o PFX?
Puedes convertir tu certificado PEM y tu clave privada en un archivo P12/PFX protegido con contraseña con un solo clic utilizando File2File.app directamente en tu navegador web.
¿Cómo puedo verificar la fecha de caducidad de un certificado PEM?
Abre tu archivo .pem en File2File.app para decodificar la fecha de caducidad, el emisor y los nombres de dominio sin enviar ningún dato a servidores externos.
Pares de conversión de PEM relacionados
La conversión de un certificado de seguridad CRT binario a un formato de texto PEM codificado en Base64 lo hace compatible con Apache, Nginx y los servidores web Linux modernos.
Convertir un certificado PEM de texto a un certificado CRT binario permite que los servidores Apache y los sistemas Windows lean correctamente las credenciales de seguridad web.
La conversión de un paquete PKCS #12 en un certificado PEM extrae sus claves públicas y privadas de un archivo binario protegido y las guarda en archivos de texto sin formato para servidores web.
Convertir un certificado PEM a un paquete PKCS #12 combina tu certificado público y clave privada en un solo archivo protegido por contraseña para una instalación sencilla en servidores Windows y navegadores web.
Convertir un certificado binario DER a un certificado PEM cambia su codificación de bytes binarios sin procesar a texto ASCII Base64 para que pueda ser leído fácilmente por servidores web y editores de texto.
Convertir un certificado de seguridad CER binario a un archivo de texto PEM codificado en Base64 permite a los administradores leer y pegar fácilmente claves de seguridad en servidores web y configuraciones de aplicaciones.