Certificado PEM (.pem)
IETF PadrãoPrivacy-Enhanced Mail (PEM) é um padrão de texto legível para armazenar dados criptográficos. Ele codifica certificados DER binários e chaves privadas em Base64, entre marcadores como "-----BEGIN...-----".
Converter CRT para PEM
Conversor gratuito de CRT para PEM no navegador. Converta arquivos instantaneamente no seu dispositivo.
Inspeção e metadados
Sistemas operacionais e analisadores de arquivos identificam arquivos PEM pela sequência inicial de bytes:
Assinatura do arquivo em bytes (magic bytes)
Sistemas operacionais e analisadores de arquivos identificam arquivos PEM pela sequência inicial de bytes:
ASSINATURA HEXADECIMAL (DESLOCAMENTO 0):
2D 2D 2D 2D 2D 42 45 47 49 4EREPRESENTAÇÃO ASCII: -----BEGIN
Padronização: IETF RFC 7468 / RFC 1421
Especificações técnicas
| Estrutura do contêiner | Contêiner ASCII em Base64, delimitado por "-----BEGIN [LABEL]-----" e "-----END [LABEL]-----", que armazena estruturas binárias DER |
| Compressão | Formato de texto sem compactação |
| Ordem dos bytes (endianness) | Fluxo de texto ASCII/UTF-8 |
| Espaços de cor | Não se aplica (contêiner criptográfico) |
| Canais e Estrutura | Certificados, chaves privadas (RSA/EC/DSA), solicitações de assinatura de certificado (CSR), chaves públicas e listas de revogação de certificados |
| Dimensões Máximas | Fluxo de texto sem limite (aceita várias partes de uma cadeia de certificados) |
| Transparência | Contêiner de texto ASCII sem criptografia |
| Streaming e Progressivo | Extração sequencial, bloco por bloco |
Matriz de comparação técnica: PEM e formatos concorrentes
| Atributo técnico | PEM (Atual) | DER | P12 | CRT |
|---|---|---|---|---|
| Texto vs Binário | Texto Base64 legível por humanos | Apenas bytes binários brutos | Arquivo binário criptografado | Normalmente texto Base64 |
| Uso em Nuvem e DevOps | Padrão 100% universal (AWS, K8s) | Tokens de hardware / Java | Importação para servidor Windows IIS | Configurações de servidor web |
| Conteúdos Permitidos | Certificados, chaves privadas, cadeias, CSRs | Certificado ou chave única | Certificado agrupado + chave criptografada | Normalmente apenas certificados públicos |
| Copiável e Colável | Sim (cole diretamente em áreas de texto) | Não (binário) | Não (binário) | Sim (se codificado em PEM) |
Modos comuns de corrupção e guia de recuperação com editor hexadecimal
Erro do OpenSSL: 'PEM_read_bio: no start line'.
Causa principal: Banner de cabeçalho '-----BEGIN ...-----' ausente ou corrompido, ou corrupção de nova linha CRLF do Windows.
Recuperação: Restaure o banner de cabeçalho padrão de 5 traços usando a Ferramenta de Certificados File2File.app.
Análise de segurança e vetores de ataque a analisadores
Os arquivos PEM geralmente contêm chaves privadas não criptografadas ('-----BEGIN RSA PRIVATE KEY-----') que concedem acesso completo ao servidor se expostas.
Vetores de ataque conhecidos
- Inclusão de chaves privadas PEM não criptografadas em commits em repositórios públicos de controle de versão.
- Ataques de travessia de diretório (directory traversal) lendo chaves PEM do servidor por meio de inclusão de arquivo local (LFI).
- Frases-senha fracas em arquivos PEM de chave privada criptografada.
Melhores práticas defensivas: Proteja arquivos PEM de chave privada com permissões estritas no sistema de arquivos (chmod 600) e nunca os envie para o git.
Origens históricas e marcos
Principais vantagens
- Legível por humanos e copiável/colável: pode ser copiado para formulários web, entradas de console em nuvem (AWS, GCP) e e-mail.
- Padrão universal em OpenSSL, Linux, Docker, segredos do Kubernetes e infraestrutura em nuvem.
- Suporte a múltiplos certificados: permite armazenar cadeias completas de confiança de certificados em um único arquivo de texto empilhando blocos.
Limitações técnicas e desvantagens
- Cerca de 33% maior do que o DER binário bruto devido à sobrecarga de codificação Base64.
- Corrupção acidental: alterações de quebra de linha ou traços ausentes nos banners podem causar falhas de análise.
- Arquivos PEM de chave privada não criptografados apresentam riscos extremos de segurança se vazarem.
Curiosidades técnicas
- Embora criado para um sistema de e-mail criptografado que não ganhou adoção, sua blindagem ASCII tornou-se o formato de segurança mais popular do planeta.
- Todo arquivo PEM válido começa com cinco traços: '-----BEGIN'.
- Uma cadeia de certificados SSL completa é criada simplesmente colando vários blocos 'BEGIN CERTIFICATE' um após o outro em um único arquivo .pem.
Perguntas técnicas frequentes
O que é um arquivo .pem?
Um arquivo .pem é um formato baseado em texto para armazenar certificados de segurança, chaves privadas ou cadeias de certificados inteiras em um formato Base64 legível com os cabeçalhos '-----BEGIN...-----'.
Como faço para converter PEM para P12 ou PFX?
Você pode converter seu certificado PEM e sua chave privada em um arquivo P12/PFX protegido por senha com um clique usando o File2File.app diretamente no seu navegador web.
Como posso verificar a data de validade de um certificado PEM?
Abra seu arquivo .pem no File2File.app para decodificar a data de validade, o emissor e os nomes de domínio sem enviar nenhum dado para servidores externos.
Conversões de PEM relacionadas
Converter um certificado de segurança CRT binário para texto PEM codificado em Base64 permite que ele seja lido por Apache, Nginx e servidores web Linux modernos.
A conversão de um certificado de texto PEM em um certificado binário CRT permite que servidores Apache e sistemas Windows leiam suas credenciais de segurança Web corretamente.
Converter um pacote PKCS #12 para um certificado PEM extrai as chaves pública e privada de um arquivo binário protegido e as salva em arquivos de texto para uso em servidores web.
Converter um certificado PEM para um pacote PKCS #12 reúne o certificado público e a chave privada em um único arquivo protegido por senha, facilitando a instalação em servidores Windows e navegadores.
Converter um certificado DER binário para PEM muda a codificação de bytes binários brutos para texto ASCII em Base64, que servidores web e editores de texto conseguem ler facilmente.
A conversão de um certificado de segurança CER binário em um arquivo de texto PEM codificado em Base64 permite que os administradores leiam e colem facilmente chaves de segurança em servidores web e configurações de aplicativos.