保持本地转换
证书、私钥和密码都在浏览器中处理。无需账户，也不会上传到服务器。
PEM · DER · CRT · CER · P7B · PFX / P12
SSL 证书格式转换器。
为 Nginx、Apache、IIS 或云平台在线转换 SSL 证书。可以在浏览器本地把 PEM 转为 PFX、DER 转为 PEM，或 P7B 转为 PEM，密钥和密码都留在此标签页中。
仅在浏览器中转换 · 证书、密钥和密码都留在本地
证书部署
使用服务器要求的证书格式。
从证书颁发机构下载的证书，格式可能与服务器接受的格式不同。此转换器只改变编码或容器，已签发的证书本身保持不变。
导出 PFX 前检查密钥
在把私钥与证书打包之前，会比较 RSA 和 ECC 公钥。
保留证书链
在 PEM、P7B 或 PFX 输出中包含中间证书，或把每张证书分别导出为 DER。
常见 SSL 格式转换
从 CRT 转为 PEM，或从 PEM 转为 PFX。
CRT / CER 转 PEM
把文本或二进制证书整理成服务器所需的 PEM。仅靠扩展名无法判断编码。
转换证书PEM 转 DER / DER 转 PEM
在可读的 PEM 和二进制 DER 之间转换，同时保持已签名的 X.509 证书不变。
转换证书PEM / CRT 转 PFX
为 Windows IIS 打包证书、匹配的私钥和可选的 CA 证书包。请设置导出密码。
转换证书PFX 转 PEM / CRT
打开受密码保护的 PFX/P12，并把证书链和私钥分别下载为 PEM 文件。
转换证书P7B 转 PEM / PEM 转 P7B
从 PKCS#7 中提取证书，或把 PEM 证书链打包为仅含证书的 P7B。
转换证书PFX 转 DER / P7B
从 PKCS#12 包中导出公钥证书。输出会省略私钥，并说明已省略。
转换证书如何转换 SSL 证书
选择输出格式。证书身份保持不变。
你不必自行判断输入编码。转换器读取的是文件的实际内容，而不是文件名。
- 01
粘贴或上传证书
使用完整的 PEM 块，或上传二进制 DER、P7B 或 PFX/P12 文件。受保护的 PFX 文件请输入导入密码。
- 02
选择 PEM、DER、P7B 或 PFX
创建新的 PFX 时，请提供匹配的未加密私钥和导出密码。需要时按签发机构顺序添加中间证书。
- 03
转换并下载结果
查看识别出的格式、证书数量和密钥处理提示。可以下载每一项结果；PEM 输出也可以复制。
PEM、DER、P7B 与 PFX
SSL 证书格式与文件扩展名。
PEM 和 DER 描述的是编码。P7B 和 PFX 描述的是容器。CRT 和 CER 是扩展名，里面可能是 PEM 或 DER，因此只有编码已经满足服务器要求时，改文件名才够用。
| Format | Encoding | Contents | Typical use |
|---|---|---|---|
| PEM / CRT / CER | Base64 text with PEM boundaries | One or more certificates; keys exported separately | Nginx, Apache, and cloud load balancers |
| DER | Binary ASN.1 | One certificate per file | Systems requesting a binary .der or .cer certificate |
| P7B / PKCS#7 | Binary export; PEM or binary import | Certificates and chain, without a private key | Certificate-chain transfer and Windows certificate imports |
| PFX / P12 / PKCS#12 | Binary container with password protection | Certificate, matching private key, and optional chain | Windows IIS and applications accepting PKCS#12 |
使用 OpenSSL 转换 SSL 证书格式。
如果你更习惯终端、需要支持加密的独立密钥，或遇到不支持的 PFX 加密算法，请在本地运行这些命令。密码通过 OpenSSL 提示输入。
PEM / CRT → DER
openssl x509 -in certificate.crt -outform DER -out certificate.derDER / CER → PEM
openssl x509 -inform DER -in certificate.cer -out certificate.pemPEM / CRT + 私钥 → PFX
openssl pkcs12 -export -in certificate.pem -inkey private.key \
-certfile chain.pem -out certificate.pfxOmit -certfile if no intermediate CA bundle is needed. OpenSSL prompts for the export password.
PFX → PEM 证书链
openssl pkcs12 -in certificate.pfx -nokeys -out certificates.pemPFX — 未加密的私钥
openssl pkcs12 -in certificate.pfx -nocerts -noenc -out private-key.pemThe output key is unencrypted. Omit -noenc to protect it with a new passphrase.
P7B → PEM
openssl pkcs7 -inform DER -in certificate.p7b -print_certs -out certificates.pemUse -inform PEM when the P7B is PEM encoded.
PEM 证书链 → P7B
openssl crl2pkcs7 -nocrl -certfile certificates.pem \
-outform DER -out certificate.p7b命令参考： openssl x509, openssl pkcs12和 openssl pkcs7.
相关 SSL 工具
检查证书并准备对应的密钥。
SSL 证书转换常见问题
证书格式的常见问题。
如何在线转换 SSL 证书？
粘贴 PEM 文本，或上传 PEM、CRT、CER、DER、P7B、PFX 或 P12 文件。选择输出格式并点击转换证书，然后下载结果。二进制输入会根据内容识别。导出 PFX 需要匹配的私钥；受保护的 PFX 输入需要对应密码。
如何把 CRT 或 CER 转换为 PEM？
CRT 和 CER 是文件扩展名，不是独立的编码。它们可能包含 PEM 文本或二进制 DER。上传文件并选择 PEM，即可把证书整理成统一格式。如果文件已经以 BEGIN CERTIFICATE 开头，它就是 PEM 编码。只重命名二进制文件并不能完成转换。
没有私钥时，可以把 PEM 或 CRT 转换为 PFX 吗？
此工具会创建可直接部署的 PFX/P12 包，其中包含证书及其匹配的私钥。请提供原始的 RSA 或 EC 密钥，需要时再加上中间证书。证书不能用来重建丢失的私钥。虽然存在仅含证书的 PKCS#12 容器，但此工具导出 PFX 时需要密钥。
如何把 PFX 转换为 PEM 或 CRT，并提取私钥？
上传 PFX 或 P12 并输入导入密码。选择 PEM 或 CRT。结果会把证书放在一个 PEM 编码文件中，并把私钥分别放在 PEM 文件中。提取出的私钥未加密，请安全保存。如果只需要证书，请选择 DER 或 P7B。
PFX 和 P12 有什么区别？
PFX 和 P12 是同一种 PKCS#12 容器格式的常用扩展名。该容器可以把证书、私钥和中间证书打包在一起，并用密码保护。在这里选择任一扩展名，都会导出相同的 PKCS#12 结构。
P7B 包含私钥吗？
P7B/PKCS#7 证书包包含证书，也可以携带证书链，但不包含私钥。把 P7B 转换为 PEM 会提取其中的证书。如果要据此创建 PFX，请另外提供匹配的私钥。
Nginx、Apache 或 IIS 应该使用哪种格式？
Nginx 和 Apache 通常使用 PEM 证书，并单独使用 PEM 私钥。Windows IIS 通常导入同时包含证书和私钥的 PFX/P12。DER 是单张证书的二进制编码；P7B 用于传递证书链。安装前请查看目标平台的要求。
我的证书、私钥和密码会被上传吗？
不会。文件在当前浏览器标签页中读取和转换。此工具不会把输入发送到服务器、保存它们，或写入 URL。完成后请清空表单或关闭标签页。下载的文件和剪贴板副本仍由你自己控制。
转换器支持 RSA 和 ECC 证书吗？
会。证书转换会保留已签名的证书字节。PFX 导出支持 P-256、P-384 和 P-521 上的 RSA 与 ECDSA 密钥，输入为未加密的 PKCS#8、RSA PKCS#1 或 EC SEC1 PEM。加密的独立私钥和不支持的 PFX 加密方式，请在本地用 OpenSSL 处理。
转换证书会续期或验证证书链吗？
不会。转换只改变编码或封装，证书的主体、有效期和签名保持不变。它不会为过期证书续期，不会建立信任，不会验证证书链签名，也不会下载缺失的中间证书。DER 输出会为证书链中的每张证书提供单独文件。