# Certificados

# Certificados PEM

### <span class="mw-headline" id="bkmrk-c%C3%B3mo-crear-un-archiv-0">Cómo crear un archivo .pem para instalaciones de certificados SSL</span>

## <span id="bkmrk--7"></span><span class="mw-headline" id="bkmrk-%C2%BFque-es-un-certifica-0">¿Que es un certificado pem?</span>

Los archivos Privacy Enhanced Mail (PEM) son contenedores de certificados concatenados que se usan con frecuencia en instalaciones de certificados cuando se importan múltiples certificados que forman una cadena completa como un solo archivo. Son un estándar definido en los [RFC 1421](https://tools.ietf.org/html/rfc1421) a [1424](https://tools.ietf.org/html/rfc1424)

Se los puede considerar como un contenedor en capas de certificados encadenados. Un archivo .pem es un formato contenedor que puede incluir el certificado público o toda la cadena de certificados (clave privada, clave pública, certificados raíz):

Llave privada (.key)  
Certificado de servidor (crt, clave pública)  
(opcional) CA intermedia y / o paquetes si están firmados por un tercero

## <span id="bkmrk--8"></span><span class="mw-headline" id="bkmrk-%C2%BFc%C3%B3mo-crear-un-archi-1">¿Cómo crear un archivo PEM autofirmado?</span>

```
openssl req -newkey rsa:2048 -new -nodes -x509 -days 3650 -keyout key.pem -out cert.pem
```

## <span id="bkmrk--9"></span><span class="mw-headline" id="bkmrk-%C2%BFc%C3%B3mo-crear-un-archi-2">¿Cómo crear un archivo PEM a partir de archivos de certificados existentes que forman una cadena?</span>

(opcional) Elimina la contraseña de la clave privada siguiendo los pasos que se detallan a continuación:

```
openssl rsa -in server.key -out nopassword.key
```

Nota: Tienes que introducir la contraseña de la clave privada.Combine la clave privada, el certificado público y cualquier archivo de certificado intermedio de terceros:

```
cat nopassword.key > server.pem<br />cat server.crt >> server.pem
```

Nota: Repite este paso según sea necesario para archivos de cadena de certificados de terceros, paquetes, etc.

```
cat intermediate.crt >> server.pem
```

También se puede realizar desde un editor:

Abre un editor de texto (como wordpad) y pega todo el cuerpo de cada certificado en un archivo de texto en el siguiente orden:

La clave privada: your\_domain\_name.key  
El Certificado Primario - your\_domain\_name.crt  
El Certificado Intermedio - DigiCertCA.crt  
El certificado raíz - TrustedRoot.crt

\----BEGIN RSA PRIVATE KEY-----  
(Your Private Key: your\_domain\_name.key)  
\-----END RSA PRIVATE KEY-----  
\-----BEGIN CERTIFICATE-----  
(Your Primary SSL certificate: your\_domain\_name.crt)  
\-----END CERTIFICATE-----  
\-----BEGIN CERTIFICATE-----  
(Your Intermediate certificate: DigiCertCA.crt)  
\-----END CERTIFICATE-----  
\-----BEGIN CERTIFICATE-----  
(Your Root certificate: TrustedRoot.crt)  
\-----END CERTIFICATE-----

### <span class="mw-headline" id="bkmrk-crear-un-pfx-a-parti-0">Crear un PFX a partir del certificado PEM</span>

<table class="wikitable" id="bkmrk-par%C3%A1metro-descripci%C3%B3"><tbody><tr><th>Parámetro</th><th>Descripción</th></tr><tr><td>openssl</td><td>The command for executing OpenSSL.</td></tr><tr><td>pkcs12</td><td>The file utility for PKCS#12 files in OpenSSL.</td></tr><tr><td>-export -out certificate.pfx</td><td>Exports and saves the PFX file as certificate.pfx.</td></tr><tr><td>-inkey privateKey.key</td><td>Uses the private key file privateKey.key as the private key to combine with the certificate.</td></tr><tr><td>-in certificate.crt</td><td>Uses certificate.crt as the certificate to combine with the private key.</td></tr></tbody></table>

```
openssl pkcs12 -export -out certificate.pfx -inkey privateKey.key -in certificate.crt -certfile more.crt
```

Otro método

1. Take the file you exported (e.g. certname.pfx) and copy it to a system where you have OpenSSL installed. Note: the \*.pfx file is in PKCS#12 format and includes both the certificate and the private key.
2. Run the following command to export the private key: `openssl pkcs12 -in certname.pfx -nocerts -out key.pem -nodes`
3. Run the following command to export the certificate: `openssl pkcs12 -in certname.pfx -nokeys -out cert.pem`
4. Run the following command to remove the passphrase from the private key: `openssl rsa -in key.pem -out server.key`

# Comprobar SSL servidor

#### Servidores de correo

Para comprobar si un servidor de correo responde podemos usar comandos como nc o telnet (obsoleto). Pero en el caso de que el servidor use los puertos 993 (IMAP SSL) o 995 (POP3 SSL) la comprobación ha de hacerse de la siguiente forma:

##### Protocolos IMAP y POP3

```
openssl s_client -showcerts -connect mail.midominio.com:993 -servername mail.midominio.com
```

##### Para el protocolo de salida (SMTP)

```
openssl s_client -showcerts -connect mail.midominio.com:587 -starttls smtp -tls_2 
```

#### Otros servicios de servidores

Para probar el protocolo sftp

```
openssl s_client -showcerts -connect ftp.miservidorftp.com:21 -starttls ftp -tls1_2
```

# Comprobaciones varias de certificados

## Comprobar las fechas de un certificado

<div id="bkmrk-formato-crt%C2%A0">Formato CRT </div>```shell
openssl x509 -in certificadocrt -noout -dates
```

<div id="bkmrk-"></div><div id="bkmrk-formato-pem">Formato PEM</div>```shell
openssl x509 -in certificado.pem -noout -dates
```

<div id="bkmrk--0"></div><div id="bkmrk--1">  
</div>## Comprobar la fecha de expiración

<div id="bkmrk-formato-crt">Formato CRT</div>```shell
openssl x509 -enddate -noout -in certificado.crt 
```

<div id="bkmrk--2"></div><div id="bkmrk-formato-pem-0">Formato PEM</div>```shell
openssl x509 -enddate -noout -in certificado.pem
```

<div id="bkmrk--3"></div><div id="bkmrk--4"><div>  
</div></div>## Comprobar todos los datos del certificado

```shell
openssl x509 -text -noout -in certificado.crt 
```

<div id="bkmrk--5"></div><div id="bkmrk--6">  
</div>## Leer la información del certificado SSL de un servidor remoto

```shell
openssl s_client -showcerts -connect www.midominio.com:443
```

<div id="bkmrk--7"></div><div id="bkmrk--8">  
</div>## Eliminar la contraseña de una clave privada

```shell
openssl rsa -in privateKey.pem -out newPrivateKey.pem
```

<div id="bkmrk--9"></div><div id="bkmrk--10">  
</div>## Verificar una clave privada

```shell
openssl rsa -in privateKey.key -check
```

<div id="bkmrk--11"><div></div><div>  
</div><div>  
</div></div>## Verificar un archivo PKCS # 12 (.pfx o .p12)

<div id="bkmrk-openssl-pkcs12--info"><div></div></div>```shell
openssl pkcs12 -info -in certificado.p12
```

<div id="bkmrk--12"></div># Verificación de la validez de un certificado SSL

<div id="bkmrk-si-quieres-confirmar"><div>Si quieres confirmar que tu certificado SSL incluye la información correcta y validarlo en el orden correcto.</div></div><div id="bkmrk--13">  
</div><div id="bkmrk-antes-de-configurar-"><div>Antes de configurar los certificados, es una buena idea probarlos para asegurarse de que sean correctos y funcionen juntos. Aquí le mostramos cómo puede probar la validez de un certificado SSL: también puede ver a continuación para verificaciones adicionales, especialmente si su clave o certificado está en un formato diferente a .key o .crt:</div></div><div id="bkmrk--14">  
</div><div id="bkmrk-para-estos-ejemplos%2C"><div>Para estos ejemplos, suponga que certificate.crt es el certificado que se va a cargar, certificate.key es la clave privada para ese certificado y que la información de la cadena de certificados se encuentra en certificate-chain.crt.</div></div><div id="bkmrk--15">  
</div>```shell
openssl verify -CAfile certificate-chain.crt certificate.crt
```

<div id="bkmrk--16"></div><div id="bkmrk--17">  
</div><div id="bkmrk-si-la-respuesta-es-o"><div>Si la respuesta es OK, la verificación es válida.</div></div><div id="bkmrk--18">  
</div><div id="bkmrk-verifica-que-las-cla"><div><div>Verifica que las claves públicas contenidas en el archivo de clave privada y el certificado sean las mismas:</div><div>  
</div><div></div></div></div>```shell
openssl x509 -in certificate.crt -noout -pubkey
openssl rsa -in certificate.key -pubout
```

<div id="bkmrk--19">  
</div><div id="bkmrk-la-salida-de-estos-d"><div><div>La salida de estos dos comandos debe ser exactamente la misma.</div><div>  
</div></div></div>### Verificar que la clave privada y la clave pública son un par de claves que coinciden:

```shell
openssl rsa -noout -modulus -in certificate.key | openssl md5
openssl x509 -noout -modulus -in certificate.crt | openssl md5
```

<div id="bkmrk-la-salida-de-estos-d-0"><div><div></div><div>La salida de estos dos comandos debe ser exactamente la misma.</div><div>  
</div></div></div>### Verificar las fechas de validez del cetificado

```shell
openssl x509 -noout -in certificate.crt -dates
```

<div id="bkmrk--20"><div></div><div>  
</div><div>  
</div></div>### Verificar el orden de sus certificados.

<div id="bkmrk-la-raz%C3%B3n-m%C3%A1s-com%C3%BAn-p"><div><div>  
</div><div>La razón más común para que falle la implementación de un certificado es que los certificados intermedios / en cadena no están en el orden correcto. Un método para verificar el pedido mediante el comando es:</div><div>  
</div><div></div></div></div>```shell
openssl crl2pkcs7 -nocrl -certfile $ MAIN_CERT_FILE.PEM | openssl pkcs7 -print_certs -noout
```

<div id="bkmrk--21"><div></div><div>  
</div></div>## Otras comprobaciones

<div id="bkmrk-verifica-si-la-clave"><div><div>  
</div><div><div>Verifica si la clave está en formato PEM:</div><div>  
</div><div></div></div></div></div>```shell
openssl rsa -inform PEM -in /tmp/certificate.key
```

<div id="bkmrk-verifica-si-el-certi"><div><div><div></div><div>  
</div><div>Verifica si el Certificado está en formato PEM:</div><div>  
</div><div></div></div></div></div>```shell
openssl x509 -informar PEM -en /tmp/certificate.crt
```

# Convertir certificados con openssl

<span style="color: #444444;">En este artículo explicamos la forma de convertir entre tipos de certificados</span>

<div class="article-content" id="bkmrk-"><div class="article-content"><div>  
</div></div></div>### .PEM a .DER

<div class="article-content" id="bkmrk--0"><div class="article-content"><div class="article-content"><div>  
</div><div></div></div></div></div>```shell
openssl x509 -outform der -in certificado.pem -out certificado.der
```

<div class="article-content" id="bkmrk--1"><div class="article-content"><div></div><div>  
</div></div></div>### PKCS#12 a DER

<div class="article-content" id="bkmrk--2"><div class="article-content"><div class="article-content"><div>  
</div><div></div></div></div></div>```shell
openssl pkcs12 -in keyStore.pfx -out keyStore.pem -nodes
```

<div class="article-content" id="bkmrk--3"><div class="article-content"><div></div><div>  
</div></div></div>### PEM y Clave privada a PKCS#12 (.pfx .p12)

<div class="article-content" id="bkmrk--4"><div class="article-content"><div class="article-content"><div>  
</div><div></div></div></div></div>```shell
openssl pkcs12 -export -out certificado.pfx -inkey privateKey.key -in certificado.crt -certfile CACert.crt
```

<div class="article-content" id="bkmrk--5"><div class="article-content"><div></div><div>  
</div></div></div>### .PEM a .P7B

<div class="article-content" id="bkmrk--6"><div class="article-content"><div class="article-content"><div>  
</div><div></div></div></div></div>```shell
openssl crl2pkcs7 -nocrl -certfile certificado.cer -out certificado.p7b -certfile CACert.cer
```

<div class="article-content" id="bkmrk--7"><div class="article-content"><div></div><div>  
</div></div></div>### .DER a.PEM

<div class="article-content" id="bkmrk--8"><div class="article-content"><div class="article-content"><div>  
</div><div></div></div></div></div>```shell
openssl x509 -inform der -in certificado.cer -out certificado.pem
```

<div class="article-content" id="bkmrk--9"><div class="article-content"><div></div><div>  
</div></div></div>### .P7B a .PEM

<div class="article-content" id="bkmrk--10"><div class="article-content"><div class="article-content"><div>  
</div><div></div></div></div></div>```shell
openssl pkcs7 -print_certs -in certificado.p7b -out certificado.cer
```

<div class="article-content" id="bkmrk--11"><div class="article-content"><div></div><div>  
</div></div></div>### .P7B a .PFX

<div class="article-content" id="bkmrk-este-comando-requier"><div class="article-content"><div class="article-content"><div>Este comando requiere 2 pasos</div><div>Convertir de P7B a :CER</div><div></div></div></div></div>```shell
openssl pkcs7 -print_certs -in certificat.p7b -out certificado.cer
```

<div class="article-content" id="bkmrk-convertir-.cer-y-cla"><div class="article-content"><div class="article-content"><div></div><div>Convertir .CER y Clave privada a PFX</div><div></div></div></div></div>```shell
openssl pkcs12 -export -in certificado.cer -inkey privateKey.key -out certificado.pfx -certfile CACert.cer
```

<div class="article-content" id="bkmrk--12"><div class="article-content"><div></div><div>  
</div></div></div>### .PFX a .PEM

<div class="article-content" id="bkmrk--13"><div class="article-content"><div class="article-content"><div>  
</div><div></div></div></div></div>```shell
openssl pkcs12 -in certificado.pfx -out certificado.cer -nodes
```

<div class="article-content" id="bkmrk--14"><div class="article-content"><div></div><div>  
</div></div></div>### x509 a .PEM

<div class="article-content" id="bkmrk--15"><div class="article-content"><div class="article-content"><div>  
</div><div></div></div></div></div>```shell
openssl x509 -in certificado.cer -outform PEM -out certificado.pem
```

<div class="article-content" id="bkmrk--16"><div class="article-content"><div></div><div>  
</div></div></div>### PKCS7 a .PEM

<div class="article-content" id="bkmrk--17"><div class="article-content"><div class="article-content"><div><div>  
</div><div></div></div></div></div></div>```shell
openssl pkcs7 -print_certs -in certificado.p7b -out certificado.pem
```

<div class="article-content" id="bkmrk--18"><div class="article-content"><div><div></div><div>  
</div></div></div></div>### .PFX a PKC#8

<div class="article-content" id="bkmrk-este-comando-requier-0"><div class="article-content"><div>Este comando requiere dos pasos</div><div>Convertir PFX a PEM</div><div></div></div></div>```shell
openssl pkcs12 -in certificado.pfx -out certificado.cer -nodes
```

<div class="article-content" id="bkmrk-convertir-pem-a-pkc%23"><div class="article-content"><div></div><div>Convertir PEM a PKC#8</div><div></div></div></div>```shell
openSSL pkcs8 -in certificado.pem -topk8 -nocrypt -out certificado.pk8
```

# Formatos de los certificados

<div id="bkmrk-un-certificado-ssl-e">Un certificado SSL es esencialmente un certificado X.509. X.509 es un estándar que define la estructura del certificado. Define los campos de datos que deben incluirse en el certificado SSL. X.509 utiliza un lenguaje formal llamado notación de sintaxis abstracta uno ( Abstract Syntax Notation One) o ASN.1, para expresar la estructura de datos del certificado.</div><div id="bkmrk-">  
</div><div id="bkmrk-existen-diferentes-f"><div>Existen diferentes formatos de certificados X.509 como PEM, DER, PKCS # 7 y PKCS # 12. Los formatos PEM y PKCS # 7 usan codificación ASCII Base64 mientras que DER y PKCS # 12 usan codificación binaria. Los archivos de certificado tienen diferentes extensiones según el formato y la codificación que utilizan.</div><div>  
</div><div>La siguiente figura ilustra los formatos de codificación del certificado X.509 y las extensiones de archivo</div></div><div id="bkmrk--0">[![certificados.png](https://tecnocratica.net/wikicratica/uploads/images/gallery/2022-05/scaled-1680-/H0DPxGZRLMcRUaC5-certificados.png)](https://tecnocratica.net/wikicratica/uploads/images/gallery/2022-05/H0DPxGZRLMcRUaC5-certificados.png)</div><div id="bkmrk--1"></div>## Formato PEM

<div id="bkmrk-la-mayor%C3%ADa-de-las-ca"><div><div><div>  
</div><div>La mayoría de las CA (Autoridad de certificación) proporcionan certificados en formato PEM en archivos codificados ASCII Base64. Los tipos de archivo de certificado pueden ser .pem, .crt, .cer o .key. El archivo .pem puede incluir el certificado del servidor, el certificado intermedio y la clave privada en un solo archivo. El certificado del servidor y el certificado intermedio también pueden estar en un archivo .crt o .cer separado. La clave privada puede estar en un archivo .key.</div><div>  
</div><div>Los archivos PEM usan codificación ASCII, por lo que puede abrirlos en cualquier editor de texto, como el bloc de notas, MS word, etc. Cada certificado en el archivo PEM está contenido entre el ---- BEGIN CERTIFICATE ---- y ---- END CERTIFICATE ---- declaraciones. La clave privada está contenida entre las declaraciones ---- BEGIN RSA PRIVATE KEY ----- y ----- END RSA PRIVATE KEY -----. El CSR está contenido entre las declaraciones ----- BEGIN CERTIFICATE REQUEST ----- y ----- END CERTIFICATE REQUEST ----  
</div></div><div>  
</div></div></div>## Formato PKCS # 7

<div id="bkmrk-el-formato-pkcs-%23-7-"><div><div><div>  
</div><div>El formato PKCS # 7 es un estándar de sintaxis de mensajes criptográficos. El certificado PKCS # 7 utiliza la codificación ASCII Base64 con la extensión de archivo .p7b o .p7c. Solo los certificados se pueden almacenar en este formato, no las claves privadas. Los certificados P7B están contenidos entre las declaraciones "----- BEGIN PKCS7 -----" y "----- END PKCS7 -----".</div></div><div>  
</div></div></div>## Formato DER

<div id="bkmrk-los-certificados-der"><div><div><div>  
</div><div>Los certificados DER están en forma binaria, contenidos en archivos .der o .cer. Estos certificados se utilizan principalmente en servidores web basados en Java.</div></div><div>  
</div></div></div>## Formato PKCS # 12

<div id="bkmrk-los-certificados-pkc"><div><div>  
</div><div>Los certificados PKCS # 12 están en forma binaria, contenidos en archivos .pfx o .p12.</div><div>  
</div><div>El PKCS # 12 puede almacenar el certificado del servidor, el certificado intermedio y la clave privada en un único archivo .pfx con protección por contraseña. Estos certificados se utilizan principalmente en la plataforma Windows.</div></div></div>