PEM — fichier .pem

Le PEM encode en texte lisible (base64) des structures cryptographiques binaires — certificats X.509, clés publiques ou privées, requêtes de signature — encadrées par des lignes de délimitation explicites comme “—–BEGIN CERTIFICATE—–” et “—–END CERTIFICATE—–”. Cette lisibilité facilite grandement le transport par e-mail ou copier-coller, contrairement à l’encodage binaire brut DER.

Ce format n’a, par conception, aucune signature binaire : la spécification RFC 7468 précise explicitement que cet encodage textuel exclut tout en-tête ou signature binaire embarquée. C’est la ligne “—–BEGIN…” qui sert de marqueur d’identification, avec un libellé qui varie selon le type de contenu encapsulé (CERTIFICATE, PRIVATE KEY, PUBLIC KEY…).

Un même fichier .pem peut contenir plusieurs blocs à la suite — par exemple un certificat suivi de sa chaîne de certification complète — chacun délimité par ses propres marqueurs BEGIN/END, une structure couramment utilisée pour la configuration de serveurs web sécurisés.

Le format PEM lui-même hérite son nom d’un standard antérieur (Privacy Enhanced Mail, des années 1990) resté peu utilisé pour son usage d’origine mais dont l’encodage a survécu et s’est généralisé bien au-delà du seul e-mail sécurisé.

La quasi-totalité des serveurs web configurés avec TLS (Apache, Nginx) attendent leurs certificats et clés au format PEM, ce qui en fait l’encodage de facto le plus répandu pour la configuration HTTPS, devant le DER binaire réservé à des contextes plus spécifiques.

Le client Certbot du protocole ACME a généralisé une convention de nommage devenue quasi universelle en administration système : fullchain.pem pour le certificat accompagné de sa chaîne complète, et privkey.pem pour la clé privée associée, deux noms de fichiers immédiatement reconnus par la plupart des guides de configuration de serveur web actuels.