PFX (PKCS#12) — fichier .pfx

Le PFX regroupe dans un seul fichier binaire un certificat numérique et sa clé privée associée, protégés par un mot de passe — contrairement à un simple certificat PEM ou DER, qui ne contient jamais de clé privée. C’est le format typique utilisé pour importer une identité complète (certificat plus clé) dans un navigateur ou un serveur, par exemple pour l’authentification client ou la signature de code.

Il n’existe pas de signature binaire dédiée et fiable. Comme les autres structures ASN.1 DER, le fichier commence par l’octet 0x30 (souvent suivi de 0x82), un motif générique de séquence ASN.1 partagé avec les certificats et de nombreuses autres structures cryptographiques — pas un identifiant propre au PKCS#12.

Le type MIME application/pkcs12 bénéficie d’un enregistrement IANA officiel depuis 2015, bien que l’ancien type non officiel application/x-pkcs12 reste très largement rencontré en pratique par habitude.

Microsoft a popularisé l’extension .pfx pour ce format dans son écosystème IIS et Windows, tandis que le nom PFX lui-même (“Personal Information Exchange”) provient d’un standard antérieur légèrement différent dont PKCS#12 s’est directement inspiré.

Un même conteneur PFX peut regrouper plusieurs identités (couples clé privée/certificat) ainsi que des certificats de confiance additionnels, ce qui permet d’importer en une seule opération à la fois un certificat serveur et toute sa chaîne d’autorités intermédiaires.

Le gestionnaire IIS de Windows Server exige précisément ce format PFX lors de la liaison d’un certificat SSL/TLS à un site web via son assistant graphique, l’administrateur important directement le fichier plutôt que de manipuler séparément la clé privée et le certificat comme le ferait un serveur web sous Linux avec des fichiers PEM distincts.