Convertir PEM a PDF

Es posible que sea necesario incluir un certificado o una clave pública en un PDF para un registro de auditoría, un caso de soporte, un paquete de aprobación, la impresión o la documentación a largo plazo. El PDF es únicamente una instantánea legible; los servidores, navegadores y las herramientas criptográficas siguen requiriendo el formato de certificado PEM, DER, PKCS#12 u otro formato compatible original.

Qué contiene PEM

PEM, originalmente “Privacy-Enhanced Mail”, es una codificación de texto y una convención de contenedor para datos criptográficos. Almacena bloques codificados en Base64 entre etiquetas como -----BEGIN CERTIFICATE----- y -----END CERTIFICATE-----.

Las autoridades de certificación, OpenSSL, los servidores web, los proxies inversos, las VPN, los servicios en la nube y las herramientas relacionadas con SSH utilizan archivos PEM para certificados X.509, cadenas de certificados, solicitudes de firma de certificados (CSR), claves públicas y claves privadas. Las extensiones de archivo no son identificadores fiables: .pem, .crt y .cer pueden contener texto PEM, mientras que .cer también puede contener datos binarios DER.

Inspeccione la etiqueta del bloque antes de compartir o convertir un archivo. Los archivos que contienen BEGIN PRIVATE KEY, BEGIN ENCRYPTED PRIVATE KEY, BEGIN RSA PRIVATE KEY o BEGIN EC PRIVATE KEY contienen material de clave privada y no deben cargarse en convertidores en línea, enviarse por correo electrónico ni incluirse en la documentación rutinaria.

Qué proporciona PDF

PDF es un formato de documento de diseño fijo para visualización, impresión e intercambio de documentos. Un PDF basado en texto conserva el texto PEM seleccionable y los campos de certificado decodificados, lo que facilita revisar y copiar números de serie, huellas digitales SHA-256, sujetos, emisores y fechas de validez en comparación con una captura de pantalla o una página escaneada.

Un PDF no puede utilizarse como archivo ssl_certificate, importarse como un certificado o una clave normal, ni pasarse a OpenSSL como entrada PEM. Convertir un archivo PEM a PDF no lo valida, no cambia sus propiedades criptográficas ni lo hace adecuado para la configuración de TLS.

Crear un registro PDF a partir de un certificado

Para un certificado X.509, decodifique sus campos localmente con OpenSSL:

openssl x509 -in certificate.pem -text -noout > certificate-details.txt

Compruebe la identidad y la validez del certificado antes de exportarlo:

openssl x509 -in certificate.pem -noout -subject -issuer -dates -fingerprint -sha256

Para conservar tanto el bloque de certificado público original como sus campos decodificados, cree un registro de texto:

{
  echo "Original PEM"
  cat certificate.pem
  echo
  echo "Decoded certificate details"
  openssl x509 -in certificate.pem -text -noout
} > certificate-record.txt

Abra certificate-record.txt en LibreOffice Writer, Microsoft Word u otro editor que exporte texto correctamente. Utilice una fuente monoespaciada como Consolas, Courier New o Liberation Mono y, a continuación, exporte con LibreOffice File → Export As → Export as PDF o Word File → Save As → PDF.

LibreOffice puede realizar una conversión básica mediante la línea de comandos:

libreoffice --headless --convert-to pdf certificate-record.txt

En Windows, también funciona File → Print → Microsoft Print to PDF. En macOS, utilice File → Print → Save as PDF. Verifique visualmente el PDF resultante, ya que el ajuste de línea puede dividir líneas Base64 largas o huellas digitales.

Otros tipos de bloques PEM

Para un CSR, utilice:

openssl req -in request.pem -text -noout > request-details.txt

Para una clave pública PEM, utilice:

openssl pkey -pubin -in public-key.pem -text -noout > public-key-details.txt

No genere un registro PDF a partir de una clave privada a menos que un procedimiento de seguridad controlado lo requiera explícitamente. Si dicha documentación es inevitable, redacte el bloque de la clave y registre únicamente información no secreta, como el algoritmo de la clave, su tamaño, la huella digital de la clave pública y la referencia de gestión.

Conversión en línea y límites de compatibilidad

CloudConvert y Zamzar pueden convertir un archivo .txt preparado a PDF, pero representan texto; no decodifican, validan ni comprenden de forma fiable los objetos PEM. Utilícelos únicamente para material público no sensible después de revisar el contenido del archivo. Mantenga las cadenas de certificados, los datos de identidad de los certificados de cliente, los nombres de host internos y todas las claves privadas en sistemas locales siempre que sea posible.

Una cadena PEM contiene varios bloques BEGIN CERTIFICATE. Conserve su orden en el PDF, ya que las implementaciones de TLS normalmente requieren el certificado final seguido de los certificados intermedios; no incluya el certificado raíz a menos que el procedimiento receptor lo solicite específicamente.

Exporte texto seleccionable en lugar de un PDF escaneado o rasterizado. Una imagen rasterizada puede dificultar copiar, buscar, comparar y verificar de forma independiente una huella digital o un bloque PEM.

Firmar digitalmente un PDF existente con un certificado PEM es una operación independiente, no una conversión de archivos. Requiere la clave privada correspondiente, el certificado de firma y, a menudo, su cadena, además de software de firma de PDF compatible con credenciales PEM; nunca revele la clave privada simplemente para crear o firmar un PDF.