Convertir PEM en PDF

Un certificat ou une clé publique peut devoir être placé dans un PDF pour constituer un dossier d’audit, un ticket de support, un dossier d’approbation, une impression ou une documentation à long terme. Le PDF est uniquement un instantané lisible ; les serveurs, les navigateurs et les outils cryptographiques nécessitent toujours le format de certificat d’origine PEM, DER, PKCS#12 ou tout autre format pris en charge.

Contenu d’un fichier PEM

PEM, à l’origine « Privacy-Enhanced Mail », est une convention d’encodage texte et de conteneur pour les données cryptographiques. Il stocke des blocs encodés en Base64 entre des étiquettes telles que -----BEGIN CERTIFICATE----- et -----END CERTIFICATE-----.

Les autorités de certification, OpenSSL, les serveurs web, les reverse proxies, les VPN, les services cloud et les outils associés à SSH utilisent des fichiers PEM pour les certificats X.509, les chaînes de certificats, les demandes de signature de certificat (CSR), les clés publiques et les clés privées. Les extensions de fichier ne constituent pas des identifiants fiables : .pem, .crt et .cer peuvent contenir du texte PEM, tandis que .cer peut également contenir des données binaires DER.

Inspectez l’étiquette du bloc avant de partager ou de convertir un fichier. Les fichiers contenant BEGIN PRIVATE KEY, BEGIN ENCRYPTED PRIVATE KEY, BEGIN RSA PRIVATE KEY ou BEGIN EC PRIVATE KEY contiennent des éléments de clé privée et ne doivent pas être téléversés vers des convertisseurs en ligne, envoyés par e-mail ou inclus dans une documentation courante.

Fonctionnalités du PDF

PDF est un format de document à mise en page fixe destiné à la consultation, à l’impression et à l’échange de documents. Un PDF textuel conserve le texte PEM sélectionnable et les champs de certificat décodés, ce qui facilite la vérification et la copie des numéros de série, des empreintes SHA-256, des sujets, des émetteurs et des dates de validité par rapport à une capture d’écran ou à une page numérisée.

Un PDF ne peut pas être utilisé comme fichier ssl_certificate, importé comme certificat ou clé standard, ni transmis à OpenSSL comme entrée PEM. La conversion d’un fichier PEM en PDF ne le valide pas, ne modifie pas ses propriétés cryptographiques et ne le rend pas adapté à une configuration TLS.

Créer un dossier PDF à partir d’un certificat

Pour un certificat X.509, décodez localement ses champs avec OpenSSL :

openssl x509 -in certificate.pem -text -noout > certificate-details.txt

Vérifiez l’identité et la validité du certificat avant l’exportation :

openssl x509 -in certificate.pem -noout -subject -issuer -dates -fingerprint -sha256

Pour conserver à la fois le bloc de certificat public d’origine et ses champs décodés, créez un enregistrement texte unique :

{
  echo "Original PEM"
  cat certificate.pem
  echo
  echo "Decoded certificate details"
  openssl x509 -in certificate.pem -text -noout
} > certificate-record.txt

Ouvrez certificate-record.txt dans LibreOffice Writer, Microsoft Word ou un autre éditeur qui exporte proprement le texte. Utilisez une police à chasse fixe telle que Consolas, Courier New ou Liberation Mono, puis exportez avec LibreOffice File → Export As → Export as PDF ou Word File → Save As → PDF.

LibreOffice peut effectuer une conversion de base en ligne de commande :

libreoffice --headless --convert-to pdf certificate-record.txt

Sous Windows, File → Print → Microsoft Print to PDF fonctionne également. Sous macOS, utilisez File → Print → Save as PDF. Vérifiez visuellement le PDF obtenu, car le retour à la ligne peut fractionner les longues lignes Base64 ou les empreintes.

Autres types de blocs PEM

Pour une CSR, utilisez :

openssl req -in request.pem -text -noout > request-details.txt

Pour une clé publique PEM, utilisez :

openssl pkey -pubin -in public-key.pem -text -noout > public-key-details.txt

Ne générez pas de dossier PDF à partir d’une clé privée, sauf si une procédure de sécurité contrôlée l’exige explicitement. Si cette documentation est inévitable, masquez le bloc de clé lui-même et consignez uniquement les informations non secrètes, telles que l’algorithme de la clé, sa taille, l’empreinte de la clé publique et la référence de traitement.

Conversion en ligne et limites de compatibilité

CloudConvert et Zamzar peuvent convertir un fichier .txt préparé en PDF, mais ils effectuent un rendu du texte ; ils ne décodent, ne valident et ne comprennent pas de manière fiable les objets PEM. Utilisez-les uniquement pour du contenu public non sensible, après avoir vérifié le contenu du fichier. Conservez si possible les chaînes de certificats, les données d’identité des certificats client, les noms d’hôte internes et toutes les clés privées sur des systèmes locaux.

Une chaîne PEM contient plusieurs blocs BEGIN CERTIFICATE. Conservez leur ordre dans le PDF, car les déploiements TLS nécessitent normalement le certificat feuille suivi des certificats intermédiaires ; n’incluez pas le certificat racine, sauf si la procédure destinataire le demande expressément.

Exportez du texte sélectionnable plutôt qu’un PDF numérisé ou rastérisé. Une image raster peut rendre une empreinte ou un bloc PEM difficile à copier, rechercher, comparer et vérifier indépendamment.

La signature numérique d’un PDF existant avec un certificat PEM est une opération distincte, et non une conversion de fichier. Elle nécessite la clé privée correspondante, le certificat de signature et souvent sa chaîne, ainsi qu’un logiciel de signature PDF prenant en charge les identifiants PEM ; ne divulguez jamais la clé privée simplement pour créer ou signer un PDF.