.pfx 证书和 .cer 证书

一般状况下，做为文件形式存在的证书通常有三种格式：

• 第一种：带有私钥的证书，由Public Key Cryptography Standards #12，PKCS#12标准定义，包含了公钥和私钥的二进制格式的证书形式，以.pfx做为证书文件后缀名。
• 第二种：DER Encoded Binary (.cer)  二进制编码的证书，证书中没有私钥，DER 编码二进制格式的证书文件，以.cer做为证书文件后缀名。
• 第三种：Base64 Encoded(.cer)，Base64编码的证书，证书中没有私钥，BASE64 编码格式的证书文件，也是以.cer做为证书文件后缀名。

由定义能够看出，只有pfx格式的数字证书是包含有私钥的，cer格式的数字证书里面只有公钥没有私钥。

Cer证书只包含公钥信息，若是客户端与网站通讯时须要用到私钥（基本全部须要数字证书的网站都会用到私钥），则cer证书是没法正常访问网站的，网站会提示“该页要求客户证书”。因为cer证书只包含公钥信息，通常只能用于解密使用（解密该公钥对应的私钥加密的数据）。在申请证书的机器上存储了私钥信息，所以，能够把CER证书导入为PFX证书，并能够把PFX证书导出，这样其余机器就能够安装PFX证书了。

Pfx证书既能够导出为pfx证书，也能够导出为cer证书。Pfx证书导出时，会提示是否导出私钥，导出私钥即pfx证书，不导出私钥就是cer证书。若是选择导出私钥，出于安全性考虑，须要指定一个密码来保护该私钥，后续再次导入该pfx证书时，须要提供保护该私钥密码，才能在机器上安装证书。

一，证书描述

证书发布以后，申请者能够看到证书的详细内容，注意：申请者在下载cer证书以后，须要在申请证书的机器上导入证书，缘由是申请证书的机器上包含密钥。

证书给出了一个黄色的注意事项：您可能正在一个台计机器上下载证书，这台计算机与您请求证书的机器不一样。可是，该证书仅在生成请求的机器上起做用。若是须要把证书安装在另外一台服务器上，请首先将其安装在最初建立请求的机器上，而后使用其私钥导出证书。 而后，在须要时，能够把其导入到目标计算机或多台计算机上的本地计算机存储中。

因为申请证书的机器上存储私钥，所以，能够把CER证书导入为PFX证书，并能够把PFX证书导出，这样其余机器就能够安装PFX证书了。

二，导入证书

注意，第一次导入证书，只能把证书导入到申请证书的机器上。

step1：下载DER Encoded Binary (.cer)格式的证书

step2：打开Microsoft Management Console

点击“Windows + R”，输入mmc，打开MMC控制台。

step3：添加证书管理单元（snap-ins）

点击MMC的File菜单，选择“Add or Remove Snap-ins”，选择Certificates，点击“Add >”，选择 computer account，

下一步选择“Local computer: (the computer this consoled is running on)”，点击Finish按钮，

完成以后，在“Add or Remove Snap-ins”对话框上点击OK，返回到MMC界面。

step4：导入证书

在Console Root列表种选择"Certificates(Local Computer)"，右击Personal，导航到 All Tasks -> Import，打开“Certificate Import Wizard”

点击Next，进入到“File to Import”界面，在File name中打开已下载到本地的DER Encoded Binary (.cer)格式的证书

Step5，选择证书存储

点击Next，进入到“Certificate Store”界面，选择Place certificates in the following store，把Personal做为 certificate store。

一般导入PFX的证书，默认的证书存储都是在Personal下，Cer证书只能导入导Other选项卡下，没法导入到Personal选项卡下。

Step6，检查证书导入的配置

点击Next，检查证书的配置，点击Finish完成证书的第一次导入：

三，导出.pfx证书

把.cer 证书导入到机器上以后，能够导出.pfx证书。在MMC的Certificates列表中，找到刚才导入的证书：

step1，打开"Certificate Export Wizard"

选中导入的证书，右击弹出快捷菜单，导航 All Tasks-> Export，打开"Certificate Export Wizard"：

step2： 导出私钥

私钥是用密码保护，若是想要把私钥导出，那么必须用密码来保护私钥。默认是不会导出私钥，可是若是须要在其余机器上安装证书，那么就必须导出私钥，勾选“Yes, export the private key”：

step3：设置导出文件的格式

把导出文件的格式设置为.PFX，在“Personal Information Exchange-PKCS #12 (.PFX)”中，勾选“Include all certificates in the certification path if possible” 和 “Enable certificate privacy”。

Step4：安全设置

为了保护私钥， 能够把私钥受权给特定的group或user，并使用密码对私钥进行加密，用户只有同时得到pfx文件和密码，才能够得到私钥和证书。

Encryption列表中列出了对私钥进行加密的两种算法，选择任意一个加密算法均可以：

若是导出私钥（pfx)是须要输入密码的，这个密码就是对私钥再次加密，这样就保证了私钥的安全，别人即便拿到了你的证书备份（pfx)，若是不知道加密私钥的密码，那么没法导入证书。相反，若是只是导入/导出cer格式的证书，是不会提示你输入密码的。由于公钥通常来讲是对外公开的，不用加密。

Step5，设置导出的文件

把PFX文件导出到特定的文件中，须要设置pfx证书保存的文件名和路径：

Step6：检查证书导出向导的设置

 检查无误后，点击Finish，导出pfx证书。

 

 

参考文档：