证书格式转换

在不同服务器与面板之间迁移证书时转换格式，支持 PEM 与 DER 互转、证书链打包 PKCS#7、合并导出 PFX。

本地计算数据不落盘

选择输入与目标格式全部本地转换

证书内容多张证书可用于生成链与 PFX 时的中间证书。

私钥（仅 PFX 与私钥转换需要）私钥仅在本次请求内使用，不会写入磁盘。

转换目标

PFX / JKS 与私钥转换需要提供私钥；DER 只输出第一张证书，P7B 输出全部证书。

PFX / JKS 密码密码只用于本次导出，不会保存。

JKS 别名（alias） Tomcat 的 keystoreAlias；同时作为下载文件名。

上传证书文件.pem / .crt / .cer

上传私钥文件.key / .pem

反向：从 JKS 密钥库导出 Tomcat / Java 迁移

上传 Tomcat 使用的 keystore（.jks，纯 PHP 解析，不上传服务器外部）。导出后可直接给 Nginx / Apache 用，或转成 PFX 给 IIS / 宝塔用。

上传 JKS 密钥库.jks / keystore / .bks 不支持

密钥库密码（storepass）仅用于本次解密，不保存。

私钥密码（keypass） Tomcat 配置里 keystorePass 与 keyPass 常不同。

别名（可留空） Tomcat 的 keystoreAlias。

导出为

PFX 新密码导出 PFX 时的保护密码。

格式选择建议

服务器 / 场景	推荐格式	说明
Nginx / Apache / 宝塔	PEM 证书链 + PEM 私钥	证书在前、中间证书在后，私钥单独文件。
Windows IIS	PFX / P12	证书与私钥打包，导入时输入密码。
Tomcat / Java（JKS）	JKS	证书 + 私钥打包为 .jks，别名默认 tomcat，密码至少 6 位；本页也支持反向从 JKS 导出 PEM / PFX。
仅接受 RSA 格式私钥的面板	PKCS#1 私钥	以 `BEGIN RSA PRIVATE KEY` 开头。

常见问题关于本工具的说明与边界

支持 PEM、DER、PKCS#7（P7B）、PFX/P12 之间的互转，也可读取与生成 Java KeyStore（.jks）；证书链可打包为 PKCS#7，私钥可在 PKCS#1 与 PKCS#8 之间转换。

不需要。本站用纯 PHP 按 JKS 文件结构解析与生成，Tomcat、WebLogic 等场景可直接导出 .jks；密码按 UTF-16BE 处理，与原 keytool 生成的文件双向兼容。

不会。私钥、证书与口令只在本次请求的内存中参与转换，结果以文本或下载链接返回，服务器不做落盘存储，也不会转发给任何第三方。