Der Inhalt ist die base64-Kodierung der DER-Bytes im Standardalphabet (nicht base64url), üblicherweise in Zeilen mit 64 Zeichen. Zu den Labels aus RFC 7468 gehören CERTIFICATE, X509 CRL, CERTIFICATE REQUEST, PKCS7, CMS, PRIVATE KEY (PKCS #8), ENCRYPTED PRIVATE KEY und PUBLIC KEY (SPKI). Die traditionellen Formate von OpenSSL ergänzen RSA PRIVATE KEY, EC PRIVATE KEY und RSA PUBLIC KEY, und alte verschlüsselte Schlüssel tragen die Header Proc-Type: 4,ENCRYPTED und DEK-Info, ein Erbe von Privacy-Enhanced Mail aus dem Jahr 1993.
Eine PEM-Datei kann mehrere Objekte enthalten: eine Zertifikatskette (Leaf-Zertifikat zuerst) oder einen Schlüssel, gefolgt von seinem Zertifikat. Text vor oder zwischen den Blöcken ist erlaubt; deshalb kann die Ausgabe von openssl x509 -text neben dem base64 stehen.
Häufige Fehler gehen auf das Label zurück, nicht auf das base64: no start line (falsches Label oder eine DER-Datei, die als PEM übergeben wurde), expecting: ANY PRIVATE KEY (ein öffentlicher Schlüssel, wo ein privater Schlüssel erwartet wurde), Beschädigungen durch CRLF oder Whitespace und ein fehlender abschließender Zeilenumbruch bei strengen Parsern. Die Konvertierung ist verlustfrei: openssl x509 -outform DER und zurück.