Un fichier PKCS #12 est une structure PFX : un contenu sécurisé authentifié (authenticated safe) qui renferme des sacs (keyBag, pkcs8ShroudedKeyBag, certBag, crlBag, secretBag) avec des noms conviviaux et des identifiants de clé locaux, plus un MAC d’intégrité dérivé du mot de passe. La RFC 9579 (2024) ajoute PBMAC1, qui remplace par PBKDF2 l’ancienne dérivation de la clé MAC propre à PKCS #12.
Les algorithmes par défaut déterminent la compatibilité. pkcs12 -export d’OpenSSL 3.6.5 écrit de l’AES-256-CBC avec PBKDF2 (2048 itérations) pour les certificats comme pour les clés, et un MAC HMAC-SHA-256 ; avec -legacy, il écrit du RC2-40 pour les certificats, du 3DES pour la clé et un MAC HMAC-SHA-1, ce qu’exigent les anciennes versions de Windows, de macOS et de Java. Java utilise PKCS #12 comme type de magasin de clés par défaut depuis le JDK 9.
Des erreurs comme « mac verify failure » signifient généralement un mot de passe erroné, et « unsupported algorithm RC2-40-CBC » indique un ancien fichier ouvert sans le fournisseur legacy d’OpenSSL. L’inspecteur PFX liste localement les sacs et les algorithmes sans exporter la clé.