O corpo é o base64 padrão (não base64url) dos bytes DER, por convenção em linhas de 64 caracteres. Os rótulos da RFC 7468 incluem CERTIFICATE, X509 CRL, CERTIFICATE REQUEST, PKCS7, CMS, PRIVATE KEY (PKCS #8), ENCRYPTED PRIVATE KEY e PUBLIC KEY (SPKI). Os formatos tradicionais do OpenSSL acrescentam RSA PRIVATE KEY, EC PRIVATE KEY e RSA PUBLIC KEY, e chaves criptografadas antigas trazem os cabeçalhos Proc-Type: 4,ENCRYPTED e DEK-Info, herdados do Privacy-Enhanced Mail (correio com privacidade aprimorada), de 1993.
Um arquivo PEM pode conter vários objetos: uma cadeia de certificados (o certificado folha primeiro) ou uma chave seguida do seu certificado. É permitido haver texto antes dos blocos ou entre eles, e é assim que a saída de openssl x509 -text pode ficar ao lado do base64.
Os erros comuns vêm do rótulo, não do base64: no start line (rótulo errado ou um arquivo DER passado como PEM), expecting: ANY PRIVATE KEY (uma chave pública onde se esperava uma chave privada), danos causados por CRLF ou por espaços em branco e a falta da quebra de linha final em parsers estritos. A conversão não perde informação: openssl x509 -outform DER e o caminho inverso.