Δημιουργία PFX PFX / PKCS#12 Generator

Τι ελέγχουμε πριν φτιάξουμε το αρχείο

• Ότι το κλειδί ταιριάζει με το πιστοποιητικό — το συχνότερο λάθος. Ένα PFX με λάθος κλειδί δεν δουλεύει πουθενά, γι' αυτό σταματάμε εκεί.
• Τη σειρά της αλυσίδας: τα ενδιάμεσα μπαίνουν στη σωστή σειρά, όπως κι αν τα επικολλήσεις, και σε ειδοποιούμε αν λείπει αυτό που εξέδωσε το πιστοποιητικό σου ή αν κάποιο δεν ανήκει στην αλυσίδα.
• Τις ημερομηνίες: αν το πιστοποιητικό ή κάποιο ενδιάμεσο έχει λήξει.
• Μπερδεμένα πεδία: αν επικολλήσεις όλα μαζί σε ένα πεδίο (π.χ. ένα fullchain.pem με το κλειδί), τα ξεχωρίζουμε μόνοι μας. Αν βάλεις CSR αντί για πιστοποιητικό ή κλειδί SSH, σου το λέμε.

Δεχόμαστε κλειδιά RSA, ECDSA (P-256, P-384, P-521) και Ed25519, σε μορφή PKCS#8 (BEGIN PRIVATE KEY), RSA (BEGIN RSA PRIVATE KEY) ή EC (BEGIN EC PRIVATE KEY) — και κρυπτογραφημένα (BEGIN ENCRYPTED PRIVATE KEY ή Proc-Type: 4,ENCRYPTED) με AES ή 3DES. Πιστοποιητικά δεχόμαστε και σε δυαδική μορφή (DER, .cer) και σε .p7b.

TripleDES-SHA1 ή AES256-SHA256;

Είναι οι δύο επιλογές κρυπτογράφησης που βλέπεις και στον οδηγό εξαγωγής των Windows. Αν δεν αλλάξεις τίποτα, το εργαλείο χρησιμοποιεί το TripleDES-SHA1, που ανοίγει σε όλα τα συστήματα, και στα παλιά: Windows Server 2016 και παλαιότερα, Java 8, παλιές συσκευές Android. Το AES256-SHA256 (η προεπιλογή του OpenSSL 3) είναι ισχυρότερο, αλλά το αναγνωρίζουν μόνο τα Windows 10 (1709) / Server 2019 και νεότερα. Σε παλαιότερα Windows ένα PFX με AES βγάζει το παραπλανητικό μήνυμα «The password you entered is incorrect», ακόμη κι αν ο κωδικός είναι σωστός.

Με OpenSSL στον δικό σου server

Η ίδια μετατροπή με μία εντολή (στις ρυθμίσεις «Για προχωρημένους» τη βλέπεις με τα δικά σου στοιχεία):

openssl pkcs12 -export -out example.gr.pfx -inkey example.gr.key -in example.gr.crt -certfile ca-bundle.crt

Αν δεν έχεις ακόμη πιστοποιητικό, ξεκίνα από τον CSR Generator. Μετά την εγκατάσταση, έλεγξε το αποτέλεσμα με τον Έλεγχο SSL.

Στον υπολογιστή σου το site ανοίγει, σε κινητά και εφαρμογές όχι

Μετά την εγκατάσταση στο IIS, ο browser του γραφείου δείχνει κανονικά το λουκέτο, αλλά κάποια κινητά, εφαρμογές ή υπηρεσίες που συνδέονται στον server βγάζουν σφάλμα εμπιστοσύνης. Συνήθως το PFX φτιάχτηκε μόνο με το πιστοποιητικό, χωρίς τα ενδιάμεσα: κάποιοι browsers συμπληρώνουν μόνοι τους την αλυσίδα, άλλοι πελάτες όχι. Αν αφήσεις κενό το CA Bundle, το εργαλείο το σημειώνει και γράφει τον εκδότη που λείπει· αν βάλεις λάθος bundle, σε προειδοποιεί ότι δεν περιέχει το ενδιάμεσο που εξέδωσε το πιστοποιητικό σου.

Λύση: κατέβασε το σωστό bundle από την Αρχή Έκδοσης, φτιάξε ξανά το PFX μαζί του, κάνε ξανά εισαγωγή στο IIS και επιβεβαίωσε με τον Έλεγχο SSL ότι η αλυσίδα είναι πλήρης.

Ανανέωση: στο πεδίο μπήκαν και το παλιό και το νέο πιστοποιητικό

Στην ανανέωση είναι εύκολο να επικολλήσεις ό,τι βρεις στον φάκελο: το νέο πιστοποιητικό, το περσινό και τα ενδιάμεσα. Το εργαλείο κρατά ως κύριο αυτό που ταιριάζει με το κλειδί και σε ειδοποιεί για όποιο δεν ανήκει στην αλυσίδα του — συνήθως αυτό είναι το παλιό. Αν στη σύνοψη η ισχύς δείχνει την παλιά ημερομηνία λήξης, έχεις επικολλήσει και το παλιό κλειδί.

Λύση: σβήσε από το πεδίο το πιστοποιητικό που δεν ανήκει στην αλυσίδα, ώστε να μη μπει άσκοπα στο PFX, και χρησιμοποίησε το κλειδί που φτιάχτηκε μαζί με το CSR της ανανέωσης.

Στο IIS δεν ξεχωρίζεις το νέο πιστοποιητικό από το παλιό

Μετά την εισαγωγή του νέου PFX, η λίστα Server Certificates του IIS και η επιλογή στα Bindings δείχνουν εγγραφές με το ίδιο όνομα. Τα Windows εμφανίζουν το friendly name του αρχείου, και αν δεν δώσεις δικό σου, το εργαλείο βάζει το domain.

Λύση: στις ρυθμίσεις «Για προχωρημένους» γράψε friendly name που ξεχωρίζει, π.χ. example.gr 2026, φτιάξε ξανά το PFX και κάνε εισαγωγή. Διάλεξε αυτό στα Bindings και, μόλις βεβαιωθείς ότι δουλεύει, αφαίρεσε το παλιό.