Convert CRT và KEY sang file PFX để cài SSL trên Windows Server chỉ trong 2 phút

Mua chứng chỉ SSL xong, nhiều bạn mở email xác thực ra chỉ thấy ba file tenmien.crt, tenmien.key và tenmien.ca mà không thấy file PFX đâu. Trong khi đó, Windows Server và IIS lại bắt buộc phải có file PFX mới cài được SSL. Đừng lo, bạn không cần mua lại chứng chỉ hay liên hệ nhà cung cấp. Chỉ với vài thao tác chuẩn bị file và một công cụ convert online miễn phí, bạn sẽ có ngay file PFX để cài đặt.

Mục chính của bài

File PFX là gì? Vì sao Windows Server cần file này?

PFX (còn gọi là PKCS#12, đuôi .pfx hoặc .p12) là định dạng file gộp chứng chỉ SSL, khóa riêng (private key) và chuỗi chứng chỉ trung gian vào chung một file duy nhất. Trong khi đó, các nhà cung cấp SSL thường cấp chứng chỉ dưới dạng các file rời rạc: file .crt chứa chứng chỉ của tên miền, file .ca chứa chứng chỉ trung gian (chain) và file .key chứa khóa riêng.

Trên Linux, các webserver như Apache hay Nginx đọc trực tiếp từng file rời này nên không cần convert. Nhưng Windows Server thì khác: kho chứng chỉ của Windows và IIS chỉ import được định dạng PFX. Vì vậy, muốn cài SSL cho website chạy trên Windows Server, bạn bắt buộc phải convert bộ ba file CRT, KEY, CA thành một file PFX trước.

Chuẩn bị file trước khi convert

Trước khi convert, bạn cần chuẩn bị đúng hai file có cùng tên (chỉ khác đuôi): file .crt đã gộp chuỗi trung gian và file .key chứa khóa riêng, ví dụ thuviencodoc.org.crt và thuviencodoc.org.key.

Bước 1: Gộp nội dung file .ca vào file .crt

Mở file .crt bằng Notepad, kéo xuống cuối file rồi dán toàn bộ nội dung của file .ca vào ngay sau đó, sau đó lưu lại. Nếu nhà cung cấp hiển thị chứng chỉ trên trang quản lý thay vì gửi file, bạn copy toàn bộ nội dung ở mục Certificate (CRT) rồi copy tiếp nội dung ở mục Intermediate/Chain files dán nối vào chung một file, lưu lại với tên tenmien.crt.

Bước 2: Lấy nội dung file .key

Trên trang quản lý chứng chỉ của nhà cung cấp, bạn bấm nút Get Private Key để xem nội dung khóa riêng. Copy toàn bộ đoạn text bắt đầu bằng -----BEGIN PRIVATE KEY-----, dán vào Notepad rồi lưu lại với tên tenmien.key (cùng tên với file CRT, chỉ khác đuôi). Lưu ý: file KEY chính là “chìa khóa” của chứng chỉ, ai có file này cũng có thể mạo danh website của bạn, vì vậy đừng gửi nó qua email hay chat công khai.

Các bước convert CRT và KEY sang PFX online

Sau khi đã có đủ hai file, bạn truy cập công cụ SSL Converter miễn phí tại https://www.httpcs.com/en/ssl-converter rồi kéo xuống mục CERTIFICATE CONVERSION và thao tác như sau:

Ô thứ nhất (Certificate to convert): bấm Choose Your File rồi chọn file tenmien.crt vừa chuẩn bị.
Ô thứ hai (CA Certificate): bỏ trống, vì chuỗi trung gian đã được gộp vào trong file CRT ở bước chuẩn bị.
Ô thứ ba (Private Key): bấm Private Key rồi chọn file tenmien.key.
Final conversion format: chọn PKCS#12/PFX (.pfx, .p12).
Bấm nút Convert rồi chờ giây lát (thường không quá 30 giây), trình duyệt sẽ tự động tải về file certificate.pfx.

Đổi tên file tải về thành tên dễ nhớ, ví dụ thuviencodoc.org.pfx, rồi lưu vào nơi an toàn.

Cách khác: convert bằng OpenSSL trên máy tính

Nếu bạn ngại upload khóa riêng lên công cụ online, có thể convert ngay trên máy tính bằng OpenSSL (cài sẵn trên Linux/macOS, trên Windows thì cài Git for Windows là có kèm OpenSSL). Mở terminal hoặc Command Prompt rồi chạy lệnh: openssl pkcs12 -export -out tenmien.pfx -inkey tenmien.key -in tenmien.crt. Lệnh sẽ hỏi mật khẩu để bảo vệ file PFX, bạn nhập hai lần giống nhau là xong. Cách này không cần đưa file KEY lên mạng nên an toàn hơn.

Import file PFX vào IIS trên Windows Server

Có file PFX trong tay, bạn import vào IIS như sau: mở IIS Manager, chọn tên máy chủ ở khung bên trái, mở mục Server Certificates rồi bấm Import ở khung Actions. Chọn file PFX vừa convert, nhập mật khẩu (nếu có đặt) rồi bấm OK. Sau đó, bạn mở website cần gắn SSL, chọn Bindings, thêm binding https cổng 443, chọn chứng chỉ vừa import rồi bấm OK. Truy cập lại website bằng https:// để kiểm tra: nếu trình duyệt hiện ổ khóa và không báo lỗi thì bạn đã cài đặt thành công.

Một vài lưu ý quan trọng

Đặt mật khẩu cho file PFX: hãy đặt mật khẩu mạnh và lưu lại cẩn thận, vì lúc import vào IIS bạn sẽ cần nhập lại mật khẩu này.
Giữ file KEY và PFX ở nơi an toàn: đừng để hai file này trong thư mục web public hay gửi qua kênh chat không mã hóa. Nếu lộ KEY, bạn nên thu hồi chứng chỉ cũ và cấp lại chứng chỉ mới.
Kiểm tra lại sau khi cài: sau khi import xong, bạn nên kiểm tra bằng công cụ SSL Checker online để chắc chắn chuỗi chứng chỉ đầy đủ và chứng chỉ còn hạn.
Nhớ gia hạn đúng hạn: chứng chỉ SSL thường có hạn 1 năm, bạn nên đặt nhắc gia hạn trước 1–2 tuần để website không bị gián đoạn.

Tóm lại, convert CRT và KEY sang PFX chỉ là bước “đóng gói” lại bộ chứng chỉ rời rạc thành một file duy nhất mà Windows Server hiểu được. Làm đúng hai bước chuẩn bị file rồi convert bằng công cụ online hoặc OpenSSL là bạn đã có file PFX trong tay, import vào IIS nữa là website chạy HTTPS ngay.

👉 Cần VPS để thực hành? Đăng ký VPS BNIX tại đây