La función, como habrás visto en la documentación, que no explica gran cosa, tiene el footprint
openssl_pkcs12_export(
$cert,
$pfx_contenido,
$private_key,
$pfx_password,
[ 'extracerts' => $extracerts]
);
Donde
$cert
es un string con el certificado X509 en formato pem.
$pfx_contenido
es la variable que alojará el contenido del pfx
$private_key
es un string con la llave privada en formato pem
$pfx_password
es la clave que quieras ponerle al contenido del pfx (puede ser null)
- El parámetro final es un array de opciones que es donde iría, si deben ir, los CAcerts con la llave
extracerts
, cuyo valor puede ser un string o un arreglo de strings si es una cadena de autoridad de más de un certificado
Para revisar la forma que deben tener estos strings, dado que en tu ambiente de desarrollo sí puedes ejecutar openssl, sugiero que hagas primero el proceso inverso:
openssl_pkcs12_read($pfx_contenido, $certs, $pfx_password)
Que llenará $certs
con un array de tres llaves
dump($certs);
array:3 [
"cert" => """
-----BEGIN CERTIFICATE-----\n
MIIGdDCCBVygAwIBAgIDAvmEMA0GCSqGSIb3DQEBCwUAMIGmMQswCQYDVQQGEwJD\n
TDEYMBYGA1UEChMPQWNlcHRhLmNvbSBTLkEuMUgwRgYDVQQDEz9BY2VwdGEuY29t\n
IEF1dG9yaWRhZCBDZXJ0aWZpY2Fkb3JhIENsYXNlIDIgUGVyc29uYSBOYXR1cmFs\n
IC0gRzQxHjAcBgkqhkiG9w0BCQEWD2luZm9AYWNlcHRhLmNvbTETMBEGA1UEBRMK\n
OTY5MTkwNTAtODAeFw0xOTAyMjExMzM4NDBaFw0yMjAyMjExMzM4NDBaMIGMMQsw\n
CQYDVQQGEwJDTDEYMBYGA1UEDBMPUEVSU09OQSBOQVRVUkFMMSowKAYDVQQDEyFG\n
RUxJUEUgRVNURUJBTiBGSUdVRVJPQSBGQUdBTkRJTkkxIjAgBgkqhkiG9w0BCQEW\n
E2ZmaWd1ZXJvYUBjd
"""…1797
"pkey" => """
-----BEGIN PRIVATE KEY-----\n
MIIEvQIBADANBgkqhkiG9w0BAQEFAASCBKcwggSjAgEAAoIBAQDdyXFlQq0CG2PQ\n
h0E2Ox5zt8xrLhUvbcv+kUMzKiPCUtOLnMLfRNGApHgfewdxdVDgUNn5CGHpbZxd\n
KmJgL8zEh5NkFkAAidiZrB4ywcVI1VMvsfN60dJoY2U3F7py3/rWALEfb0jh5/ro\n
jBQwoIaFeoR5cFuZ5HBJnZ8FzpalC9nyvrCArqXLOtqe+5hAcqNaJFjLjk+5iAzX\n
cBxtUjq7j45wXh6be00mlCuWTIbBPRFHWD9XUgTyqR7SXVf6APwkYrqHGO9TlnIq\n
VnWzSt7/Sq4YAt5RcSIbCFb/Gt8Vklj/ppCaSHnNFgHn241ZMnOMDWS9JQFxg2g8\n
d9gnhnvnAgMBAAECggEASY+r/cMMsRs2kw6ZcYxQQF9g/NevDSkktQ2nNUwvyh9A\n
rRjUhctElZ93fDGJO
"""…1204
"extracerts" => array:2 [
0 => """
-----BEGIN CERTIFICATE-----\n
MIIGAjCCBOqgAwIBAgIBATANBgkqhkiG9w0BAQsFADCBkzELMAkGA1UEBhMCQ0wx\n
GDAWBgNVBAoTD0FjZXB0YS5jb20gUy5BLjE1MDMGA1UEAxMsQWNlcHRhLmNvbSBB\n
dXRvcmlkYWQgQ2VydGlmaWNhZG9yYSBSYWl6IC0gRzQxHjAcBgkqhkiG9w0BCQEW\n
D2luZm9AYWNlcHRhLmNvbTETMBEGA1UEBRMKOTY5MTkwNTAtODAeFw0xNjA2MjEx\n
NDE0NTlaFw0zNjA2MjExNDE0NTlaMIGTMQswCQYDVQQGEwJDTDEYMBYGA1UEChMP\n
QWNlcHRhLmNvbSBTLkEuMTUwMwYDVQQDEyxBY2VwdGEuY29tIEF1dG9yaWRhZCBD\n
ZXJ0aWZpY2Fkb3JhIFJhaXogLSBHNDEeMBwGCSqGSIb3DQEJARYPaW5mb0BhY2Vw\n
dGEuY29tMRMwEQYDV
"""…1643
1 => """
-----BEGIN CERTIFICATE-----\n
MIIGFTCCBP2gAwIBAgIBCTANBgkqhkiG9w0BAQsFADCBkzELMAkGA1UEBhMCQ0wx\n
GDAWBgNVBAoTD0FjZXB0YS5jb20gUy5BLjE1MDMGA1UEAxMsQWNlcHRhLmNvbSBB\n
dXRvcmlkYWQgQ2VydGlmaWNhZG9yYSBSYWl6IC0gRzQxHjAcBgkqhkiG9w0BCQEW\n
D2luZm9AYWNlcHRhLmNvbTETMBEGA1UEBRMKOTY5MTkwNTAtODAeFw0xNjA2MjEx\n
NDE0NTlaFw0zNjA2MjExNDE0NTlaMIGmMQswCQYDVQQGEwJDTDEYMBYGA1UEChMP\n
QWNlcHRhLmNvbSBTLkEuMUgwRgYDVQQDEz9BY2VwdGEuY29tIEF1dG9yaWRhZCBD\n
ZXJ0aWZpY2Fkb3JhIENsYXNlIDIgUGVyc29uYSBOYXR1cmFsIC0gRzQxHjAcBgkq\n
hkiG9w0BCQEWD2luZ
"""…1671
]
]
Lo que obtengas de ello puedes escribirlo en sus respectivos archivos, aunque no se me ocurre cómo guardar los ca_certs en un solo archivo como no sea concatenando con alguna convención (ej doble o triple salto de línea) cosa de que, cuando se haga el proceso de leer el archivo para generar el pfx en producción, sea trivial explotar ese string.
Otros tipos de parámetros aceptados
En la sección Key/Certificate parameters se menciona además que no solamente puedes pasar strings a esta función. También puedes pasarle un resource o la ruta a un archivo PEM. En el caso de resource podría ser:
// certificado
$crtResource = openssl_x509_read($cert);
// llave privada
$privateKeyResource = openssl_get_privatekey($private_key, $password | null);
ojo, el password de la llave privada no tiene por qué ser el mismo que el del pfx. En el ejemplo que puse al principio la llave se obtiene leyendo el pfx y se recibe sin password.
¿Para qué molestarse envolviendo los strings perfectamente válidos $cert
y $private_key
? Se me ocurre que es porque a partir de PHP8 esas funciones devuelven una instancia de OpenSSLCertificate y OpenSSLAsymmetricKey, las cuales permiten más typechecking que el resource genérico.