openssl_pkcs12_export_to_file

<?php
// Privaten Schlüssel erzeugen
$privateKey = openssl_pkey_new([
    'private_key_bits' => 2048,
    'private_key_type' => OPENSSL_KEYTYPE_RSA,
]);

// CSR erzeugen
$dn = [
    'commonName'             => 'example.com',
    'organizationName'       => 'Meine Firma GmbH',
    'countryName'            => 'DE',
];
$csr = openssl_csr_new($dn, $privateKey);

// Selbstsigniertes Zertifikat erzeugen (gültig 365 Tage)
$certificate = openssl_csr_sign($csr, null, $privateKey, 365);

// Als PKCS#12-Datei exportieren
$outputFile  = '/tmp/mein-zertifikat.pfx';
$passphrase  = 'geheimesPasswort123!';

$options = [
    'friendly_name' => 'example.com Zertifikat',
];

if (openssl_pkcs12_export_to_file($certificate, $outputFile, $privateKey, $passphrase, $options)) {
    echo "PKCS#12-Datei erfolgreich erstellt: {$outputFile}" . PHP_EOL;
} else {
    echo 'Fehler beim Erstellen der PKCS#12-Datei: ' . openssl_error_string() . PHP_EOL;
}

openssl_pkey_free($privateKey);

<?php
// Vorhandene PEM-Dateien laden
$certPem       = file_get_contents('/etc/ssl/certs/mein-server.crt');
$keyPem        = file_get_contents('/etc/ssl/private/mein-server.key');
$intermediatePem = file_get_contents('/etc/ssl/certs/intermediate-ca.crt');

$certificate = openssl_x509_read($certPem);
$privateKey  = openssl_pkey_get_private($keyPem);

if ($certificate === false || $privateKey === false) {
    die('Zertifikat oder Schlüssel konnte nicht geladen werden: ' . openssl_error_string());
}

$options = [
    'friendly_name' => 'Produktions-Zertifikat',
    'extracerts'    => [$intermediatePem],
];

$success = openssl_pkcs12_export_to_file(
    $certificate,
    '/var/export/server-bundle.pfx',
    $privateKey,
    's3cur3P@ssphrase',
    $options
);

if ($success) {
    echo 'PKCS#12-Bundle mit CA-Kette erfolgreich exportiert.' . PHP_EOL;
} else {
    echo 'Export fehlgeschlagen: ' . openssl_error_string() . PHP_EOL;
}