PEMファイルとは？初心者向けにわかりやすく解説

セキュリティ開発•2025/1/23

PEMファイルの概要と用途

PEMファイルはテキスト形式で、暗号鍵や証明書などのデータをASCII文字列として表現する仕組みです。もともとはPrivacy-Enhanced Mailという仕組みから生まれましたが、現在ではSSL/TLSの鍵や証明書形式として広く使われるようになっています。

ファイル拡張子としては「.pem」がつけられることが多いですね。ただし中身は秘密鍵や公開鍵、証明書といったさまざまな要素を含む場合があります。この拡張子がついている場合、実際にはBASE64形式でエンコードされたテキストデータが入っていると思ってください。

プログラミング初心者の皆さんは「鍵」「暗号」と聞くと難しそうだと感じるかもしれません。しかしPEMファイルは、一見ややこしいバイナリデータをテキスト化して扱いやすくしているものです。

一方で、実務ではPEMが重要になる場面がたくさんあります。たとえばWebサーバーにSSL証明書を設定するときや、SSH認証鍵を取り扱うときなど、PEMのフォーマットに触れる機会が出てくることが多いのではないでしょうか。

PEMファイルに含まれる内容の具体例

PEMファイルは単なるテキストですが、内容はさまざまです。暗号鍵（秘密鍵）や公開鍵、SSLサーバー証明書、ルート証明書チェーンなど、複数のデータがまとまっていることもあります。

一般的に、PEMの本文には以下のような行が含まれるはずです。

-----BEGIN CERTIFICATE-----
(ここにBASE64形式のデータ)
-----END CERTIFICATE-----

このように「BEGIN」「END」で囲まれた部分がBASE64エンコードされた本体です。秘密鍵の場合は「CERTIFICATE」の代わりに「RSA PRIVATE KEY」などと書かれます。

鍵や証明書が明確に区切られているため、複数の鍵や証明書を連続してまとめることもあります。実際の運用では、サーバー証明書と中間証明書をセットにして1つのPEMファイルにまとめるケースが少なくありません。

鍵と証明書が混在している場合、読み間違えないように「BEGIN」と「END」の表記をしっかりチェックする必要があります。ファイル内部で区切りを間違えてしまうと、正しく読み込めなくなる可能性があるので注意が必要ですね。

PEMファイルのメリットと実務活用例

PEMファイルが実務で用いられるメリットはいくつかあります。まずはテキスト形式なので、ファイルの中身を直接目で確認できます。これは急いでトラブルシュートするときなどに便利です。

さらに、多くの暗号関連ツールがPEM形式に対応している点も大きいでしょう。たとえばSSL/TLSでよく使われるOpenSSLコマンドは、PEMファイルの作成や変換に対応しています。そのため、サーバー設定や証明書管理での標準的なフォーマットとして扱われているのではないでしょうか。

運用面を考えても、PEMファイルは柔軟です。複数の証明書や鍵を1つのテキストファイルにまとめるときはもちろん、鍵の種別をBEGIN/ENDのテキストで表現できるので、管理方法を工夫しやすいですね。

一方で、セキュリティ面の配慮も大切です。特に秘密鍵を含むPEMファイルを取り扱う場合は、ファイルパーミッションの設定や安全な保管場所を意識する必要があります。公開鍵や証明書ならまだしも、秘密鍵の漏えいは大きなリスクを生む可能性があるでしょう。

PEM形式を使ったSSL証明書の設定例

実務でよくある例として、WebサーバーにSSL証明書を導入するシーンを考えてみましょう。 PEM形式のサーバー証明書と秘密鍵があれば、ApacheやNginxなどに設定できます。

たとえばNginxの場合は、設定ファイル（nginx.confなど）で以下のように書くことが多いですね。

server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate /etc/nginx/ssl/certificate.pem;
    ssl_certificate_key /etc/nginx/ssl/private_key.pem;

    # ここにほかの設定が続く
}

このとき、ssl_certificate にはサーバー証明書と中間証明書がまとめられたPEMファイルを指定します。 ssl_certificate_key には秘密鍵のPEMファイルを指定します。

具体的なファイル作成や配置方法は環境によって変わりますが、PEM形式であること自体は共通しています。現場では「.crt」や「.key」という拡張子が使われることもありますが、内部はPEMデータの場合がほとんどです。

OpenSSLを使ったPEMファイルの作成と変換

PEMファイルの作成や変換にはOpenSSLがよく使われます。 LinuxやmacOSでは標準的に用意されていることが多いです。 WindowsでもOpenSSLをインストールすれば利用できます。

たとえばRSAの秘密鍵を生成して、PEMファイルに出力する例を見てみましょう。


openssl genrsa -out private_key.pem 2048

これで2048ビットのRSA秘密鍵が、PEM形式でprivate_key.pemとして生成されます。中身はテキスト形式なので、エディタで開くとBEGIN/END付きのデータが見えるはずです。

もし公開鍵をPEMファイルとして出力したい場合は、次のように変換します。


openssl rsa -in private_key.pem -pubout -out public_key.pem

するとpublic_key.pemというPEM形式の公開鍵ファイルが生成されます。このように、秘密鍵から公開鍵を取り出すのも簡単ですね。

OpenSSLは証明書の変換にも使えます。たとえば他の形式（DERなど）からPEM形式に変換したいときも便利です。

秘密鍵を含むPEMファイルの管理上の注意

秘密鍵入りのPEMファイルを扱うときは、そのセキュリティ管理に注意を払わなければなりません。秘密鍵が流出すると、第三者が通信を盗聴したり偽装サーバーを立てたりする危険が高まります。

パーミッションの設定は基本中の基本ですね。 Linuxの場合は「chmod 600」で所有者だけが読み書きできるようにするのが一般的でしょう。誰でも読める設定にしてしまうと、秘密鍵が漏洩する可能性が高まります。

また、PEMファイル自体を暗号化しておく方法もあります。 OpenSSLで秘密鍵にパスフレーズを設定して生成することが可能です。ただし、その場合は起動時や再起動時にパスフレーズ入力が必要になるため、運用設計とあわせて検討する必要があります。

仮に複数のサーバーで同じ秘密鍵を使う場合でも、ファイルの複製や配布には十分気をつけたいですね。暗号通信の根幹を担う要素なので、手順を誤るとシステム全体のセキュリティに影響を及ぼすかもしれません。

PEMファイルと他のフォーマットとの違い

暗号鍵や証明書のフォーマットはPEMだけではありません。たとえばDER形式やPFX（PKCS#12）形式など、さまざまな種類があります。

PEMはテキスト形式なのに対し、DERはバイナリ形式です。このためDERをテキストエディタで開いても意味不明な文字列に見えるでしょう。一方PFXは秘密鍵と証明書などをひとまとめにし、パスワードで保護できる形式ですが、Windows系の環境でよく使われることが多いです。

一部のツールやライブラリはPFXを読み込むのが得意だったり、逆にPEMを好んだりする場合があるので、プロジェクトの要件に応じて使い分ける必要があります。ただ、初学者の皆さんがまず触れる機会が多いのはPEM形式ではないでしょうか。

実務では、クライアント側の要求や証明書ベンダーの提供形態に合わせてフォーマットを変換することも少なくありません。このとき、OpenSSLなどを使うと形式の相互変換が手軽にできるので便利ですね。

PEMファイルとプログラミングでの扱い

Webサーバーの設定だけでなく、プログラムの中で鍵や証明書を読み込むシーンもあります。たとえばNode.jsのhttpsモジュールを使うとき、鍵や証明書をオプションとして指定することが可能です。

簡単な例を見てみましょう。 Node.jsでSSL対応のサーバーを立てる場合、PEMファイルを読み込んでhttpsサーバーを起動するコードは以下のとおりです。


const https = require("https");
const fs = require("fs");

const options = {
  key: fs.readFileSync("private_key.pem"),
  cert: fs.readFileSync("certificate.pem"),
};

https.createServer(options, (req, res) => {
  res.writeHead(200);
  res.end("Hello, Secure World!");
}).listen(443);

private_key.pem と certificate.pem の中身はPEM形式であることが前提です。これらを読み込んでサーバーを起動すれば、HTTPSでの通信を受け付けられるようになります。

他のプログラミング言語でも、PEMファイルを読み込んでSSL/TLS通信を行うライブラリが提供されていることが多いです。初心者の皆さんにとっては最初は難しく感じるかもしれませんが、実際にはファイルを指定するだけで設定できるケースが多いですね。

PEM形式がもたらすメリットと将来性

PEM形式は長年にわたり使われてきましたが、今後も廃れる見込みはあまりないでしょう。新しい暗号技術が登場しても、基本的にはテキストで表現できるというPEMの特性が評価され続けると考えられます。

また、マイクロサービスやクラウド環境が広がる中で、サービス間通信のセキュリティを担保する仕組みとしてもPEMは活躍しています。秘密鍵や証明書をコンテナに格納するケースなどでも、テキスト形式の扱いやすさが大きな利点になるのではないでしょうか。

一方で、鍵のライフサイクル管理やローテーションを自動化するツールも増えてきています。そのようなツールが裏側でPEMを扱うケースは十分に想定できるため、開発者にとってはまだまだ身近な存在であり続けるはずです。

秘密鍵の漏えいは大きなリスクにつながります。PEM形式を使うときはパーミッション管理やバックアップ運用を慎重に検討してください。

セキュリティと開発者が気をつけるべきポイント

PEMファイルはとても便利ですが、その扱い方を誤ると大きなリスクを生むことがあります。特に秘密鍵の管理は重大な問題です。不適切な場所に置いたり、バージョン管理のリポジトリに誤ってコミットしてしまうと、悪用される可能性が否定できません。

また、暗号アルゴリズムのアップデートにも目を向けたいところです。 RSAだけでなく、近年はECDSAやEd25519といったアルゴリズムが注目されていますが、これらの鍵でもPEM形式が利用される場合があります。アルゴリズムが変わっても、PEMというテキストフォーマット自体は共通して使われるケースが多いです。

初心者の皆さんは、まずはPEMの構造と運用ルールをしっかり理解し、適切な権限設定や保管方法を守るところから始めるとよいでしょう。開発チームや運用チームと連携して、鍵や証明書の取り扱いフローを共通化することも大切かもしれません。

まとめ

PEMファイルはSSL/TLSやSSH鍵など、多くの暗号技術で利用されるテキスト形式のファイルです。初心者でも開いて中身を確認しやすく、さまざまなツールと連携しやすい点が魅力ではないでしょうか。

実務では証明書と鍵をまとめたり、秘密鍵をパスフレーズ付きで生成したりといった形で運用されることが多いです。一方で、セキュリティを損ねないようにパーミッションや管理方法を慎重に選ぶ必要があります。

プログラミングの世界では、Node.jsやPythonなど多くの言語でPEM形式を直接読み込んでSSL通信を行うことが可能です。こうした場面で「PEMファイルっていったい何？」と疑問に思ったら、ぜひこの記事を参考にしてください。

PEMの仕組みを理解しておくと、セキュアな通信や鍵管理をスムーズに設計できるようになるはずです。どう扱えば安全なのか、どうやってツールと連携するのか、そのポイントを押さえておくと今後の開発や運用で役立つでしょう。