Конвертер форматов сертификатов — PEM, DER, PFX, PKCS#8

Потому что они построены на браузерном WebCrypto API, где есть AES, но нет ни RC2, ни 3DES. Связки, выгруженные из Windows, IIS и старого keytool, зашифрованы ровно этими двумя алгоритмами, поэтому инструмент только на WebCrypto расшифровать их не может и обычно сообщает о неверном пароле. Здесь эти шифры реализованы напрямую, и .pfx из 2018 года открывается так же, как сделанный сегодня утром.

Данные в них одинаковые. DER — сырое двоичное кодирование; PEM — то же самое в base64 с обрамлением «-----BEGIN …-----». Инструменты Windows и Java чаще выдают DER с расширениями .der или .cer, программы Unix ждут PEM. Перевод между ними меняет только обёртку, но не сам сертификат.

И nginx, и Apache читают оба. PKCS#8 («BEGIN PRIVATE KEY») — современный вариант по умолчанию, его ждут Java, Go и .NET. PKCS#1 («BEGIN RSA PRIVATE KEY») — старая форма только для RSA. Если программа отвергает ключ, не объясняя причины, перевод между этими двумя формами стоит попробовать: это частая причина.

Да. Загрузите вместе fullchain.pem и privkey.pem, выберите PFX и задайте пароль. Для Windows 10 или Server 2016 и новее берите современный профиль; если на чём-то более старом импорт падает ошибкой пароля — попробуйте совместимый.

Да. С кодированием пустого пароля есть давняя двусмысленность — OpenSSL и часть версий Java понимают его по-разному, и файл, записанный по одному соглашению, не открывается по другому. Здесь пробуются оба, поэтому связка с пустым паролем откроется в любом случае.