Certificados de Apple Wallet: del CSR al PEM paso a paso

De dónde sale cada credencial (y de dónde no)

Configurar la emisión de pases de Apple Wallet pide tres piezas, y conviene tener claro el origen de cada una antes de abrir el portal:

• El Signer Certificate lo emite Apple en su portal de desarrolladores — pero no aparece por arte de magia: Apple lo genera a partir de una solicitud (CSR) que tú creas en tu máquina.
• La Signer Key es la clave privada que nace en tu máquina junto al CSR. Apple nunca la entrega ni la conoce — si alguien te dice que se descarga del portal, te está describiendo mal el flujo.
• El certificado WWDR es un certificado público de Apple, igual para todo el mundo. En AVEX ya viene precargado: no tienes que buscarlo.

Con eso claro, el camino completo son dos comandos, una visita al portal y un par de conversiones.

Paso 1 — Genera la clave y el CSR en tu máquina

En una terminal con openssl (macOS y Linux lo traen de serie):

openssl req -new -newkey rsa:2048 -nodes \
  -keyout pass.key -out pass.csr \
  -subj '/CN=Pases de Mi Organizacion/O=Mi Organizacion'

Esto produce dos archivos:

• pass.key — tu clave privada (la futura Signer Key). No sale de tu máquina y no se comparte con nadie; a AVEX la pegarás tú mismo, cifrada en tránsito y en reposo.
• pass.csr — la solicitud de certificado que subirás al portal de Apple.

Reemplaza los valores de -subj por el nombre de tu organización; son informativos, no afectan la firma.

Paso 2 — Emite el certificado en el portal de Apple

1. Entra a developer.apple.com/account → Certificates, Identifiers & Profiles.
2. En Identifiers, crea un Pass Type ID con un identificador del estilo pass.com.miorganizacion.pases. Ese mismo valor va después en el campo "Pass Type ID" de AVEX.
3. Dentro del Pass Type ID recién creado, pulsa Create Certificate y sube tu pass.csr.
4. Descarga el archivo resultante: pass.cer.

El .cer que baja del portal está en formato DER (binario). AVEX — como casi cualquier herramienta fuera del ecosistema de Apple — espera formato PEM (texto con -----BEGIN CERTIFICATE-----).

Paso 3 — Convierte a PEM

openssl x509 -inform DER -in pass.cer -out signerCert.pem
openssl pkey -in pass.key -out signerKey.pem

• signerCert.pem → campo Signer Certificate en AVEX.
• signerKey.pem → campo Signer Key en AVEX.

Puedes verificar cualquiera de los dos con openssl x509 -in signerCert.pem -noout -subject -enddate: el subject debe nombrar tu Pass Type ID y la fecha de expiración queda registrada (los certificados de firma de Apple duran un año y AVEX te avisa antes del vencimiento).

Alternativa: ya tienes el certificado en el Llavero de macOS

Si el certificado se emitió en el pasado y vive en tu Llavero, expórtalo como .p12 (clic derecho → Exportar) y conviértelo así:

openssl pkcs12 -in certificado.p12 -clcerts -nokeys -out signerCert.pem
openssl pkcs12 -in certificado.p12 -nocerts -nodes -out signerKey.pem

Te pedirá la contraseña que definiste al exportar. El resultado son los mismos dos PEM del paso anterior.

Paso 4 — Pega en AVEX y valida

En el panel de tu institución → Wallet → pestaña Apple:

1. Pega signerCert.pem en Signer Certificate y signerKey.pem en Signer Key.
2. Completa Team ID, Pass Type ID y el nombre de tu organización.
3. Guarda y pulsa Validar: AVEX genera un pase de prueba real con tus credenciales — si la validación queda en verde, la emisión está lista.

Si ya tenías credenciales configuradas y solo rotas una pieza, deja el resto de campos vacíos: los campos vacíos conservan su valor actual y solo se reemplaza lo que pegues.

¿Y el certificado WWDR?

Ya viene precargado en AVEX (es el certificado público WWDR G4 de Apple, vigente hasta 2030). Solo tendrías que pegar uno propio si Apple publicara una nueva generación antes de que AVEX la incorpore — el campo existe para ese caso y para nada más.