PKCS#12 NON è un formato di certificato: è un  formato di archiviazione che comprende SIA il certificato, SIA la chiave privata.

Viene usato da determinate procedure di installazione su server (e, per inciso: è di una qualche utilità solo quando i server su cui installare il medesimo certificato sono parecchi. Fossero solo una mezza dozzina, si fa molto prima ad installare "a mano" su ogni server con la procedura canonica. Se i server invece sono solo uno o due, passare attraverso il formato PKCS#12 è solo un'inutile complicazione)

Talvolta (visto che può essere crittografato) viene usato per trasmettere a terzi in (relativa) sicurezza il certificato, assieme alla chiave privata.

Poiché, per banale misura di sicurezza, la chiave privata deve restare solo ed esclusivamente in possesso dell'utente titolare del certificato e/o dell'amministratore di sistema, e di nessun altro (compresi, quindi, noi e la CA), è l'utente che poi, una volta ottenuto il certificato, può archiviarlo assieme alla chiave privata in formato PKCS#12.

Ovvero: NESSUNA CA emette certificati in formato PKCS#12, ma qualsiasi certificato può essere trasformato in PKCS#12. Tuttavia è l'utente che, in caso di necessità, può e deve farlo.

Per maggiori dettagli: http://www.emc.com/emc-plus/rsa-labs/standards-initiatives/pkcs12-personal-information-exchange-syntax-standard.htm

Per una introduzione meno tecnica:  https://en.wikipedia.org/wiki/PKCS_12