Eine signierte Nachricht ist multipart/signed mit einem Teil application/pkcs7-signature (einem abgetrennten SignedData nach CMS) oder ein opaker Blob application/pkcs7-mime; verschlüsselte E-Mails sind EnvelopedData nach CMS oder, in S/MIME 4.0, AuthEnvelopedData mit AES-GCM. Absender finden die Zertifikate der Empfänger in früher signierten E-Mails oder in Verzeichnissen – das ist die größte Hürde für die Benutzerfreundlichkeit.
Öffentlich vertrauenswürdige S/MIME-Zertifikate folgen seit dem 1. September 2023 den S/MIME Baseline Requirements des CA/Browser Forums, mit den Validierungstypen Postfach, Organisation, Sponsor und Einzelperson sowie den Profilen Legacy, Multipurpose und Strict (Richtlinien-OIDs 2.23.140.1.5.x.y); seit Juli 2025 dürfen neue Zertifikate die Legacy-Profile nicht mehr verwenden. Das Zertifikat muss die Adresse in subjectAltName und die EKU emailProtection enthalten.
S/MIME und OpenPGP lösen dasselbe Problem mit unterschiedlichen Vertrauensmodellen; S/MIME dominiert in Unternehmen und Behörden, die bereits eine PKI betreiben. Post-Quanten-S/MIME wird derzeit über ML-KEM in CMS (RFC 9936) und ML-DSA-Zertifikate (RFC 9881) definiert. Der S/MIME-Signatur-Verifizierer prüft eine signierte Nachricht lokal.