Un mensaje firmado es multipart/signed con una parte application/pkcs7-signature (un SignedData de CMS separado) o un blob opaco application/pkcs7-mime; el correo cifrado es un EnvelopedData de CMS o, en S/MIME 4.0, un AuthEnvelopedData con AES-GCM. Los remitentes obtienen los certificados de los destinatarios de correos firmados anteriores o de directorios, y ese es el principal obstáculo de usabilidad.
Los certificados S/MIME de confianza pública siguen los S/MIME Baseline Requirements del CA/Browser Forum desde el 1 de septiembre de 2023, con tipos de validación por buzón, por organización, por patrocinador e individual, y con los perfiles heredado (legacy), multipropósito y estricto (OID de política 2.23.140.1.5.x.y); desde julio de 2025, los certificados nuevos ya no pueden usar los perfiles heredados. El certificado debe incluir la dirección en subjectAltName y el EKU emailProtection.
S/MIME y OpenPGP resuelven el mismo problema con modelos de confianza distintos; S/MIME domina en las empresas y administraciones públicas que ya tienen una PKI. El S/MIME poscuántico se está definiendo mediante ML-KEM en CMS (RFC 9936) y certificados ML-DSA (RFC 9881). El verificador de S/MIME comprueba un mensaje firmado de forma local.