Un message signé est un multipart/signed avec une partie application/pkcs7-signature (un SignedData CMS détaché) ou un bloc opaque application/pkcs7-mime ; un e-mail chiffré est un EnvelopedData CMS ou, en S/MIME 4.0, un AuthEnvelopedData avec AES-GCM. Les expéditeurs obtiennent les certificats des destinataires à partir d’e-mails signés antérieurs ou d’annuaires, ce qui constitue le principal frein à l’utilisation.
Depuis le 1er septembre 2023, les certificats S/MIME de confiance publique suivent les S/MIME Baseline Requirements du CA/Browser Forum, avec des types validés au niveau de la boîte aux lettres, de l’organisation, du sponsor ou de l’individu, et des profils hérité (legacy), polyvalent (multipurpose) et strict (OID de politique 2.23.140.1.5.x.y) ; depuis juillet 2025, les nouveaux certificats ne peuvent plus utiliser les profils hérités. Le certificat doit contenir l’adresse dans subjectAltName ainsi que l’EKU emailProtection.
S/MIME et OpenPGP résolvent le même problème avec des modèles de confiance différents ; S/MIME domine dans les entreprises et les administrations qui exploitent déjà une PKI. Le S/MIME post-quantique est en cours de définition, avec ML-KEM dans CMS (RFC 9936) et les certificats ML-DSA (RFC 9881). Le vérificateur S/MIME vérifie localement un message signé.