Uma mensagem assinada é multipart/signed com uma parte application/pkcs7-signature (um SignedData CMS desanexado) ou um blob opaco application/pkcs7-mime; o e-mail criptografado é EnvelopedData CMS ou, no S/MIME 4.0, AuthEnvelopedData com AES-GCM. Os remetentes obtêm os certificados dos destinatários de e-mails assinados anteriores ou de diretórios, e esse é o principal obstáculo de usabilidade.
Desde 1º de setembro de 2023, os certificados S/MIME publicamente confiáveis seguem os S/MIME Baseline Requirements do CA/Browser Forum, com tipos validados por caixa de correio, por organização, por patrocinador e por indivíduo e com os perfis legacy (legado), multipurpose (multiuso) e strict (estrito) (OIDs de política 2.23.140.1.5.x.y); desde julho de 2025, novos certificados não podem mais usar os perfis legacy. O certificado deve conter o endereço em subjectAltName e o EKU emailProtection.
O S/MIME e o OpenPGP resolvem o mesmo problema com modelos de confiança diferentes; o S/MIME domina em empresas e governos que já operam uma PKI. O S/MIME pós-quântico está sendo definido por meio do ML-KEM no CMS (RFC 9936) e de certificados ML-DSA (RFC 9881). O verificador de S/MIME confere localmente uma mensagem assinada.