S/MIME

签名邮件是带有 application/pkcs7-signature 部分（分离式 CMS SignedData）的 multipart/signed，或者是不透明的 application/pkcs7-mime 数据块；加密邮件是 CMS EnvelopedData，在 S/MIME 4.0 中也可以是使用 AES-GCM 的 AuthEnvelopedData。发件人要从之前收到的签名邮件或目录中获取收件人的证书，这是使用上的主要障碍。

自2023年9月1日起，公开受信任的 S/MIME 证书遵循 CA/Browser Forum 的《S/MIME 基线要求》，分为邮箱验证、组织验证、担保人验证和个人验证几种类型，以及旧版、多用途和严格配置文件（策略 OID 2.23.140.1.5.x.y）；自2025年7月起，新证书不得再使用旧版配置文件。证书必须在 subjectAltName 中包含邮件地址，并带有 emailProtection EKU。

S/MIME 和 OpenPGP 用不同的信任模型解决同一个问题；在已经运行 PKI 的企业和政府机构中，S/MIME 占主导地位。后量子 S/MIME 正在通过 CMS 中的 ML-KEM（RFC 9936）和 ML-DSA 证书（RFC 9881）来定义。S/MIME 签名验证工具可在本地检查签名邮件。