摘要：S/MIME 可用于邮件签名和内容加密，但采购证书并不会自动阻止所有冒名邮件。企业应先确定需要验证的发件身份、邮箱和客户端，再分阶段部署签名及必要的加密，并准备换机、续期和历史邮件解密方案。接收方能否识别签名，是部署验收的重要一环。
财务收到一封“供应商更改收款账户”的邮件，显示名称与平时一样，正文也延续原有业务用语。这个场景中，收件人需要核对的是发件身份和业务授权，而不只是邮件有没有通过传输加密。
S/MIME 可以为邮件提供基于证书的签名，让支持的客户端检查签署身份和内容完整性；也可以用于邮件内容加密。不过，它不能阻止所有人使用相似的显示名称，也不能把已被控制的合法邮箱自动恢复安全。敏感收款变更仍应走独立核实流程。
第一步 先采购正确的身份和覆盖范围
先选需要保护的业务通信，而不是直接按员工总数下单。财务、合同、采购等岗位的需求可能不同，共享邮箱和个人邮箱的管理方式也不同。应明确证书绑定哪个地址、呈现何种身份，以及由谁负责后续更新。
GlobalSign S/MIME 方案提供邮件签名与加密能力，并有适用于不同规模的供给和管理方式。企业需要根据具体证书类型完成相应邮箱或身份验证，不能把网页登录的 SSL 证书拿来代替 S/MIME 邮件证书。
同时确认使用环境：桌面客户端、手机邮件应用、网页邮箱及合作方客户端分别支持什么。不能因为一种桌面软件能够验签，就认定网页端和全部手机都显示相同结果。对重要合作方，可以先交换测试邮件，确认能否看到签名状态并理解提示。
签名与加密也不应在采购时混成一个功能。签名帮助收件人验证来源与内容，加密则需要使用收件人的适用公钥，使相应私钥持有者能够解密。收发双方准备条件不同，应分别评估。
第二步 从可识别的签名开始上线
可以先选一个沟通稳定的业务小组，完成证书和私钥的受控安装，并配置客户端使用正确身份签名。发送到内部与合作方测试邮箱后，检查证书链、地址对应关系及签名状态，保留原始邮件作为验收材料。
还应经过真实邮件网关验证。有些系统会添加免责声明、改写正文或改变邮件结构，可能影响签名验证。试点应覆盖实际传输路径，不能只在绕过网关的测试环境里确认成功。
如需内容加密，再确定收件人证书的获取和更新方式，并测试回复、转发与跨设备访问。历史密文通常仍依赖对应旧私钥解密；续期后仅保留新证书和新密钥，并不意味着所有旧邮件都能打开。
因此，实施前要按权限和风险要求设计密钥备份、归档或恢复机制。GlobalSign 的相关企业部署方案提供目录及 MDM 等集成选择，是否适用仍需按实际产品和环境确认。不能只在某位员工电脑上完成安装，就认为企业已经具备长期访问保障。
上线后要让收件人知道怎样判断
签名只有被正确检查，才真正参与业务判断。可以给员工一份很短的操作说明：去哪里看签名状态，如何核对地址与身份，遇到证书不受信任或内容被修改提示时联系谁。
不要教员工把“已签名”理解成邮件内容一定可信。攻击者若控制合法账号或密钥，仍可能发出危险指令；相似域名也可能拥有自己的证书。收款变更、敏感附件及异常业务请求，应继续结合上下文和其他渠道核实。
续期、员工离职和设备更换应进入维护流程。证书签名可用于提供检查依据，企业能否持续使用它，还取决于身份资料、密钥和客户端是否被正确维护。这些工作比发一次证书更能决定部署效果。
FAQ
Q1：供应商用了相同显示名称，S/MIME 会直接拦住邮件吗？
A：不能这样保证。S/MIME 为支持的客户端提供签名验证依据，收件人仍需核对实际地址与身份；过滤、反钓鱼和业务核实要另外配合。
Q2：只签名、不加密，有没有意义？
A：有。签名与加密解决不同问题。可以先建立来源和完整性检查，再按敏感通信需要部署加密。
Q3：换了新邮件证书，为什么旧加密邮件打不开？
A：应检查原邮件使用的加密证书及对应旧私钥是否仍可用。新证书不自动替代旧解密密钥，应按批准的归档与恢复流程处理。
Q4：邮件签名有效，收款账户变更就可以直接批准吗？
A：不可以。签名验证不能替代业务授权，也不能排除合法账号被控制。敏感变更仍应通过独立渠道核实。
关于 GlobalSign S/MIME
GlobalSign 提供 S/MIME 邮件证书及相应企业部署选择，帮助组织在支持的邮件环境中使用数字签名和加密。项目可以从关键岗位试点，再根据客户端兼容性、密钥恢复要求和管理方式扩大覆盖，而不把购买证书等同于完成全部邮件安全建设。
资料来源
GlobalSign S/MIME 邮件安全方案
https://www.globalsign.cn/secure-email
GlobalSign 移动端身份验证与邮件应用场景
https://www.globalsign.cn/authentication/mobile