摘要：S/MIME 通过数字证书支持邮件数字签名与加密。签名帮助收件人核验签名身份并发现受保护内容的改动；加密限制没有相应私钥的人读取邮件内容。企业部署时，应按业务需要选择保护方式，同时落实收件人证书获取、客户端兼容、私钥管理及历史邮件访问安排。
S/MIME 是一套为电子邮件提供密码学保护的标准，全称为 Secure/Multipurpose Internet Mail Extensions。它支持数字签名与加密，两项能力可以结合使用。
数字签名帮助核验签名身份与内容完整性，加密限制没有解密能力的人读取内容。企业选型时，应先区分这两个需求，再确定哪些往来需要签名、哪些资料还应加密。
从普通邮件落款到数字签名
日常邮件落款中的姓名、电话和公司Logo 可以被复制，不能用来独立验证发件身份或附件完整性。S/MIME 数字签名需要证书、对应私钥与支持验证的客户端。
发件人以私钥签名，收件方用证书公钥验证，并核对签名身份。证书的身份验证范围取决于所选类型；签名覆盖内容被改动后，原签名验证应不再通过，但文件本身仍可能被编辑。
| 方式 | 主要作用 | 不能据此认定的事项 |
| 普通邮件落款 | 展示姓名、联系方式和品牌信息。 | 不能证明身份经过证书验证，也不能检测内容改动。 |
| S/MIME 数字签名 | 核验签名身份与受保护内容完整性。 | 不等于邮件已加密，也不证明附件没有恶意内容。 |
| S/MIME 加密 | 使邮件内容只能通过相应的解密能力读取。 | 不能代替签名核验，也不能阻止获授权收件人另行泄露明文。 |
企业价值要对应具体的邮件用途
面向客户发送正式通知时，企业往往希望收件人能够核对来源。例如交付确认和服务通知，可以根据业务规则使用数字签名，让联系人能够查看证书身份及签名状态，而不是只凭显示名称判断。签名还可保护纳入其中的附件数据，为后续内容核对提供依据。
涉及员工个人资料、未公开经营信息或其他敏感内容时，需求又多了一层：邮件即使在中间环节被取得，也不应轻易暴露明文。在正确的端点加密与密钥保护条件下，S/MIME 可以为选定邮件提供内容加密；其实际保护范围取决于加密发生的位置，以及哪些系统被授予解密能力。
例如，人事部门定期向固定的外部服务团队传递敏感资料，可以先确认对方的邮箱、证书和客户端，再对相应邮件签名并加密。这是一个适合评估的业务场景，不意味着任何包含个人信息的邮件都能靠一张证书满足全部管理要求。收件人是否必要、资料是否应发送，以及对方如何使用数据，仍由业务和管理制度约束。
部署前先解决收件人证书从哪里来
签名与加密的准备条件不同。发件人签名需要能使用自己的签名私钥；向某人发送S/MIME 加密邮件，则需要事先取得该收件人适用的公钥证书，并确认身份与有效性。收件人读取密文时，需要能够使用对应私钥。
因此，“给本公司员工安装好了证书”并不等于可以马上向所有外部客户发送加密邮件。企业需要为常见收件方建立证书获取与更新方式，可以结合受管理的目录、已核验的签名邮件或其他可信渠道。不能把来源不明的证书直接作为敏感资料的加密对象。
多收件人邮件也要逐一检查。若其中一个地址没有可用证书，客户端可能提示无法完成加密。业务规则应提前说明如何补齐条件或改用获批准的安全交付方式，避免员工为了赶进度而随意取消加密。
把终端配置和日常使用一起验收
先列出员工实际使用的邮件软件、版本、账号类型和设备，再核对各自的S/MIME 支持与配置条件。桌面端测试成功，不能代替手机端或网页端验收。微软的 Outlook 移动端文档也明确区分了签名所需的发送方私钥、加密所需的收件方公钥证书，以及解密所需的对应私钥。
一组有用的试点测试，应覆盖正常签名、签名内容被修改、向多名收件人加密，以及桌面与手机读取同一封密文。还应检查发件人能否再次打开“已发送”中的加密邮件，并验证业务归档或恢复流程，而不只是确认邮件能够发出去。
邮件网关、反病毒、归档和数据防泄漏系统也要参与设计。采用端点加密后，不具备解密能力的中间系统无法像处理明文那样检查正文。企业应确定检查发生的环节、受控解密或替代流程，并了解这些选择如何影响端到端保护范围。
在用户操作上，可以按场景设置签名与加密策略：适合持续验证来源的往来使用签名；敏感邮件再采用签名与加密组合。未完成证书交换的外部沟通，需要保留清晰的替代路径。
上线之后要维护的是证书和密钥的完整周期
每个使用对象都应有明确的邮箱、设备范围与维护责任人。证书更新、员工换机、别名调整、离职和私钥疑似泄露，都需要触发相应处理，不能依赖员工看到报错后再临时找人。签名私钥不应为了方便交接而被多人通过普通文件共享。
加密还带来一项长期责任：保留业务所需的历史解密能力。更换证书并不会把旧邮件自动改成使用新密钥加密。若旧邮件仍需访问，应按受控方式保留适用私钥及恢复安排；只有不再需要读取相应历史邮件时，才评估安全销毁。备份、恢复审批与访问日志也应纳入管理。
签名验证通过之后，仍应保留附件检测、反钓鱼和业务复核。S/MIME 提供的是身份、完整性与机密性方面的技术能力，不会替企业判断一项付款请求是否获得授权，也不会撤回已经被收件人复制的资料。
GlobalSign 的 S/MIME 部署与管理选择
GlobalSign 提供邮件数字签名与加密所需的 S/MIME 证书，官网介绍了 PKI 集中管理、ActiveDirectory 集成和 MDM 设备供给等方式。企业可依据用户规模、终端管理条件和外部收件对象，评估证书发放与维护方案。
对于准备扩大部署范围的团队，重点应是让人员身份、邮箱、证书和实际设备保持对应，并建立正常更新与异常恢复流程。先在一条完整的邮件业务链路中验证签名和加密，再扩大使用范围，比只统计安装数量更能反映方案是否可用。
FAQ
Q1 邮件底部已有公司落款 还需要 S/MIME 签名吗
A：两者用途不同。落款用于展示联系信息，S/MIME 签名提供可验证的身份与内容完整性依据。是否部署，应看这类邮件是否需要相应保护，不能用一张 Logo 图片代替证书签名。
Q2 为什么证书已经安装 仍然不能给客户发加密邮件
A：还要检查是否已取得客户适用且可信的公钥证书，地址是否匹配，以及双方客户端是否支持相应配置。仅安装发件人自己的证书，并不满足全部收件人的加密条件。
Q3 只签名与签名后再加密 应该怎样选择
A：需要核对来源和内容时，数字签名可以独立发挥作用；还需保护敏感内容不被无解密权限者读取时，再组合使用加密。具体操作顺序和实现方式由所选客户端及企业策略确定。
Q4 证书过期后 以前的加密邮件会立即打不开吗
A：不应仅因证书到期就失去历史邮件访问。关键在于是否仍保有适用私钥，以及客户端能否正确处理历史解密。新证书不能替代遗失的旧私钥，应在换证前验证备份与恢复安排。
资料来源
GlobalSign 邮件安全与 S/MIME 方案
https://www.globalsign.cn/secure-email
Microsoft Learn Outlook 移动端的 S/MIME 配置与使用
https://learn.microsoft.com/en-us/exchange/clients-and-mobile-in-exchange-online/outlook-for-ios-and-android/smime-outlook-for-ios-and-android
RFC 9787 端到端邮件安全实施指导