证书产品S/MIME · RFC 8551 · S/MIME BR

邮件证书（S/MIME 证书）

S/MIME 邮件证书是由证书颁发机构（CA）签发、与电子邮箱地址绑定的 X.509 数字证书，用于按照 S/MIME 标准（RFC 8551）为电子邮件添加数字签名与端到端加密：数字签名证明邮件确实来自该邮箱的持有者且内容未被篡改，加密则保证只有持有对应私钥的收件人才能阅读邮件。公共信任的 S/MIME 证书自 2023 年 9 月 1 日起须遵循 CA/浏览器论坛《S/MIME 基线要求》，分为 MV、OV、SV、IV 四种验证类型，单张证书最长有效期 825 天。

更新于 EncryptionSign 证书技术团队首次发布

咨询与订购注册账户
  • 邮件数字签名
  • 端到端加密
  • MV / OV / SV / IV
  • Outlook · Apple Mail · Thunderbird
  • 最长 825 天

S/MIME 邮件证书要点速览

一句话回答：S/MIME 邮件证书让一个邮箱地址拥有可验证的数字身份——用自己的私钥为邮件签名，收件人可以确认邮件来自您且未被改动；对方用您证书中的公钥加密，只有您能解密。只需证明邮箱身份、防止仿冒，选 MV 或 OV 即可；需要在证书中显示经验证的个人姓名，选 SV（代表组织的员工）或 IV（个人）。

  • 标准：S/MIME 4.0 由 RFC 8551 定义，签名与加密数据以 CMS（RFC 5652）格式封装在邮件中。
  • 行业规范：CA/浏览器论坛《S/MIME 基线要求》（S/MIME BR）自 2023 年 9 月 1 日起对公共信任的邮件证书生效。
  • 验证类型：MV 仅验证邮箱控制权，OV 验证组织，SV 验证组织与个人，IV 验证个人身份。
  • 有效期：单张公共信任 S/MIME 证书最长 825 天（约 27 个月）。
  • 加密前提：向对方发送加密邮件之前，必须先拿到对方的 S/MIME 证书（公钥）。
  • 私钥备份：用于解密的私钥一旦丢失，用它加密过的历史邮件将无法再解密。

S/MIME 邮件证书是什么？如何工作？

S/MIME（Secure/Multipurpose Internet Mail Extensions，安全/多用途互联网邮件扩展）是为电子邮件提供数字签名与加密的国际标准，当前版本为 2019 年发布的 S/MIME 4.0（RFC 8551）。S/MIME 邮件证书（也称电子邮件证书、Secure Email 证书）是这套标准中代表邮箱身份的 X.509 数字证书：证书中写入邮箱地址、经过验证的组织或个人名称（视验证类型而定）以及公钥，扩展密钥用法为邮件保护（emailProtection），并由 CA 用自己的私钥签名，任何收件人都能据此确认“这个公钥属于这个邮箱”。

每张邮件证书对应一对密钥：私钥只保存在证书持有者的电脑、手机或智能卡中，用于签名和解密；公钥随证书公开发送给他人，用于验证签名和加密。S/MIME 的全部安全性，都建立在“私钥只由持有者掌握”这一前提之上。

数字签名：证明“是谁发的、有没有被改过”

  1. 发件人的邮件客户端对邮件正文与附件计算哈希值（如 SHA-256）；
  2. 客户端用发件人的私钥对哈希值签名，并把签名与发件人证书一起附加到邮件中；以常见的明文签名方式发送时，不支持 S/MIME 的客户端会把它显示为名为 smime.p7s 的附件；
  3. 收件人的客户端用证书中的公钥验证签名、重新计算哈希值进行比对，并沿证书链验证到受信任的根证书。

三步都通过，客户端会显示签名有效的标识与发件人证书信息；只要邮件在途中被改动，或证书不受信任、已过期、已被吊销，验证就会失败并给出警告。签名本身不加密邮件内容，任何收件人都能正常阅读。

邮件加密：只有指定的收件人能阅读

S/MIME 加密采用“混合加密”：发件人客户端随机生成一把一次性的对称密钥，用 AES 等算法加密邮件正文与附件，再用每位收件人证书中的公钥分别加密这把对称密钥。收件人用自己的私钥解开对称密钥，进而解密邮件。S/MIME 4.0 还引入了 AES-GCM 等认证加密算法，加密的同时校验内容完整性。由此带来几个直接的使用规则：

  • 发送加密邮件前，发件人必须已经拥有每位收件人的 S/MIME 证书。最常见的做法是双方先互发一封签名邮件，客户端会自动保存对方的证书；
  • 邮件以密文形式存放在双方的邮件服务器上，服务器管理员与中间转发节点都无法读取内容，这就是“端到端加密”；
  • 多数客户端默认不加密邮件主题、发件人与收件人等信头信息，敏感内容不要写在主题里；
  • 发件人的客户端通常也会用发件人自己的公钥加密一份副本，以便在“已发送”文件夹中查看。

证书链与信任

S/MIME 证书与 SSL 证书一样依靠证书链建立信任：邮箱证书 → CA 中间证书 → 根证书。Windows、macOS、iOS 等操作系统以及使用 Mozilla 根证书库的 Thunderbird 都内置了公共 CA 的根证书，Mozilla 根证书库还为邮件证书单独设置了“email”信任位。因此，由公共 CA 签发的 S/MIME 证书，在外部收件人一侧无需任何配置就能显示为受信任；企业自建 CA 签发的证书，则只在已导入该根证书的设备上受信任。

Validation Types

S/MIME 证书有哪几种验证类型？

CA/浏览器论坛《S/MIME 基线要求》按验证对象把公共信任的邮件证书分为四种类型：MV、OV、SV、IV。验证越多，证书中能显示的身份信息越完整，收件人能确认的内容也越多。

S/MIME 证书验证类型对比
验证类型验证内容证书中显示的身份申请主体适合场景
MV
Mailbox-validated		仅验证申请人对邮箱的控制权仅邮箱地址任何邮箱持有者个人邮箱签名与加密、基础防仿冒
OV
Organization-validated		邮箱控制权 + 组织合法存在组织名称、邮箱地址（不含个人姓名）依法注册的组织部门邮箱、客服与通知邮箱等共享邮箱
SV
Sponsor-validated		组织 + 由组织担保的个人身份组织名称、个人姓名、邮箱地址组织为其员工申请企业员工对外商务往来、高管邮件
IV
Individual-validated		个人身份证件 + 邮箱控制权个人姓名、邮箱地址自然人律师、顾问、自由职业者等以个人名义执业
提示：OV、SV 证书的组织验证与 OV SSL 证书的企业审核类似，需要核验营业执照等组织资料；企业为大量员工签发 SV 证书时，可以通过 CA 的托管平台批量管理。MV 证书只能证明“发件人控制这个邮箱”，不能证明发件人是谁。

S/MIME 证书有哪些关键规则？

自 2023 年 9 月 1 日起，所有公共信任的 S/MIME 证书都必须遵循 CA/浏览器论坛《S/MIME 基线要求》（S/MIME Baseline Requirements，简称 S/MIME BR），并纳入 CA 的年度审计。此前各 CA 的邮件证书格式与验证方式差异较大，S/MIME BR 统一了验证类型、证书格式与有效期上限。对证书使用者而言，最重要的规则如下：

S/MIME 证书关键规则
规则具体要求对使用者的影响
适用规范公共信任 S/MIME 证书须遵循 CA/B 论坛 S/MIME BR（2023-09-01 生效）各 CA 的验证流程与证书格式趋于统一
最长有效期单张证书最长 825 天（约 27 个月）常见按 1 年或 2 年购买，到期需申请新证书
证书配置文件Strict（严格）、Multipurpose（多用途）、Legacy（遗留，已逐步淘汰）新证书多采用 Strict 或 Multipurpose，用途限定于邮件保护等
邮箱控制权验证证书中的每个邮箱都须经 CA 验证控制权，常见方式是向该邮箱发送含随机码的验证邮件只能为自己能收信的邮箱申请；企业批量申请时，部分 CA 可通过验证邮件域名来覆盖域内邮箱
密钥算法RSA 2048 位及以上，或 ECC P-256 / P-384与主流邮件客户端兼容
私钥存储没有强制硬件要求，可存放在系统证书库、受密码保护的 PKCS#12 文件、智能卡或 USB 令牌中便于在多台设备上使用，但必须自行做好备份与保护

私钥备份：最容易被忽视的风险

S/MIME 的签名私钥与解密私钥丢失后，后果完全不同：

  • 签名用途：私钥丢失后重新申请一张证书即可继续签名，已经发出的签名邮件仍然可以被验证；
  • 解密用途：私钥丢失后，所有用该证书加密发给您的历史邮件都将永久无法解密。CA 不保存用户在本地生成的私钥，无法帮您找回。

因此，安装证书后应立即导出包含私钥、设置强密码的 PKCS#12 文件（.pfx 或 .p12），离线保存至少一份备份；证书到期换新后，保留旧证书与私钥用于解密旧邮件；员工离职或换岗时，企业应按内部制度处理其邮件证书与私钥，必要时选择支持密钥托管的企业方案。

到期与续期

S/MIME 证书没有类似 SSL 证书的自动续期机制，到期前需要重新申请并完成验证。新证书安装后，建议向常用联系人发送一封签名邮件，让对方的客户端更新保存的证书，避免对方继续用已过期的旧证书向您加密。如果私钥疑似泄露（如电脑丢失、PKCS#12 文件和密码同时外泄），应立即联系 CA 吊销证书。

Clients

哪些邮件客户端支持 S/MIME？

主流桌面与移动邮件客户端都内置 S/MIME 支持，多数网页邮箱则不支持。下表为常见客户端的支持情况，具体菜单位置可能随版本变化。

邮件客户端 S/MIME 支持情况
客户端数字签名加密 / 解密使用说明
Microsoft Outlook（Windows）支持支持证书导入 Windows 证书存储后，在“文件 → 选项 → 信任中心 → 信任中心设置 → 电子邮件安全性”中选择签名与加密证书
Microsoft Outlook（Mac）支持支持证书存放于 macOS 钥匙串，在账户的安全设置中选择签名与加密证书
Apple Mail（macOS）支持支持证书导入“钥匙串访问”后自动识别，撰写邮件时出现签名与加密按钮
iPhone / iPad 邮件支持支持安装证书后，在账户的“高级”设置中开启 S/MIME 签名与加密
Mozilla Thunderbird支持支持在账户设置的“端到端加密”中导入证书，使用 Mozilla 根证书库验证
GmailWorkspace 托管Workspace 托管托管 S/MIME 面向 Google Workspace 相应版本，需管理员开启；个人 Gmail 不支持
Android 设备取决于客户端取决于客户端系统没有统一的 S/MIME 支持，取决于所用的邮件应用，部署前请在目标客户端实测
多数网页邮箱通常不支持通常不支持签名显示为 smime.p7s 附件，无法验证；加密邮件无法在网页中阅读
提示：同一证书需要在多台设备上使用时，把同一个 PKCS#12 文件分别导入各设备即可；只在一台设备上安装私钥，会导致其他设备无法解密加密邮件。
Comparison

S/MIME 与 TLS 加密、OpenPGP、BIMI 有什么区别？

“邮件安全”涉及多种技术，它们解决的问题不同。S/MIME 是其中唯一同时提供 CA 身份背书、内容签名与端到端加密，并被主流商用客户端内置支持的方案。

S/MIME 与其他邮件安全技术对比
对比项S/MIME 邮件证书当前TLS 传输加密（STARTTLS）OpenPGPBIMI + VMC / CMC
解决的问题发件人身份、内容完整性与端到端加密邮件在服务器之间传输时不被窃听签名与端到端加密在收件箱显示经验证的品牌 Logo
保护范围邮件内容本身，存放在服务器上仍为密文仅传输链路的每一跳，服务器上为明文邮件内容本身不签名、不加密邮件内容
信任模型CA 签发的 X.509 证书，层级信任邮件服务器的 SSL/TLS 证书用户自行生成密钥，信任网或手动核对指纹CA 签发的标识证书 + DMARC
客户端支持Outlook、Apple Mail、Thunderbird 等内置服务器自动协商，用户无感知Thunderbird 内置，其他客户端多需插件支持 BIMI 的邮箱服务
需要用户做什么安装证书，与联系人交换证书无需操作生成密钥并分发公钥域名管理员配置 DMARC 与 BIMI 记录
更适合企业对外正式往来、敏感信息传递所有邮件系统的基础配置技术社区与个人用户营销与通知邮件的品牌展示
BIMI（Brand Indicators for Message Identification）要求发件域名的 DMARC 策略处于 quarantine 或 reject；VMC（Verified Mark Certificate）要求 Logo 为注册商标，CMC（Common Mark Certificate）适用于已公开使用一年以上的非注册商标 Logo。BIMI 与 S/MIME 互补：前者在收件箱展示品牌，后者为每封邮件签名或加密。DigiCert 等 CA 提供 VMC / CMC 证书，可一并咨询。
Brands

哪些品牌提供 S/MIME 邮件证书？

通过 EncryptionSign 可咨询订购以下品牌的 S/MIME 邮件证书。各品牌证书均遵循 S/MIME BR、在主流邮件客户端中受信任，差异主要在于产品形态、验证类型覆盖与配套管理服务。

提供 S/MIME 邮件证书的品牌
品牌邮件证书产品特点适合谁
SectigoSectigo S/MIME 邮件证书原 Comodo CA，SSL、代码签名、邮件与文档签名证书产品线齐全，便于统一采购中小企业、同时需要多类证书的团队
DigiCertDigiCert Secure Email高端企业级 PKI 品牌，同时提供 VMC / CMC 标识证书大型企业、金融机构与上市公司
GlobalSignPersonalSign1996 年创立的老牌 CA，提供企业平台 Atlas 与托管 PKI，便于为员工批量签发与管理跨国企业、员工规模较大的组织
CertumCertum S/MIME 邮件证书1998 年成立的欧洲 CA，欧盟 eIDAS 合格信任服务提供商欧洲业务往来、预算敏感的个人与企业
sslTrussslTrus 邮件证书锐安信，国产品牌，提供中文服务；具体验证类型与规格以 CA 为准偏好国内品牌与本地服务的企业
提示：所有品牌的 S/MIME 证书在签名与加密强度上没有本质差异，选择时重点关注所需验证类型（MV / OV / SV / IV）是否提供、邮箱数量与批量管理方式，以及是否需要与 SSL、代码签名等证书统一供应商。
How to Order

如何申请 S/MIME 邮件证书？

S/MIME 邮件证书暂不支持在 EncryptionSign 控制台在线下单。EncryptionSign 证书顾问可根据场景推荐品牌与产品，并协助完成身份验证与证书交付，整体周期以 CA 审核进度为准。

  1. 咨询选型

    发送邮件说明邮箱数量、使用的邮件客户端以及需要的验证类型（MV / OV / SV / IV），顾问推荐品牌、产品与年限并报价。

  2. 提交资料

    MV 只需提供邮箱地址；OV、SV 需提供营业执照等组织资料；SV、IV 还需提供个人身份证件信息。

  3. CA 验证

    CA 向邮箱发送验证邮件确认控制权；OV、SV 需核验组织真实性，SV、IV 需核验个人身份，验证类型越高耗时越长。

  4. 签发与安装

    证书签发后导入 Outlook、Apple Mail 或 Thunderbird，立即备份带密码的 PKCS#12 文件，并向联系人发送签名邮件交换证书。

Use Cases

邮件证书适用于哪些场景？

S/MIME 邮件证书适合“邮件内容需要可信”或“邮件内容需要保密”的场景。

财务与付款往来

为付款通知、银行账户变更等邮件签名，收件方可核验发件人身份，降低商业邮件诈骗（BEC）中冒充高管或供应商的风险。

法务与合同沟通

律师事务所、法务部门对外发送合同草稿与案件材料时加密，确保只有指定收件人能够阅读。

人事与个人信息

传递薪酬、身份证件、体检报告等个人信息时使用端到端加密，减少在邮件服务器或转发环节泄露的风险。

系统通知与公告

为账单、公告等发信邮箱申请 OV 证书签名，客户可以在签名详情中看到经过验证的组织名称。

S/MIME 签名能证明“发件邮箱持有者”的身份，但无法阻止攻击者用相似域名发送未签名的仿冒邮件。建议同时为邮件域名部署 SPF、DKIM 与 DMARC，并提醒员工与客户警惕重要往来中“突然没有签名”的邮件。
Buying Guide

选购建议：什么情况下需要邮件证书？

根据业务需求判断 S/MIME 是否是最合适的方案。

适合使用 S/MIME 邮件证书的情况

  • 需要向客户、合作伙伴证明邮件确实来自本企业员工；
  • 邮件中包含合同、财务、个人信息等需要端到端保密的内容；
  • 行业规范、审计或客户要求对外邮件签名或加密；
  • 团队主要使用 Outlook、Apple Mail、Thunderbird 等支持 S/MIME 的客户端；
  • 希望使用公共 CA 证书，让外部收件人无需额外配置即可验证签名。

可以考虑其他方案的情况

  • 只需要邮件服务器之间的传输加密：为邮件服务器部署 SSL 证书并启用 STARTTLS，企业身份展示可选 OV SSL 证书；
  • 需要签署 PDF 合同、报告或证明文件：选 文档签名证书；
  • 需要为软件、驱动或宏签名：选 代码签名证书；
  • 只想在收件箱显示品牌 Logo：选择 BIMI + VMC / CMC 方案；
  • 收件人大多使用不支持 S/MIME 的网页邮箱：签名仍可发送，但对方无法验证，需评估实际收益。
FAQ

S/MIME 邮件证书常见问题

关于邮件签名、邮件加密、证书类型与客户端使用，用户最常问的问题。

邮件证书（S/MIME 证书）是什么？有什么用？

S/MIME 邮件证书是由证书颁发机构（CA）签发、与电子邮箱地址绑定的数字证书。用它对应的私钥为邮件签名，收件人可以确认邮件确实来自该邮箱的持有者且内容未被篡改；对方用证书中的公钥加密邮件，只有持有私钥的您才能解密阅读。常用于防止邮件仿冒、商业邮件诈骗以及保护合同、财务与个人信息等敏感内容。

邮件签名和邮件加密有什么区别？

签名使用发件人自己的私钥，作用是证明“谁发的”与“有没有被改过”，邮件内容仍然是明文，任何收件人都能阅读；加密使用收件人证书中的公钥，作用是让“只有指定收件人能读”。两者可以单独使用，也可以同时使用。只要发件人有邮件证书就能签名，而加密要求发件人事先拿到每位收件人的证书。

给对方发送加密邮件需要什么条件？

需要对方也有 S/MIME 证书，并且您的邮件客户端已经保存了对方的证书（公钥）。最简单的做法是请对方先给您发一封签名邮件，Outlook、Apple Mail、Thunderbird 等客户端会自动保存对方证书，之后就能向对方发送加密邮件。对方没有证书时，只能发送签名邮件，无法加密。

对方没有邮件证书，能看到我的签名邮件吗？

能。签名不会加密邮件内容，对方可以正常阅读。以常见的明文签名方式发送时，支持 S/MIME 的客户端会显示签名验证结果；不支持 S/MIME 的客户端或网页邮箱则会把签名显示为一个名为 smime.p7s 的附件，不影响阅读正文。

S/MIME 证书的 MV、OV、SV、IV 怎么选？

MV 只验证邮箱控制权，证书中只有邮箱地址，适合个人与基础的签名加密需求；OV 验证组织，证书中显示组织名称，适合部门邮箱、通知邮箱等共享邮箱；SV 同时验证组织与员工个人身份，证书中显示组织名称与个人姓名，适合企业员工对外商务往来；IV 验证个人身份，适合以个人名义执业的律师、顾问等。需要收件人看到经过验证的组织或个人名称时，选 OV、SV 或 IV。

邮件证书有效期多久？到期后旧邮件还能打开吗？

根据 CA/浏览器论坛《S/MIME 基线要求》，单张公共信任 S/MIME 证书最长有效期为 825 天，常见按 1 年或 2 年购买。证书到期后不能再用于签名新邮件，对方也不应再用它向您加密；但只要您保留了旧证书的私钥，用它加密的历史邮件仍然可以解密。因此续期换新证书后，请不要删除旧证书与私钥。

换电脑或私钥丢失了怎么办？

换电脑前，请从旧电脑导出包含私钥、带强密码保护的 PKCS#12 文件（.pfx 或 .p12），再导入新电脑的邮件客户端。如果私钥已经丢失且没有备份，签名功能可以通过重新申请证书恢复，但用旧证书加密收到的历史邮件将无法再解密，CA 也无法找回由用户本地生成的私钥。

Outlook、Gmail、iPhone 能使用 S/MIME 邮件证书吗？

Outlook（Windows 与 Mac）、Apple Mail（macOS）、iPhone 与 iPad 自带的邮件应用以及 Thunderbird 都内置 S/MIME 支持，导入证书后即可签名与加密。Gmail 的托管 S/MIME 功能面向 Google Workspace 的相应版本，需要管理员开启；个人 Gmail 网页版不支持。多数网页邮箱不支持 S/MIME，建议使用桌面或移动客户端。

S/MIME 邮件证书和 BIMI、VMC 有什么区别？

S/MIME 证书为每一封邮件签名或加密，证明的是发件邮箱持有者的身份。BIMI 是在收件箱中显示品牌 Logo 的技术，需要域名的 DMARC 策略处于 quarantine 或 reject，并配合 VMC（Logo 为注册商标）或 CMC（已使用一年以上的非注册商标 Logo）标识证书。两者互不替代，可以同时部署。

S/MIME 邮件证书多少钱？可以在线购买吗？

邮件证书的价格取决于品牌、验证类型（MV / OV / SV / IV）、邮箱数量与年限。S/MIME 邮件证书暂不支持在 EncryptionSign 控制台在线下单，请发送邮件至 support@encryptionsign.com 说明需求，证书顾问会推荐产品并报价，企业批量采购可申请专属价。

参考资料与更新说明

本文由 EncryptionSign 证书技术团队依据以下公开标准与资料整理，最后更新于 。CA 产品名称、验证规则与行业政策可能调整，请以 CA 官方与 CA/浏览器论坛最新发布为准；如需确认，请联系 support@encryptionsign.com。

  1. RFC 8551：S/MIME 4.0 消息规范
  2. RFC 5652：加密消息语法（CMS）
  3. RFC 5280：X.509 公钥基础设施证书与 CRL 规范
  4. CA/浏览器论坛（CA/Browser Forum）：S/MIME 基线要求（S/MIME Baseline Requirements）
  5. Mozilla 根证书库政策（Mozilla Root Store Policy，含邮件证书要求）
  6. Microsoft Outlook、Apple Mail、Mozilla Thunderbird 与 Google Workspace 官方 S/MIME 配置文档

咨询 S/MIME 邮件证书

邮件证书暂不支持在线下单。告诉我们邮箱数量、使用的客户端与验证需求，证书顾问将推荐合适的品牌与产品，并协助完成验证与交付。

咨询与订购 注册账户