S/MIME：它是什么，为什么我应该关心，以及它与 SparkPost 的关系是什么？
鸟
2018年12月19日
电子邮件
1 min read
关键要点
Premise: S/MIME (安全/多用途互联网邮件扩展) 是一个长期存在的标准，用于发送签名和加密电子邮件——对于处理敏感数据的行业，如金融、医疗保健和政府至关重要。
Goal: 解释 S/MIME 做什么、为什么重要、与 DKIM/DMARC/TLS 的区别，以及它如何与 SparkPost 集成。
Highlights:
Definition: S/MIME 实现两个核心功能：
Encryption → 保护消息内容（隐私）。
Signing → 确认发送者身份，防止篡改，并确保不可否认性。
Industry use: 需要或偏好于需要端到端消息隐私和可验证身份的监管行业。
Comparison to other email protections:
TLS: 加密服务器之间的传输（传输层）。
S/MIME: 收保护消息内容本身（表示层）。
DKIM/DMARC: 认证域而非个人，并在管理员/服务器级别工作。
Mechanics:
使用公钥/私钥对和按邮件身份（如 alice@company.com）颁发的数字证书。
需要支持的邮件客户端（Apple Mail, Outlook, Thunderbird, iOS Mail, 等等）。
Limitations:
管理密钥和证书可能很复杂。
加密的有效负载无法进行恶意软件扫描。
头信息（发件人、收件人、主题）仍然可见。
Integration with SparkPost:
SparkPost 用户可以使用 S/MIME 签名消息以增加真实性。
对于加密发送，接收者首先必须共享他们的公钥（例如，通过发送签名消息）。
商业合作伙伴如 Virtru 和 Echoworx 为企业工作流程简化了这一过程。
Next steps:
系列的第二部分展示如何通过 SparkPost 签署和加密消息。
后续部分展示使用 PowerMTA 和 Momentum 的现场设置。
Q&A 精华
如果我已经使用TLS或DKIM，为什么S/MIME如此重要？
TLS 保护服务器之间的连接，而 S/MIME 保护内容本身——确保内容在传递后依然保持私密和可验证。
谁最需要 S/MIME？
受监管行业（金融、政府、医疗保健）以及任何发送保密、具有法律约束力或身份敏感电子邮件的组织。
S/MIME 解决了哪些问题？
它防止拦截和欺骗，保证发送者的真实性，并提供消息未被篡改的证明。
SparkPost 是否原生支持 S/MIME?
SparkPost支持发送S/MIME格式的消息；您只需在通过API或SMTP提交之前签署/加密您的内容。
如何获得证书？
证书可以由提供商签发，如Comodo（非商业用途免费）或自签名用于内部测试。
如果我的收件人无法阅读加密邮件怎么办？
他们仍然会看到已签名的消息头，但要解密，他们必须安装兼容的客户端并导入他们的私钥。
应用生成的电子邮件如何处理密钥交换？
收件人可以通过签名消息发送电子邮件给您的服务；然后可以通过入站中继webhooks自动提取他们的公钥。
S/MIME 是一种基于公共互联网标准的长期 established 方法，用于发送加密和签名的电子邮件。我们经常遇到 S/MIME 的需求，特别是来自银行、卫生和金融等受规管行业。
S/MIME 是一种基于公共互联网标准的长期存在的加密和签名电子邮件发送方法。我们经常遇到对S/MIME的需求，特别是在诸如银行、健康和金融等受监管行业中。例如，在企业与政府机构之间通信时，通常需要使用S/MIME。
另一种安全邮件标准，PGP （有趣地被称为“Pretty Good Privacy”），更多用于安全的个人对个人通信。由于消费者版本的流行基于网站的电子邮件客户端（如Gmail和Outlook/Hotmail）无法显示加密邮件，因此它现在不太流行。这就是为什么许多需要隐私的个人对个人通信转向WhatsApp（以及许多其他）提供本地端到端加密的平台的原因之一。
PGP和S/MIME都需要可以使用密钥和证书的邮件客户端。许多桌面和移动客户端，包括Apple Mail、Microsoft Outlook 和 Mozilla Thunderbird 都符合要求，一些网络客户端的企业版本如Microsoft Office 365也符合要求。设置密钥需要工作，但尽管最近的漏洞披露要求阻止加载远程内容的补救措施，许多组织仍然认为这是值得的。
S/MIME自1995年就已经存在并经历了几次修订；当前版本由RFC 5751覆盖。它需要交换公共密钥，这是一个通常需要IT团队或类似资源支持的非简单任务。对于运行本地电子邮件基础设施的组织，实施S/MIME需要为诸如PowerMTA和Momentum这样的平台进行额外的考虑，我们在本地安全电子邮件的S/MIME指南中对此进行了介绍。然而，也有一些自动化方法可以简化这一过程，比如通过基于电子邮件的系统来收集接收者的公共密钥，这可以简化应用生成的邮件流的密钥管理。这就是来自SparkPost合作伙伴Virtru和Echoworkx等公司的商业解决方案发挥作用的地方，使个人到个人的企业邮件安全更简单（有关更多信息，请参阅我们的SparkPost/Echoworkx操作指南）。
也就是说，让我们更深入地研究一下传统的S/MIME，看我们能对它做些什么。
S/MIME 是一种基于公共互联网标准的长期存在的加密和签名电子邮件发送方法。我们经常遇到对S/MIME的需求，特别是在诸如银行、健康和金融等受监管行业中。例如，在企业与政府机构之间通信时，通常需要使用S/MIME。
另一种安全邮件标准，PGP （有趣地被称为“Pretty Good Privacy”），更多用于安全的个人对个人通信。由于消费者版本的流行基于网站的电子邮件客户端（如Gmail和Outlook/Hotmail）无法显示加密邮件，因此它现在不太流行。这就是为什么许多需要隐私的个人对个人通信转向WhatsApp（以及许多其他）提供本地端到端加密的平台的原因之一。
PGP和S/MIME都需要可以使用密钥和证书的邮件客户端。许多桌面和移动客户端，包括Apple Mail、Microsoft Outlook 和 Mozilla Thunderbird 都符合要求，一些网络客户端的企业版本如Microsoft Office 365也符合要求。设置密钥需要工作，但尽管最近的漏洞披露要求阻止加载远程内容的补救措施，许多组织仍然认为这是值得的。
S/MIME自1995年就已经存在并经历了几次修订；当前版本由RFC 5751覆盖。它需要交换公共密钥，这是一个通常需要IT团队或类似资源支持的非简单任务。对于运行本地电子邮件基础设施的组织，实施S/MIME需要为诸如PowerMTA和Momentum这样的平台进行额外的考虑，我们在本地安全电子邮件的S/MIME指南中对此进行了介绍。然而，也有一些自动化方法可以简化这一过程，比如通过基于电子邮件的系统来收集接收者的公共密钥，这可以简化应用生成的邮件流的密钥管理。这就是来自SparkPost合作伙伴Virtru和Echoworkx等公司的商业解决方案发挥作用的地方，使个人到个人的企业邮件安全更简单（有关更多信息，请参阅我们的SparkPost/Echoworkx操作指南）。
也就是说，让我们更深入地研究一下传统的S/MIME，看我们能对它做些什么。
S/MIME 是一种基于公共互联网标准的长期存在的加密和签名电子邮件发送方法。我们经常遇到对S/MIME的需求，特别是在诸如银行、健康和金融等受监管行业中。例如，在企业与政府机构之间通信时，通常需要使用S/MIME。
另一种安全邮件标准，PGP （有趣地被称为“Pretty Good Privacy”），更多用于安全的个人对个人通信。由于消费者版本的流行基于网站的电子邮件客户端（如Gmail和Outlook/Hotmail）无法显示加密邮件，因此它现在不太流行。这就是为什么许多需要隐私的个人对个人通信转向WhatsApp（以及许多其他）提供本地端到端加密的平台的原因之一。
PGP和S/MIME都需要可以使用密钥和证书的邮件客户端。许多桌面和移动客户端，包括Apple Mail、Microsoft Outlook 和 Mozilla Thunderbird 都符合要求，一些网络客户端的企业版本如Microsoft Office 365也符合要求。设置密钥需要工作，但尽管最近的漏洞披露要求阻止加载远程内容的补救措施，许多组织仍然认为这是值得的。
S/MIME自1995年就已经存在并经历了几次修订；当前版本由RFC 5751覆盖。它需要交换公共密钥，这是一个通常需要IT团队或类似资源支持的非简单任务。对于运行本地电子邮件基础设施的组织，实施S/MIME需要为诸如PowerMTA和Momentum这样的平台进行额外的考虑，我们在本地安全电子邮件的S/MIME指南中对此进行了介绍。然而，也有一些自动化方法可以简化这一过程，比如通过基于电子邮件的系统来收集接收者的公共密钥，这可以简化应用生成的邮件流的密钥管理。这就是来自SparkPost合作伙伴Virtru和Echoworkx等公司的商业解决方案发挥作用的地方，使个人到个人的企业邮件安全更简单（有关更多信息，请参阅我们的SparkPost/Echoworkx操作指南）。
也就是说，让我们更深入地研究一下传统的S/MIME，看我们能对它做些什么。
为什么我应该关心？
简短版：
隐私
如果您的消息不包含任何个人、隐私或法律重要的信息，那么您可能不需要考虑 S/MIME。现代电子邮件传输系统如 SparkPost 已经使用“opportunistic TLS”来确保从发送服务器到接收服务器的消息传输安全。
然而，“opportunistic”部分确实意味着如果发送服务器无法协商安全连接，我们将以纯文本发送邮件。如果您想确保消息在整个过程中都安全，这不适用。您可以看一下 哪些邮箱提供商声称支持TLS 和哪些 实际上支持。假设收件人的服务器支持TLS，您的消息是这样被保护的：
TLS确保邮件服务器之间的对话安全（这就是为什么它被称为传输层安全）。MIME（包括 S/MIME）关注信息内容及其处理，可以被认为是“展示层”的一部分。
S/MIME保护消息 内容 从消息来源到收件人邮件客户端的整个过程，将消息主体进行封装。
S/MIME 使用收件人的公钥加密消息主体。消息主体不能在没有收件人私钥的情况下解码——不能被任何“中间人”如您的ISP、SparkPost或收件人的邮件服务器。
私钥永不泄露，它由接收者独占持有。加密的消息通过互联网传输到接收邮件服务器。当它到达收件人的收件箱时，它通常会自动使用他们的私钥解密并变得可读。
需要注意一些 S/MIME 的问题：
S/MIME 加密的一个副作用是防止服务器的入站消息扫描病毒，因为消息载荷是加密形式的，因此不可识别。
注意消息 头（From:, To:, Subject:等）没有被加密，因此需要考虑主题行的内容。
签名 – 验证身份
S/MIME也提供给接收者检查消息发送者 是否是他们所说的人 的能力。
发送者的电子邮件附有证书，该证书就像安全网站上的证书，可以追溯到颁发机构。有关签名过程的完整描述，请参见 S/MIME签名过程PDF。
我们将采取先签署邮件，然后加密的方式，因此流程如下所示。
发起不否认
签名对接收者的另一个有用好处是起源的不否认。考虑一种情况，电子邮件消息用于批准合同。接收者收到了来自发送者的消息中的合同。如果发送者稍后试图说，“不，我从未向您发送过该消息”，那么已收到的消息表明实际上使用了发送者的证书。
消息完整性
签名过程创建纯源消息的指纹（称为消息摘要），使用发送者的私钥加密并包括在传递的消息中。收件人的邮件客户端可以判断消息主体是否被篡改。
您可能会说，“我认为 DKIM 给我消息完整性检查！”是的，DKIM 提供消息主体和 消息头 的完整性检查——反篡改保证。然而，DKIM 失败（或缺失）通常不会导致传入消息被标记为完全无效……除非正在执行 DMARC 策略的p=reject（参见我们的博客文章 DMARC: 如何保护您的电子邮件声誉）。DKIM是许多因素中的一个，用于ISP可靠地分配域声誉，并且当然是您消息传输堆栈中的必要部分。
如果 S/MIME 消息失败签名检查，您的邮件客户端将显眼地显示：
总结：端到端（S/MIME）与服务器到服务器（DKIM，DMARC，TLS）
S/MIME是一种演示层能力，可以在两个电子邮件终端用户之间工作（具有有效的证书/密钥），无需电子邮件管理员的任何操作。S/MIME提供加密和签名，每位用户个人使用。
S/MIME绑定到完整的发送地址（本地部分和域部分），例如，alice@bigcorp.com 和 bob@bigcorp.com 需要不同的证书。相比之下，DKIM 验证邮件来自签名域。DKIM 是一个完整的主题，这篇文章是一个好的起点。
DKIM 和 DMARC 的设置由您的邮件管理员完成（在邮件服务器和DNS记录上工作）。设置完成后，它们对域有效，而不是针对个人用户。
简短版：
隐私
如果您的消息不包含任何个人、隐私或法律重要的信息，那么您可能不需要考虑 S/MIME。现代电子邮件传输系统如 SparkPost 已经使用“opportunistic TLS”来确保从发送服务器到接收服务器的消息传输安全。
然而，“opportunistic”部分确实意味着如果发送服务器无法协商安全连接，我们将以纯文本发送邮件。如果您想确保消息在整个过程中都安全，这不适用。您可以看一下 哪些邮箱提供商声称支持TLS 和哪些 实际上支持。假设收件人的服务器支持TLS，您的消息是这样被保护的：
TLS确保邮件服务器之间的对话安全（这就是为什么它被称为传输层安全）。MIME（包括 S/MIME）关注信息内容及其处理，可以被认为是“展示层”的一部分。
S/MIME保护消息 内容 从消息来源到收件人邮件客户端的整个过程，将消息主体进行封装。
S/MIME 使用收件人的公钥加密消息主体。消息主体不能在没有收件人私钥的情况下解码——不能被任何“中间人”如您的ISP、SparkPost或收件人的邮件服务器。
私钥永不泄露，它由接收者独占持有。加密的消息通过互联网传输到接收邮件服务器。当它到达收件人的收件箱时，它通常会自动使用他们的私钥解密并变得可读。
需要注意一些 S/MIME 的问题：
S/MIME 加密的一个副作用是防止服务器的入站消息扫描病毒，因为消息载荷是加密形式的，因此不可识别。
注意消息 头（From:, To:, Subject:等）没有被加密，因此需要考虑主题行的内容。
签名 – 验证身份
S/MIME也提供给接收者检查消息发送者 是否是他们所说的人 的能力。
发送者的电子邮件附有证书，该证书就像安全网站上的证书，可以追溯到颁发机构。有关签名过程的完整描述，请参见 S/MIME签名过程PDF。
我们将采取先签署邮件，然后加密的方式，因此流程如下所示。
发起不否认
签名对接收者的另一个有用好处是起源的不否认。考虑一种情况，电子邮件消息用于批准合同。接收者收到了来自发送者的消息中的合同。如果发送者稍后试图说，“不，我从未向您发送过该消息”，那么已收到的消息表明实际上使用了发送者的证书。
消息完整性
签名过程创建纯源消息的指纹（称为消息摘要），使用发送者的私钥加密并包括在传递的消息中。收件人的邮件客户端可以判断消息主体是否被篡改。
您可能会说，“我认为 DKIM 给我消息完整性检查！”是的，DKIM 提供消息主体和 消息头 的完整性检查——反篡改保证。然而，DKIM 失败（或缺失）通常不会导致传入消息被标记为完全无效……除非正在执行 DMARC 策略的p=reject（参见我们的博客文章 DMARC: 如何保护您的电子邮件声誉）。DKIM是许多因素中的一个，用于ISP可靠地分配域声誉，并且当然是您消息传输堆栈中的必要部分。
如果 S/MIME 消息失败签名检查，您的邮件客户端将显眼地显示：
总结：端到端（S/MIME）与服务器到服务器（DKIM，DMARC，TLS）
S/MIME是一种演示层能力，可以在两个电子邮件终端用户之间工作（具有有效的证书/密钥），无需电子邮件管理员的任何操作。S/MIME提供加密和签名，每位用户个人使用。
S/MIME绑定到完整的发送地址（本地部分和域部分），例如，alice@bigcorp.com 和 bob@bigcorp.com 需要不同的证书。相比之下，DKIM 验证邮件来自签名域。DKIM 是一个完整的主题，这篇文章是一个好的起点。
DKIM 和 DMARC 的设置由您的邮件管理员完成（在邮件服务器和DNS记录上工作）。设置完成后，它们对域有效，而不是针对个人用户。
简短版：
隐私
如果您的消息不包含任何个人、隐私或法律重要的信息，那么您可能不需要考虑 S/MIME。现代电子邮件传输系统如 SparkPost 已经使用“opportunistic TLS”来确保从发送服务器到接收服务器的消息传输安全。
然而，“opportunistic”部分确实意味着如果发送服务器无法协商安全连接，我们将以纯文本发送邮件。如果您想确保消息在整个过程中都安全，这不适用。您可以看一下 哪些邮箱提供商声称支持TLS 和哪些 实际上支持。假设收件人的服务器支持TLS，您的消息是这样被保护的：
TLS确保邮件服务器之间的对话安全（这就是为什么它被称为传输层安全）。MIME（包括 S/MIME）关注信息内容及其处理，可以被认为是“展示层”的一部分。
S/MIME保护消息 内容 从消息来源到收件人邮件客户端的整个过程，将消息主体进行封装。
S/MIME 使用收件人的公钥加密消息主体。消息主体不能在没有收件人私钥的情况下解码——不能被任何“中间人”如您的ISP、SparkPost或收件人的邮件服务器。
私钥永不泄露，它由接收者独占持有。加密的消息通过互联网传输到接收邮件服务器。当它到达收件人的收件箱时，它通常会自动使用他们的私钥解密并变得可读。
需要注意一些 S/MIME 的问题：
S/MIME 加密的一个副作用是防止服务器的入站消息扫描病毒，因为消息载荷是加密形式的，因此不可识别。
注意消息 头（From:, To:, Subject:等）没有被加密，因此需要考虑主题行的内容。
签名 – 验证身份
S/MIME也提供给接收者检查消息发送者 是否是他们所说的人 的能力。
发送者的电子邮件附有证书，该证书就像安全网站上的证书，可以追溯到颁发机构。有关签名过程的完整描述，请参见 S/MIME签名过程PDF。
我们将采取先签署邮件，然后加密的方式，因此流程如下所示。
发起不否认
签名对接收者的另一个有用好处是起源的不否认。考虑一种情况，电子邮件消息用于批准合同。接收者收到了来自发送者的消息中的合同。如果发送者稍后试图说，“不，我从未向您发送过该消息”，那么已收到的消息表明实际上使用了发送者的证书。
消息完整性
签名过程创建纯源消息的指纹（称为消息摘要），使用发送者的私钥加密并包括在传递的消息中。收件人的邮件客户端可以判断消息主体是否被篡改。
您可能会说，“我认为 DKIM 给我消息完整性检查！”是的，DKIM 提供消息主体和 消息头 的完整性检查——反篡改保证。然而，DKIM 失败（或缺失）通常不会导致传入消息被标记为完全无效……除非正在执行 DMARC 策略的p=reject（参见我们的博客文章 DMARC: 如何保护您的电子邮件声誉）。DKIM是许多因素中的一个，用于ISP可靠地分配域声誉，并且当然是您消息传输堆栈中的必要部分。
如果 S/MIME 消息失败签名检查，您的邮件客户端将显眼地显示：
总结：端到端（S/MIME）与服务器到服务器（DKIM，DMARC，TLS）
S/MIME是一种演示层能力，可以在两个电子邮件终端用户之间工作（具有有效的证书/密钥），无需电子邮件管理员的任何操作。S/MIME提供加密和签名，每位用户个人使用。
S/MIME绑定到完整的发送地址（本地部分和域部分），例如，alice@bigcorp.com 和 bob@bigcorp.com 需要不同的证书。相比之下，DKIM 验证邮件来自签名域。DKIM 是一个完整的主题，这篇文章是一个好的起点。
DKIM 和 DMARC 的设置由您的邮件管理员完成（在邮件服务器和DNS记录上工作）。设置完成后，它们对域有效，而不是针对个人用户。
这与SparkPost有什么关系?
用于个人间消息传递的邮件系统，例如 Microsoft Exchange Server，长久以来支持 S/MIME。
如果您使用 SparkPost 向能够读取 S/MIME 的邮件客户端的特定收件人发送邮件，那么对您的消息进行 S/MIME 签名可能是有意义的。S/MIME 签名进一步保证消息确实是来自您（或您的系统），并且未被篡改，这在某些使用场景中可能是有价值的。您只需要为此准备自己的密钥和一些免费软件，我们将在本文的第二部分中演示。
使用 S/MIME 加密是一个单独的选择。您需要了解每位收件人的公钥。获得这个可能很简单，只需让他们给您（或您的应用程序）发送一封已签名的电子邮件即可。我们将在后续文章中探讨通过 SparkPost 发送 S/MIME 签名和加密邮件的实用工具。
用于个人间消息传递的邮件系统，例如 Microsoft Exchange Server，长久以来支持 S/MIME。
如果您使用 SparkPost 向能够读取 S/MIME 的邮件客户端的特定收件人发送邮件，那么对您的消息进行 S/MIME 签名可能是有意义的。S/MIME 签名进一步保证消息确实是来自您（或您的系统），并且未被篡改，这在某些使用场景中可能是有价值的。您只需要为此准备自己的密钥和一些免费软件，我们将在本文的第二部分中演示。
使用 S/MIME 加密是一个单独的选择。您需要了解每位收件人的公钥。获得这个可能很简单，只需让他们给您（或您的应用程序）发送一封已签名的电子邮件即可。我们将在后续文章中探讨通过 SparkPost 发送 S/MIME 签名和加密邮件的实用工具。
用于个人间消息传递的邮件系统，例如 Microsoft Exchange Server，长久以来支持 S/MIME。
如果您使用 SparkPost 向能够读取 S/MIME 的邮件客户端的特定收件人发送邮件，那么对您的消息进行 S/MIME 签名可能是有意义的。S/MIME 签名进一步保证消息确实是来自您（或您的系统），并且未被篡改，这在某些使用场景中可能是有价值的。您只需要为此准备自己的密钥和一些免费软件，我们将在本文的第二部分中演示。
使用 S/MIME 加密是一个单独的选择。您需要了解每位收件人的公钥。获得这个可能很简单，只需让他们给您（或您的应用程序）发送一封已签名的电子邮件即可。我们将在后续文章中探讨通过 SparkPost 发送 S/MIME 签名和加密邮件的实用工具。
哪些客户支持 S/MIME？
Consumer Gmail
普通的 Gmail 网页客户端会显示传入邮件签名（见下），但是它未设置为持有你的私钥以读取加密信息。即使可以通过第三方插件实现，从安全角度来看，上传私钥也不是一个好主意。
我无法让 Yahoo! Mail 解码信息中的签名。
微软 Outlook/Hotmail 消费者版本会提醒你 S/MIME 签名的存在，但不会给你完全访问或查看证书的权限。
Hosted business mail
对于托管邮件的组织，Microsoft Office 365 和 G Suite Enterprise 支持 S/MIME。
Outlook mail clients
基于客户端的 Microsoft Outlook（如 Windows 的2010）可正常工作：
点击图标可以获得更多信息：
在 Outlook 2010 / Windows 上，证书存储通过文件 / 选项 / 信任中心 / 信任中心设置 / 邮件安全性 / 导入 / 导出访问。
Thunderbird – 跨平台且免费
如果你在找一个免费的客户端，Mozilla Thunderbird 是个好选择。它可以在 PC、Mac 和 Linux 上使用，并支持所有这些平台上的 S/MIME。以下是 Mac 上邮件的外观。“密封信封”图标表示邮件已签名，而挂锁表示邮件已加密。
点击信封/挂锁可以显示有关邮件的信息：
Thunderbird 有自己的密钥存储，在每个平台的访问方式类似：
Mac 通过偏好设置 / 高级设置 / 证书 / 管理证书
PC：菜单（“汉堡”右上方），高级设置 / 证书 / 管理证书
Linux：菜单（“汉堡”右上方），偏好设置 / 高级设置 / 管理证书
Mac Mail
Mac Mail 也支持 S/MIME。它依靠你的 Mac 钥匙链持有你的密钥。
iOS Mail
首先，这样导入你的电子邮件帐户的证书，然后你可以查看 S/MIME 签名和加密的电子邮件。它们在查看屏幕上的外观没有什么不同。
Consumer Gmail
普通的 Gmail 网页客户端会显示传入邮件签名（见下），但是它未设置为持有你的私钥以读取加密信息。即使可以通过第三方插件实现，从安全角度来看，上传私钥也不是一个好主意。
我无法让 Yahoo! Mail 解码信息中的签名。
微软 Outlook/Hotmail 消费者版本会提醒你 S/MIME 签名的存在，但不会给你完全访问或查看证书的权限。
Hosted business mail
对于托管邮件的组织，Microsoft Office 365 和 G Suite Enterprise 支持 S/MIME。
Outlook mail clients
基于客户端的 Microsoft Outlook（如 Windows 的2010）可正常工作：
点击图标可以获得更多信息：
在 Outlook 2010 / Windows 上，证书存储通过文件 / 选项 / 信任中心 / 信任中心设置 / 邮件安全性 / 导入 / 导出访问。
Thunderbird – 跨平台且免费
如果你在找一个免费的客户端，Mozilla Thunderbird 是个好选择。它可以在 PC、Mac 和 Linux 上使用，并支持所有这些平台上的 S/MIME。以下是 Mac 上邮件的外观。“密封信封”图标表示邮件已签名，而挂锁表示邮件已加密。
点击信封/挂锁可以显示有关邮件的信息：
Thunderbird 有自己的密钥存储，在每个平台的访问方式类似：
Mac 通过偏好设置 / 高级设置 / 证书 / 管理证书
PC：菜单（“汉堡”右上方），高级设置 / 证书 / 管理证书
Linux：菜单（“汉堡”右上方），偏好设置 / 高级设置 / 管理证书
Mac Mail
Mac Mail 也支持 S/MIME。它依靠你的 Mac 钥匙链持有你的密钥。
iOS Mail
首先，这样导入你的电子邮件帐户的证书，然后你可以查看 S/MIME 签名和加密的电子邮件。它们在查看屏幕上的外观没有什么不同。
Consumer Gmail
普通的 Gmail 网页客户端会显示传入邮件签名（见下），但是它未设置为持有你的私钥以读取加密信息。即使可以通过第三方插件实现，从安全角度来看，上传私钥也不是一个好主意。
我无法让 Yahoo! Mail 解码信息中的签名。
微软 Outlook/Hotmail 消费者版本会提醒你 S/MIME 签名的存在，但不会给你完全访问或查看证书的权限。
Hosted business mail
对于托管邮件的组织，Microsoft Office 365 和 G Suite Enterprise 支持 S/MIME。
Outlook mail clients
基于客户端的 Microsoft Outlook（如 Windows 的2010）可正常工作：
点击图标可以获得更多信息：
在 Outlook 2010 / Windows 上，证书存储通过文件 / 选项 / 信任中心 / 信任中心设置 / 邮件安全性 / 导入 / 导出访问。
Thunderbird – 跨平台且免费
如果你在找一个免费的客户端，Mozilla Thunderbird 是个好选择。它可以在 PC、Mac 和 Linux 上使用，并支持所有这些平台上的 S/MIME。以下是 Mac 上邮件的外观。“密封信封”图标表示邮件已签名，而挂锁表示邮件已加密。
点击信封/挂锁可以显示有关邮件的信息：
Thunderbird 有自己的密钥存储，在每个平台的访问方式类似：
Mac 通过偏好设置 / 高级设置 / 证书 / 管理证书
PC：菜单（“汉堡”右上方），高级设置 / 证书 / 管理证书
Linux：菜单（“汉堡”右上方），偏好设置 / 高级设置 / 管理证书
Mac Mail
Mac Mail 也支持 S/MIME。它依靠你的 Mac 钥匙链持有你的密钥。
iOS Mail
首先，这样导入你的电子邮件帐户的证书，然后你可以查看 S/MIME 签名和加密的电子邮件。它们在查看屏幕上的外观没有什么不同。
