S/MIME 证书邮件加密如何实施与部署？

S/MIME 基于 X.509 公钥证书。可向公共 CA（如 DigiCert、Sectigo）申请个人证书，或使用企业内部 PKI（如 Active Directory 证书服务）签发。证书绑定邮箱地址，包含公钥、使用者标识与 CA 签名链（RFC 5280）。

将签发的证书（含私钥）导出为 PKCS#12（.pfx/.p12）并在客户端导入：Outlook 经「信任中心 → 电子邮件安全」导入；Thunderbird 在「证书管理器」导入；移动端通过配置描述文件或 MDM 下发。私钥必须受设备口令或硬件令牌保护。

发送时客户端用自己私钥对邮件签名（multipart/signed，S/MIME v4.0 用 CMS，RFC 8551），用收件人证书公钥加密（application/pkcs7-mime）。收件方客户端自动用自己私钥解密、用对方证书验签；加密前需在通讯录中存有对方证书（或经目录/LDAP 获取）。

加密前客户端需取得对方有效证书；企业常通过 LDAP/AD 或目录同步发布用户证书。邮件客户端会校验证书链至受信根 CA、检查有效期与吊销状态（CRL/OCSP），过期或被吊销的证书将导致加密失败。

离职或私钥泄露时需吊销证书并通过 CRL/OCSP 发布，否则历史邮件仍可被解密。建议结合密钥归档（企业托管恢复密钥）以兼顾合规与可用性。S/MIME 的集中式 PKI 使其比 PGP 更易于在企业内统一治理。