S/MIME 邮件证书怎么选（2026）

对大多数人来说，最合适的 S/MIME 证书是邮箱验证型，2026 年 11 月 10 日核实到最便宜的是 SSL.com Basic S/MIME，1 年 $14.00。要代表公司签名，或者用 invoices@example.com 这类共享邮箱发信，就选组织验证型，让收件人看到公司名称；Sectigo 的组织验证型证书在 GoGetSSL 卖 $38.25。多花钱并不会让加密更强，买到的是证书里的身份信息和 CA 品牌。

价格于 2026 年 11 月 10 日在卖家官网核实，经常变动，一切以商家结账页为准。排序只看价格和功能，与佣金无关。

核实过的 S/MIME 证书价格

邮箱验证型最便宜的是 SSL.com Basic S/MIME（$14.00），组织验证型最便宜的是 GoGetSSL 的 Sectigo Organization Validated（$38.25）。

GoGetSSL 还有一个更便宜的 Sectigo 邮箱证书“Strict”配置，价格写在证书页上。同一款 Sectigo 组织验证型证书，一家 $38.25，另一家 $69.00，所以先比同款再比品牌。

S/MIME 证书的四种类型

2023 年 9 月 1 日起，公开受信任的 S/MIME 证书要遵守 CA/浏览器论坛的《S/MIME 基线要求》。它按证书主体里写什么，把证书分成四种：

• 邮箱验证型： 只写邮箱地址（可选通用名或序列号）。CA 只确认你控制这个邮箱，一般是给邮箱发一封确认邮件。最便宜、最快。
• 组织验证型： 只写组织信息，不写个人姓名，适合共享邮箱和职能邮箱。
• 赞助者验证型： 写员工姓名，同时写所属组织，适合代表公司对外签名的员工。
• 个人验证型： 只写经过核实的个人姓名，不写组织。

要分清签名能证明什么：收件人验证签名成功，说明邮件发出后没有被改动，而且确实来自持有这个邮箱证书私钥的人；但邮箱验证型证书里没有姓名和公司，它不能证明发件人在现实中是谁。如果你希望收件人确认“这封发票邮件确实来自某某公司”，就需要组织验证型或赞助者验证型。

SSL.com 除了 Basic S/MIME，还卖个人验证、组织验证和赞助者验证几档。按收件人需要看到的信息，选最低够用的那一档。

配置和有效期

Strict 和 Multipurpose 配置的 S/MIME 证书最长可以有效 825 天。《S/MIME 基线要求》定义了三代配置：Strict 把证书用途限定为邮件保护，是长期目标；Multipurpose 允许附加其他扩展密钥用途；Legacy 是过渡用的，2025 年 7 月 15 日起已不允许用它签发新证书。

这一点和网站证书不同。TLS 证书的时间表（2026 年 3 月 15 日起最长 200 天，2027 年 3 月 15 日起 100 天，2029 年 3 月 15 日起 47 天）不适用于 S/MIME。不过多年期订阅仍可能超过单张证书的寿命：SSL.com 的 Basic S/MIME 3 年期（每年 $11.90）覆盖的时间超过 825 天，期内至少要重签一次。

审核流程

邮箱验证型靠自动邮件确认，组织验证型要按“几天”来安排。邮箱验证型证书，CA 只需确认你控制证书里的每个邮箱，通常靠自动发送的确认邮件。组织验证型就多了几步，Sectigo 的说明里包括：通过政府或税务等可靠来源核实组织合法存在；给经过核实的企业电话打自动回拨；对申请人做一次自动视频身份核验（Video ID）。国内企业申请时，组织名称要用和登记信息一致的英文名称，企业电话要能在公开渠道查到。

邮件客户端支持

装好证书后，Outlook、Apple Mail 和 Thunderbird 都能用 S/MIME；Gmail 只在部分 Google Workspace 版本中支持。

• Outlook： 微软的说明是，先安装数字证书（Digital ID），再在信任中心的电子邮件安全设置里选中它。给别人发加密邮件需要对方的证书，微软建议请对方先发一封签名邮件，再把对方存为联系人。
• Apple Mail： 每个用来签名的邮箱都要有证书，导入“钥匙串访问”。钥匙串里没有收件人的证书，邮件就会以不加密的方式发出。
• Thunderbird： 一直支持 S/MIME；Thunderbird 78 加入内置 OpenPGP 后，可以在账户的加密设置里选择用哪一种。
• Gmail： 托管 S/MIME 只在 Google Workspace 的 Frontline Plus、Enterprise Plus 和教育版中提供，还要管理员开启。
• 国内邮箱： 如果你的收件人主要用网页版国内邮箱，先确认对方的客户端能否显示和验证 S/MIME 签名，再决定是否值得部署。

私钥：自己生成，务必备份

私钥最好自己生成，而且无论谁生成都要备份。《S/MIME 基线要求》允许 CA 代你生成密钥对，也允许 CA 托管一份私钥备份，前提是写进其政策并通知你；通过 CSR 自己生成，私钥始终在自己手里。备份私钥的原因是：证书过期或更换后，没有旧私钥就打不开以前收到的加密邮件。建议导出成带密码的 PKCS#12（.p12/.pfx）文件保存，格式说明见我们的 SSL 格式转换工具。

买哪个

个人用 SSL.com Basic S/MIME（$14.00）就够；公司要选组织验证型或赞助者验证型。

• 个人签名和加密，只看最低价： SSL.com Basic S/MIME，$14.00。
• 偏好 DigiCert 品牌： DigiCert S/MIME Class 1，The SSL Store $19.00。
• 本来就在 GoGetSSL 或 Trustico 买 Sectigo 证书： Sectigo Mailbox Validated，$28.25 起。
• 公司、部门或共享邮箱： Sectigo Organization Validated，GoGetSSL $38.25。
• 员工既要显示本人姓名又要显示公司： 赞助者验证型证书。

要给软件签名而不是给邮件签名，见代码签名证书怎么选；想在 Gmail 里显示品牌标志，见 VMC 与 BIMI。