Certificados S/MIME

Um certificado S/MIME serve dois propósitos:

• Encripta o corpo do e-mail e quaisquer anexos utilizando a chave pública do destinatário, de modo que apenas a chave privada do destinatário consiga desencriptá-lo.
• Aplica uma assinatura digital utilizando a chave privada do remetente, provando quem enviou o e-mail e que nada foi alterado após o envio.

Os destinatários verificam essa assinatura com a chave pública do remetente.

Esta proteção defende contra ataques de phishing e ataques man-in-the-middle ao nível da mensagem.

O S/MIME funciona de forma diferente do TLS no seu servidor de e-mail. O TLS protege a ligação entre servidores enquanto os e-mails estão em trânsito, mas assim que uma mensagem chega a uma caixa de entrada, fica armazenada sem encriptação no servidor. O S/MIME encripta a própria mensagem, mantendo-a protegida desde o momento em que sai da sua caixa de saída até o destinatário a abrir.

Os Requisitos de Base S/MIME do CA/Browser Forum, em vigor desde setembro de 2023, definem quatro tipos de validação que determinam que informações de identidade um certificado contém:

• Mailbox-Validated (MV) confirma que controla o endereço de e-mail. Sem verificações de identidade além disso. Ideal para e-mail pessoal ou uma configuração rápida. Os certificados Sectigo Basic e Pro da SSL Dragon enquadram-se nesta categoria.
• Individual-Validated (IV) verifica a identidade real do titular do certificado através de documento de identificação emitido pelo governo. Adequado para freelancers e profissionais que precisam de provar a sua identidade na correspondência.
• Organization-Validated (OV) verifica a existência legal da organização e apresenta o nome da empresa no certificado. Uma escolha sólida para empresas que enviam a partir de endereços partilhados ou departamentais. O Sectigo Enterprise utiliza este nível de validação.
• Sponsor-Validated (SV) é emitido por uma organização para os seus colaboradores, confirmando tanto a empresa como o representante individual. O DigiCert Secure Email for Business utiliza validação sponsor e é o padrão para implementações a nível empresarial.

• Organizações de saúde que tratam informações de saúde protegidas (PHI) precisam de encriptação de e-mail para cumprir os requisitos da HIPAA. Um certificado de e-mail aplicado às contas de clínicos e administrativos satisfaz essa obrigação.
• Escritórios de advocacia e instituições financeiras enfrentam regras rigorosas de confidencialidade dos clientes e uma exposição crescente a ataques de Business Email Compromise (BEC). Um e-mail com assinatura digital permite aos clientes confirmar que a mensagem veio do seu advogado ou consultor real.
• Empresas que operam sob o GDPR devem proteger os dados pessoais em trânsito. A encriptação de e-mail com S/MIME fornece uma salvaguarda clara e auditável.
• Empresas reguladas pela FDA que submetem dados através do Electronic Submissions Gateway (ESG) podem utilizar os certificados de e-mail seguro da DigiCert, que cumprem os requisitos de conformidade da FDA ESG. Tipos de certificados relacionados, como os de assinatura de código e de assinatura de documentos, cobrem outros cenários de conformidade.