先说加密证书，为了保证用户在各种终端设备上登录邮箱后都能自动解密以前加密的邮件，给用户最好的使用体验，经研究和借鉴各大云服务提供商提供的云密钥管理服务，密信也采用云密钥管理方式来管理加密证书密钥，加密证书私钥由云端系统自动生成后下发到用户端。
首先，加密证书私钥是在符合国际标准FIPS 140-2 Level 3的硬件加密机(HSM)上产生，符合WebTrust国际标准对私钥生成和保护的要求。而国密算法SM2加密证书证书私钥则是在取得商用密码产品认证证书的密码机上产生，并符合相关国家标准对私钥的生成和保护的要求。用户私钥会分割成两部分分别加密保存在不同的密钥管理数据库中。其次，用户必须是成功登录邮箱并完成邮箱控制权验证后才能取到绑定此邮箱的私钥和公钥，并安全地存放在用户终端设备上。
密信密钥管理系统(KM)采取了多种安全保护措施来保证密钥的安全，这些保护措施通过了第三方代码安全测试公司安全审计和通了权威的WebTrust国际标准审计和国密局的相关审查和验收，多方安全认证，请放心使用。
密信加密证书私钥的安全有四个不同的保护级别，满足不同用户对密钥安全的不同需求：
(1) 默认保护级别
这是依赖于邮箱密码验证通过(成功登录邮箱)才下发加密证书(无需设置证书保护密码，由系统自动设置)，只要用户邮箱密码是安全的，则用户证书私钥也是安全的。此基础保护措施是为了方便了用户的证书使用，用户只需像使用其他邮件客户端软件一样正确设置好邮箱后登录邮箱就可以发送加密邮件，无需关心证书是如何申请到的，无需额外记住证书保护密码和无需关心证书如何安装。
(2) 增强保护级别
为了加强加密证书私钥的安全，强烈建议用户登录密信官网设置证书私钥保护密码(设置一个不同于邮箱密码的密码)，这样，密信App下发加密密钥和加密证书时不仅要验证邮箱控制权，同时还要验证用户设置的证书保护密码，双重保障私钥安全和加密的邮件安全。
其优点是：即使邮箱密码被盗，盗贼也由于不知道证书保护密码而拿不到加密证书，从而确保了加密邮件不会被非法破解；其缺点是用户不仅要记住邮箱密码，而且还需要记住证书保护密码，多记一个密码，请牢记。
请注意：如果你的邮箱已经用于绑定其他服务系统账户，强烈建议您采用增强保护级别，设置并牢记证书保护密码。
(3) 高级保护级别
目前密信邮件证书私钥是软证书模式，对于有更高要求的用户，我们计划将来支持用USB
Key、蓝牙Key或SIM卡Key来保护用户的私钥安全。
(4) 部署企业密钥管理系统
以上保护措施都是基于使用密信公共密钥管理系统的用户端保护措施，而对于对加密证书密钥有更高的安全可控要求的单位用户(如：政府机构、金融机构和大企业)，可以选购密信企业密钥管理系统(企业 KM)在单位内网本地部署使用。这是一个即插即用的系统，只需接入单位内网并配置好相关单位邮箱域名信息即可。本单位员工只能从单位企业KM获取加密证书密钥，从而实现加密密钥的自己管控，满足有关安全可控要求。
对于签名证书，由于签名证书含有身份信息，其数字签名具有等同于手写签名的法律效力，所以，密信不在云端生成和保存用户签名证书私钥，私钥在用户本地设备生成并安全保存，不上传到云端。用户每次在新设备上使用密信App时系统都会签发一张新的签名证书给用户，两个设备上的签名证书是两张不同的证书，当然证书中的身份信息是一致的。
签名证书除了本地生成密钥不同外，私钥的保护也是同加密证书采用三个不同的安全保护级别，满足不同用户的安全需求。一旦用户设置了证书保护密码，则签名证书和加密证书都是采用这个密码，无需分开单独设置。
总结一下：为了妥善处理密钥安全与易用性的矛盾，密信采用了云密钥管理服务模式，并采用了双证书，把加密证书与签名证书分离为两张独立的证书。而为了方便用户在不同终端设备上都能解密加密邮件，在所有密信App中默认配置的加密证书是同一张证书，是第一次使用密信App在密信云端服务器生成并安全存储的。而对于部署了企业KM的用户，则加密证书密钥安全地存放在企业KM中，密信不会上传备份企业KM用户的加密密钥。加密证书的密钥使用期为3年，一旦加密证书过期，则会自动生成新的加密密钥和加密证书，旧的加密证书也会保存下发使用，用于解密以前用此证书加密的邮件，但是在密信App的证书管理菜单中不可见。这样就完美地解决了用户头疼的管理过期证书的难题。
而签名证书是在用户设备端生成密钥并只保存在用户本地设备上，这样不同的设备就会是不同的签名证书，不会是同一张证书，但是身份信息是一样，一样都可以用于数字签名。免费版服务自动配置的签名证书有效期为一年，到期后重新在本地设备生成新的密钥和自动配置新的签名证书，旧的签名证书将不再使用和不在密信App证书管理中显示。而收费版服务的签名证书，用户可选1-3年有效期，到期后用户需要续费才能重新生成和自动配置新的含有可信身份信息的签名证书，如果用户不再续费，则自动降级为免费版和自动配置免费版签名证书。
导出密信证书到其他邮件客户端上去使用不是一件容易的事情，建议您还是直接用密信App即可，无需费力导出证书到其他邮件客户端上去使用。如果您需要的功能密信App没有，请告诉我们，我们将尽力在后续版本提供。密信App Windows版会自动把密信默认配置的加密证书、签名证书安全地保存在Windows证书存储库，是不能导出的。
密信App Windows版会自动安装密信根证书到“受信任的根证书颁发机构”中，用户证书也是自动安装在Windows用户证书库中，方便Outlook用户无需任何设置就可以直接自动使用密信系统签发的加密证书和签名证书，只需在用Outlook发送邮件时选择“签署”和/或“加密”即可。
密信App移动版也不提供密信证书导出功能，我们认为导出证书到其他邮件客户端上使用是一件费时费力的事情，完全没有任何必要，建议您不要浪费精力，直接用密信App。
如果用户选购了全球信任的Vp邮件证书，则此证书也是不可导出的。
邮箱设置成功后，密信App会自动向默认CA申请证书并自动配置好一张加密证书和一张签名证书。请在“证书管理”中查看您的默认两张证书是否已经安装好。
如果您的密信App在运行状态，一般情况下一分钟之内都是可以自动拿到证书的。如果一直没有拿到证书，请点击“意见反馈”，详细告知您的设备型号、证书管理页面截图等信息，以便我们排查故障原因。
可以。只需把PFX格式证书作为邮件附件发邮件到自己邮箱即可，密信收到后点击附件证书就可以安装此证书，安装成功后，就可以用此证书解密以前用此证书加密的邮件了。也可以设置导入的证书为默认加密证书和签名证书。
不可以。您的电子邮件账户一旦设置成功，系统会自动配置一张加密证书和签名证书，此证书为账户证书，将提供基础通信安全加密服务，在您没有导入其他证书之前也是默认签名证书和加密证书，如果您导入了其他证书和申请了其他级别的身份认证，您可以把您导入的证书或其他级别的身份证书设置为默认证书，但是系统自动配置的账户证书是不能删除的。
是的，为了您的机密信息高度安全，我们计划支持USB Key、蓝牙Key或SIM卡Key，您可以把证书导入到硬件Key中，只有您的手机连接上硬件Key后才能解密加密的邮件，一旦断开与手机的连接，则密信App无法解密加密邮件。
密信默认加密证书有效期为39个月，默认签名证书有效期为13个月，密信App会自动为您的快要过期的证书自动重新签发新的证书，并自动配置和启用新证书。已经过期的加密证书将继续保留在您的账户中用于解密以前的加密邮件。而过期的签名证书将被移除。
您可以访问密信官网用密信App扫码登录您的账户后申请吊销账户证书，如果您已经设置证书保护密码，则还需要输入证书保护密码。请注意：一旦证书吊销成功，用此证书加密的邮件将不能解密除非您能通过验证拿到新的加密证书。
同时，请注意：如果您把密信用于非法用途，密信保留吊销您的加密证书和签名证书的权利，一旦您的证书由于非法使用密信而被吊销，则此邮箱将不能再申请证书，也无法用已经签发的证书来解密以前已经加密的邮件。请参考相关 法律条款。
如果您的手机掉了，强烈建议您马上登录密信官网账户，找到设备列表，设置在丢失设备上禁用密信App，同时马上申请吊销加密证书和签名证书，这样捡到手机的人即使能打开你的手机，但由于解密证书已经吊销也就无法查看您的加密邮件。如果您设置了证书保护密码，强烈建议您马上修改证书保护密码。如果您没有设置证书保护密码，强烈建议您马上设置一个不同于邮箱密码的证书保护密码。