Outlook 怎么发送加密邮件：新版 Outlook 步骤与管理员检查清单

简短回答： 在新版 Outlook 中，写好邮件后选择 Options（选项）> Encrypt（加密），再选 Encrypt 或 Do Not Forward（不可转发），然后发送。两个选项用的都是 Microsoft Purview 邮件加密。Encrypt 只保护内容，收件人仍可转发、复制、打印；Do Not Forward 还会禁止这些操作。管理员用一条 Exchange Online PowerShell 检查，就能确认功能已开启。

本文写给需要发送保密邮件的员工，以及要确保这项功能能用的 IT 管理员。读完你能发出一封加密邮件、确认租户已就绪，并告诉外部收件人怎么打开。微软只为新版 Outlook 提供了逐步操作说明，所以只有新版 Outlook 的步骤是精确的；其他客户端我们只写微软有文档说明的内容。文中事实已于 2026 年 10 月 28 日对照 Microsoft Learn 和 Microsoft Support 核对。

先选对加密方式

Outlook 有两种机制，同一封邮件上不要叠用。

• Microsoft Purview 邮件加密：收件人在组织内外都行，包括 Gmail、Yahoo、Outlook.com，不需要交换证书。本文讲的就是这个。
• S/MIME：双方都要有证书。微软明确说，已经做过 S/MIME 签名或加密的邮件，不应再套用 Purview 邮件加密。

对大多数中小企业，Purview 邮件加密更实用。

Encrypt 和 Do Not Forward 的区别

Microsoft Learn 的说法如下：

• Encrypt（也叫 encrypt-only）：邮件加密，收件人必须通过身份验证。他们拥有除"另存为/导出"和"完全控制"之外的所有使用权限，实际上可以复制内容、打印、转发，但不能去掉加密。
• Do Not Forward：邮件加密，收件人必须通过身份验证。不能转发、不能打印、不能复制内容；转发按钮不可用，收件人（To、Cc、Bcc）也改不了。附带的 Office 文档会继承同样的限制。

只需要保护内容的传输和存放，用 Encrypt。只允许你指定的人看到，用 Do Not Forward。

用户步骤

Windows 版新版 Outlook

1. 新建邮件，照常写好内容。
2. 选 Options > Encrypt。
3. 选 Encrypt 或 Do Not Forward。
4. 选 Send 发送。

其他 Outlook 客户端

微软的支持页面只给出新版 Outlook 的精确步骤。Microsoft Learn 确认经典版 Outlook（Windows、Mac）和网页版 Outlook 都有 Encrypt 选项，并说明创建 encrypt-only 邮件需要 Outlook for PC 2019 或 Microsoft 365 应用。我们核对的页面没有给出这些客户端的按钮路径，所以请打开邮件的选项，按屏幕上的标签 Encrypt 和 Do Not Forward 操作。如果很多用户在用经典版 Outlook，先在一台电脑上试，再写一页自己的操作说明。

如果看不到 Encrypt，可能是该用户的授权不包含此功能，或租户尚未激活 Azure Rights Management。见下面的管理员部分。

两个限制

• 含附件的邮件大小上限是 25 MB。来自 SharePoint 或 OneDrive 的云附件不受保护。
• PDF 附件要管理员开启后才会加密（见管理员部分）。

管理员步骤：确认功能已开启

Purview 邮件加密要求租户里已激活 Azure Rights Management 服务。对多数符合条件的订阅，微软会自动激活。

包含该功能的授权（来自 Microsoft Purview 邮件加密 FAQ）：Office 365 E3 和 E5、Microsoft 365 E3 和 E5、Microsoft 365 Business Premium，以及教育版 A1、A3、A5。Exchange Plan 1、Exchange Plan 2、Office 365 F3、Microsoft 365 Business Basic、Business Standard 和 Office 365 E1，可以通过加购 Azure Information Protection Plan 1 获得。每个受益用户都需要授权。

用 Compliance Administrator 之类的账号连接 Exchange Online PowerShell，然后运行：

Connect-ExchangeOnline
Get-IRMConfiguration | Format-List AzureRMSLicensingEnabled
Test-IRMConfiguration -Sender user@yourdomain.com -Recipient user@yourdomain.com

AzureRMSLicensingEnabled 应为 True。如果是 False，用 Set-IRMConfiguration -AzureRMSLicensingEnabled $true 设置。Test-IRMConfiguration 最后应显示 OVERALL RESULT: PASS。地址请用租户内真实存在的邮箱。

要自动加密 PDF 附件，拥有 Information Rights Management 角色的账号可以运行：

Set-IRMConfiguration -EnablePdfEncryption $true

可选：用邮件流规则自动加密

不要指望每个人都记得。规则在对所有人启用之前，先用一个收件人测试。在 Exchange 管理中心进入 Mail flow > Rules > New > Create a new rule，加条件（例如收件人在组织外，或主题含某关键词）。在 Do the following 中选 Modify the message security > Apply Office 365 Message Encryption and rights protection，选一个 RMS 模板，再 Save。邮件流规则无法加密从 Exchange Online 组织外部进来的邮件。

收件人怎么打开

• 使用 Microsoft 365 和 Outlook 的收件人（Windows、Mac、网页、iOS、Android）：邮件正常打开，顶部横幅显示限制，例如 Do Not Forward。
• Gmail：选 Read your message，再选 Sign in with Google，然后 Allow。邮件会在新的浏览器标签页打开。
• Yahoo 和其他邮箱服务：选 Read the message，申请一次性验证码，输入收到的验证码，再选 Continue。验证码 15 分钟后失效，失效了就重新打开原邮件。

第一封加密邮件发出前，先把这三行说明发给外部收件人，免得他们把通知当成钓鱼邮件。

常见错误

1. 选了 Encrypt 却以为不能转发。 Encrypt 允许转发、复制、打印，要禁止请用 Do Not Forward。
2. 在 S/MIME 邮件上再套 Purview 加密。 一封邮件只选一种机制。
3. 全靠用户自觉。 对必须加密的场景，例如发给特定合作方或含特定关键词的邮件，加一条邮件流规则。
4. 没想到一次性验证码邮件会进垃圾箱或隔离区。 微软 FAQ 的建议是先看垃圾邮件文件夹，再看 Microsoft Purview 门户里的隔离区。含验证码的邮件，尤其是最初几封，常被隔离。
5. 混合部署里把收件人放 Bcc。 微软提到配置了连接器时，Bcc 收件人可能在加密前被移除。请放在 To 或 Cc。
6. 想用邮件流规则加密会议邀请。 会议邀请要用敏感度标签。

怎么确认生效了

1. 从自己的邮箱用 Do Not Forward 发一封测试邮件，收件人用另一家服务商，例如你自己的 Gmail 地址。
2. 确认收件人看到的是"安全阅读"的提示，而不是邮件明文。
3. 在 Microsoft 365 邮箱里确认邮件顶部有限制横幅，且转发不可用。
4. 管理员确认 Test-IRMConfiguration 返回 OVERALL RESULT: PASS。

FAQ

Outlook 可以发送加密邮件吗？

可以。授权包含 Microsoft Purview 邮件加密的话，在新版 Outlook 中选 Options > Encrypt，发送前选 Encrypt 或 Do Not Forward 即可。

怎么解除 Outlook 邮件的加密？

收件人无法去掉自己收到的邮件的加密。管理员可以建邮件流规则，去掉组织自己施加在外发邮件或其回复上的加密：在 Exchange 管理中心选 Modify the message security > Remove Office 365 Message Encryption and rights protection applied by the organization。

已经发出的邮件还能加密吗？

我们在 Microsoft Learn 里没有找到给已发出邮件补加密的做法。请重新发一封开启加密的邮件。撤销是另一项有限制的功能，与 Advanced Message Encryption 相关。发件人只能撤销发给单一收件人、且该收件人使用 gmail.com 或 yahoo.com 之类社交账号的邮件，方法是在网页版 Outlook 的"已发送"文件夹中使用 Remove external access。微软说明，发给 Microsoft 365 工作或学校账号、或 outlook.com 账号的邮件无法撤销，并且要保证能追踪和撤销，需要自定义品牌模板。

怎么打开加密的 Outlook 邮件？

用 Microsoft 365 账号的 Outlook 会正常打开。Gmail 选 Read your message 并用 Google 登录。其他邮箱选 Read the message，用一次性验证码，验证码 15 分钟失效。

手机上的 Outlook 能打开加密邮件吗？

微软把 Outlook for iOS 和 Outlook for Android 列为可原生阅读加密及权限保护邮件的客户端。

相关阅读：Microsoft 365 安全检查清单、静态与传输中的数据加密、Microsoft 365 如何开启 MFA。

想请人检查你的 Microsoft 365 邮件防护实际是怎么配置的，可以联系我们的管理型IT安全服务团队。