电子邮件安全并非单一的技术标准，而是旨在缓解特定威胁的一系列保护措施。对于大多数用户来说，主要风险涉及通过网络钓鱼、恶意软件或意外删除导致的账户泄露。然而，对于记者或活动人士等高风险用户，威胁模型还包括网络窃听、数据泄露以及政府的法律强制要求。选择哪种加密方法取决于用户优先考虑哪些威胁，以及他们愿意接受哪些权衡。

第一层保护是加密用户设备与电子邮件提供商之间的连接。这通常由传输层安全协议（TLS）处理，现代的 TLS 1.3 标准确保数据在通过本地 Wi-Fi 或 ISP 网络传输时处于加密状态。为了确保用户连接到合法的提供商而非冒充者，公钥基础设施（PKI）使用由受信任的证书颁发机构签名的证书。该系统通过证书透明度（CT）日志得到进一步加强，这些日志提供已颁发证书的公共记录，以帮助检测欺诈活动。虽然这保护了通往提供商的路径，但并不一定能保护电子邮件到达服务器后的内容。

当电子邮件在不同提供商之间传输时，它通常依赖于“机会性 TLS”，即服务器尝试建立加密连接，但如果接收服务器不支持，则退回到未加密传输。这造成了中间人（MITM）攻击的漏洞，攻击者可以剥离加密指令。为了解决这个问题，开发了 MTA-STS 和 DANE 等协议。MTA-STS 允许域名声明对加密连接的要求，而 DANE 使用经过加密签名的 DNS 记录（DNSSEC）来验证证书。然而，包括 Fastmail 在内的许多提供商更青睐 MTA-STS 而非 DANE，因为 DNSSEC 带来了极高的可用性风险；DNSSEC 的错误可能导致邮件投递数小时甚至数天失败，与 DANE 提供的机密性收益相比，许多提供商认为这种权衡是不可接受的。

除了传输过程，提供商还使用静态加密来保护存储在物理磁盘上的数据，防止被盗或硬件报废。虽然这可以防止物理入侵，但提供商仍持有密钥，这意味着他们可以配合法律请求，或者在内部系统被入侵时受到损害。相比之下，“零访问加密”确保提供商永远不持有密钥，因为密钥是从用户在自己设备上的密码中派生的。虽然这可以防止内部威胁和政府强制要求，但它引入了显著的易用性障碍：它可能会破坏标准的搜索功能，阻止使用标准的 IMAP/JMAP 协议，并导致丢失密码即意味着永久数据丢失。最后，通过 S/MIME 或 OpenPGP 实现的真正端到端加密（E2EE）确保只有发送者和接收者可以阅读消息。尽管安全性极高，但由于密钥分发、轮换的巨大复杂性，以及许多用户难以正确验证公钥的事实，E2EE 在消费端的普及一直面临困难。