Выпускайте и управляйте личными сертификатами S/MIME через личный кабинет: вход по коду на почту, опционально — TOTP. Публичные CRT доступны всем.