ThunderbirdでS/MIME証明書を設定して安全なメール送信を実現する

Mozilla ThunderbirdでS/MIMEを設定するには、まず個人用メール証明書とその秘密鍵をインストールし、次に「アカウント設定」→「エンドツーエンド暗号化」でその証明書をデジタル署名と暗号化の対象として選択します。まだ証明書をお持ちでない場合は、Thunderbird 128以降で証明書署名要求（CSR）を生成し、認証局に送信できます。

以下の手順は両方の状況に対応しており、署名付き暗号化テストメッセージの送信で終了します。メニュー名はMozillaのデスクトップ版Thunderbirdのドキュメントに準拠していますが、正確な配置はリリースやオペレーティングシステムによって若干異なる場合があります。

始める前に：必要な証明書を特定してください

S/MIME（Secure/Multipurpose Internet Mail Extensions）は、電子メールの署名と暗号化のための標準規格です。デジタル署名は、受信者が送信者を確認し、メッセージが改ざんされていないかを確認するのに役立ちます。暗号化はメッセージ本文を保護し、適切な秘密鍵を持つ正当な受信者のみが内容を読み取れるようにします。これらは別々の処理であり、署名によってメッセージの内容が自動的に隠されるわけではありません。

認証局（CA）は、本人確認またはメールアドレスを検証し、その本人確認情報と公開鍵を関連付ける証明書を発行します。対応する秘密鍵は、必ずご自身で管理してください。Thunderbirdで設定するメールアドレスまたは本人確認情報に紐づく証明書が必要です。

• 既に.p12または.pfxファイルをお持ちですか？これらのPKCS#12ファイルには通常、証明書と秘密鍵が含まれています。インポートパスワードを手元に用意しておき、CSRの手順をスキップして、手順5で既存の証明書パスを使用してください。
• .cer、.crt、またはPEM形式の証明書しかお持ちでない場合、証明書だけでは対応する秘密鍵の代わりにはなりません。Thunderbirdに既に保存されている鍵と組み合わせて使用​​するか、発行者に鍵の生成方法を問い合わせてください。
• 新しい証明書が必要ですか？ Thunderbird 128以降では、以下のCSR（証明書署名要求）の手順をご利用ください。該当する場合は、組織のITチームに、使用する認証局（CA）と証明書ポリシーについてお問い合わせください。

Thunderbirdで証明書要求を作成する

ステップ1：正しいアカウントの暗号化設定を開きます

Thunderbirdを開き、アプリケーションメニュー≡→アカウント設定を選択し、保護したいメールアドレスを選択します。アカウントの左側のナビゲーションで「エンドツーエンド暗号化」をクリックします。エイリアスやその他のIDを使用する場合は、送信元アドレスではなく、意図したIDを設定していることを確認してください。

ステップ2：S/MIME CSRを生成する

S/MIMEまでスクロールし、「CSRファイルを生成して保存する」を選択します。証明書署名要求（CSR）とは、証明書の発行時に認証局（CA）が使用する公開鍵と情報を含むファイルです。Thunderbirdは鍵ペアをローカルで作成し、秘密鍵を証明書ストレージに保持します。

MozillaはThunderbird 128以降のバージョンに搭載されているCSR機能についてドキュメントを公開しています。外部の鍵生成ツールが常に必要だと記載されている古いヘルプページは、この新しいワークフローには適用されません。認証局または管理者がサポートされている代替手段を指定しない限り、画面に表示される暗号化のデフォルト設定に従ってください。

ステップ3：キーを失くさずにリクエストを保存する

CSRファイルには、alice_example_com.csrのような分かりやすいファイル名と保存場所を指定し、証明書の発行中はThunderbirdのプロファイルをそのままにしておいてください。保存したCSRファイルは秘密鍵のバックアップではありません。最初の要求に関連付けられた証明書がまだ発行されていない場合は、不必要に2つ目の鍵ペアを作成しないでください。

ステップ4：CAから発行された証明書を取得する

認証局（CA）の指示に従って、メールアドレスの管理権限を証明し、CSR（証明書要求書）を提出してください。テキストの入力を求められた場合は、CSRを開き、「BEGIN CERTIFICATE REQUEST」と「END CERTIFICATE REQUEST」の行を含め、内容全体をコピーしてください。発行された証明書と、発行者から提供される中間CA証明書をダウンロードしてください。

CAがCSRを受け入れたことを確認し、意図せず別の秘密鍵を生成していないことを確認してください。Mozillaが指摘しているように、CSRを送信した後に.p12または.pfxファイルを受け取った場合、発行者が別の鍵ペアを生成した可能性があります。インポートする前に、発行者に確認してください。以下に示すCAのWebサイトはサンプルアドレスです。実際のフォームはプロバイダによって異なります。

証明書をインポートし、秘密鍵を保護してください。

ステップ5：発行された証明書、または既存の.p12/.pfxファイルをインポートします。

アカウント設定 → エンドツーエンド暗号化 → S/MIME証明書の管理（一部のビルドでは証明書マネージャーのラベルが短縮されている場合があります）に戻ります。

ThunderbirdでCSRを作成した場合：[ユーザー]タブを開き、[インポート]を選択して、CAから受け取った証明書を選択します。Thunderbirdは既に対応する秘密鍵を保持しているため、発行された証明書をあなたのIDに関連付けます。発行者が中間証明書を提供している場合は、[認証局]の下にそれらをインポートします。Mozillaは、中間証明書をインポートする際には、明示的な信頼のチェックボックスをオフにしておくことを特に推奨しています。証明書チェーンをインポートしても、新しい信頼アンカーを付与する理由にはなりません。

既に.p12または.pfxファイルをお持ちの場合は、「証明書」タブの「インポート」オプションを使用し、ファイルを選択して、プロンプトが表示されたらエクスポートパスワードを入力してください。対応する秘密鍵がない証明書では、メッセージの署名や復号化はできません。

ステップ6：暗号化されたメールを送信する前に、保護されたバックアップを作成する

「証明書」を開き、新しい個人証明書が表示されていることを確認します。それを選択し、「バックアップ」をクリックして、安全な別の保存場所を選択します。エクスポートしたバックアップは、パスワードマネージャーに保存された強力で固有のパスワードで保護してください。保護されていない秘密鍵ファイルを自分宛にメールで送信しないでください。

これは再インストール以上の問題です。秘密鍵を紛失した場合、以前受信した暗号化されたメッセージは、ファイル自体は残っていても読み取れなくなる可能性があります。複数のコンピューターで暗号化されたメールを読む場合は、無関係なIDを作成するのではなく、同じ個人証明書と秘密鍵のコピーを安全に転送して各デバイスにインポートしてください。

署名と暗号化にはS/MIMEを選択してください。

ステップ7：証明書をアカウントに割り当てる

エンドツーエンド暗号化に戻り、「デジタル署名用の個人証明書」と「暗号化用の個人証明書」というラベルの付いたS/MIMEオプションを探します。それぞれについて「選択…」をクリックし、新しい証明書を選択します。Thunderbirdは両方の機能に同じ証明書を使用するように提案する場合があります。証明書が両方の機能をサポートしており、組織のポリシーで許可されている場合は、その提案を受け入れてください。

初期テストでは、まずメッセージのデジタル署名を有効にし、すべての送信メッセージに暗号化を必須とするのではなく、意図的に暗号化を有効にしてください。相手への暗号化には、受信者ごとに使用可能な信頼できるS/MIME証明書が必要です。OpenPGPとS/MIMEの両方が設定されている場合は、送信前にメッセージ作成画面で選択されたセキュリティ技術を確認してください。

テストメッセージを送信して、よくある障害を解決します。

ステップ8：署名と暗号化が正しく機能することを確認する

1. 設定済みのIDから自分のアドレス宛に新しいメールを作成します。作成ウィンドウのセキュリティまたはS/MIMEコントロールを使用してデジタル署名を有効にします。メールを送信し、受信したメールを開いて、Thunderbirdが有効な署名を報告していることを確認します。
2. 自分宛てに別のメッセージを作成し、暗号化と署名を有効にして送信します。受信したメッセージを開き、Thunderbirdが復号化と有効な署名を報告することを確認してください。Mozillaは、アカウント設定後にこの自分宛てのテストを行うことを推奨しています。
3. S/MIME対応の通信相手に、署名付きメッセージを送ってもらうよう依頼してください。Thunderbirdが使用可能な証明書を取得し、相手の身元が検証されたら、機密情報を送信する前に、短い暗号化された返信をテストしてください。

テストが失敗した場合は、証明書を繰り返しインポートするのではなく、症状に基づいて次のチェック項目を選択してください。

メールのヘッダー情報やルーティング情報は、エンドツーエンド暗号化によって完全に保護されるわけではないことに注意してください。デジタル署名は有効な本人確認手段ですが、機密データを送信する前に、信頼できるチャネルを通じて予期しない証明書や送信者を検証する必要があります。

最終確認

Thunderbirdの「証明書」に個人証明書が表示され、S/MIME機能の両方でその証明書が利用可能になり、署名付き暗号化テストメールが正しく検証・復号化されれば、設定は完了です。パスワードで保護された秘密鍵のバックアップは復元可能な状態にしておき、証明書の有効期限が切れる前に更新してください。

公式資料：MozillaのS/MIME CSRとインポート手順（2025年8月29日更新）およびThunderbirdアカウントのエンドツーエンド暗号化設定。暗号化の動作と秘密鍵の復元に関する制限事項については、Mozillaのエンドツーエンド暗号化の概要を参照してください。