Comment configurer un certificat S/MIME dans Mozilla Thunderbird

Si l'option de signature numérique reste indisponible ou si un avertissement de chiffrement s'affiche lors de l'envoi d'un message, cela signifie généralement que Thunderbird ne possède pas encore le certificat personnel approprié associé à l'adresse électronique que vous utilisez. La configuration S/MIME se déroule en deux étapes : importer un certificat contenant votre clé privée, puis l'associer au compte correspondant. Ce guide décrit la méthode classique par fichier de certificat ainsi que la méthode plus récente de Thunderbird par requête de signature de certificat.

S/MIME signifie Secure/Multipurpose Internet Mail Extensions. Il s'agit d'une norme pour la signature et le chiffrement des courriels. Une signature numérique permet aux destinataires de vérifier qu'un message a été signé avec votre certificat et qu'il n'a pas été modifié après sa signature. Le chiffrement brouille le contenu du message afin que seuls les destinataires prévus, possédant les clés privées correspondantes, puissent le lire. Ce sont deux actions distinctes : la mise en place d'un certificat n'entraîne pas automatiquement le chiffrement de tous les messages.

Avant de commencer : quel fichier de certificat possédez-vous ?

Un certificat S/MIME personnel associe une identité de messagerie à une clé publique. La clé privée correspondante permet de signer des messages et de déchiffrer les courriels reçus. Une autorité de certification (AC) délivre ou valide le certificat. Thunderbird a besoin du certificat et de sa clé privée pour votre compte ; un certificat public seul ne suffit pas pour signer ou déchiffrer des messages.

• Un fichier .p12 ou .pfx : il s’agit d’un paquet PKCS#12 protégé par mot de passe qui contient généralement un certificat et une clé privée. Obtenez-le auprès de l’administrateur de votre organisation ou de votre fournisseur de certificats, et récupérez le mot de passe d’importation via un canal de confiance.
• Un fichier .cer, .crt ou .pem : ces fichiers contiennent généralement un certificat public uniquement. Il peut s’agir du certificat d’un destinataire, d’une autorité de certification ou du certificat émis après votre demande. Vérifiez auprès de l’émetteur si la clé privée correspondante est déjà enregistrée dans Thunderbird ou si elle est fournie séparément.
• Une CSR ( Certificate Signing Request) contient une clé publique et des informations d'identification pour un émetteur. Ce n'est pas un certificat et elle ne peut pas être utilisée pour signer des courriels. Thunderbird peut en créer une à partir de la version 128 ; l'autorité de certification vous renvoie le certificat signé pour que vous puissiez l'importer.

Pour votre messagerie professionnelle, consultez d'abord la politique de certificats de votre organisation. Utilisez un certificat émis pour l'adresse électronique ou l'identité exacte que vous souhaitez configurer. Si vous utilisez une carte à puce ou un jeton matériel, suivez les instructions de votre organisation ; n'importez pas de fichier de clé privée si celle-ci doit rester sur l'appareil.

Option 1 : Importer un certificat .p12 ou .pfx

Il s'agit de la méthode la plus rapide lorsque votre fournisseur vous a remis un certificat personnel contenant sa clé privée. Le libellé du menu peut varier légèrement selon le système d'exploitation et la version de Thunderbird, mais le gestionnaire de certificats est accessible depuis les paramètres du compte et depuis les paramètres de certificats de Thunderbird.

1. Ouvrez Thunderbird et sélectionnez le menu de l'application (≡) > Paramètres du compte . Choisissez le compte de messagerie ou l'identité correspondant au certificat, puis ouvrez Chiffrement de bout en bout .
2. Sous S/MIME, sélectionnez Gérer les certificats S/MIME ou le bouton de gestion des certificats portant un nom similaire.
3. Dans le Gestionnaire de certificats, ouvrez Vos certificats et choisissez Importer . Sélectionnez le fichier .p12 ou .pfx de votre fournisseur.
4. Saisissez le mot de passe qui protège le paquet de certificats. Il ne s'agit pas nécessairement du même mot de passe principal que celui de Thunderbird. Si le système vous invite à définir ou à déverrouiller un mot de passe principal, lisez attentivement les instructions ; ce mot de passe protège les données de clé privée stockées localement.
5. Retournez à la section « Vos certificats » et vérifiez que le certificat personnel y figure. Sélectionnez-le et choisissez « Afficher » si vous souhaitez consulter son adresse électronique, son émetteur, ses dates de validité et ses finalités.

Sauvegardez le certificat avant de vous y fier.

Dans la section « Vos certificats » , sélectionnez le certificat et choisissez « Sauvegarder » ou « Exporter » pour créer une sauvegarde protégée. Stockez cette sauvegarde dans un emplacement sécurisé, distinct de votre ordinateur, et conservez son mot de passe dans un gestionnaire de mots de passe. Une sauvegarde contenant votre clé privée doit être traitée comme une information confidentielle : ne la joignez pas à un e-mail, ne la placez pas dans un dossier cloud public et ne la partagez avec aucun destinataire. La perte de la clé privée peut rendre illisibles les anciens messages chiffrés.

Option 2 : Demander un certificat à l’aide de Thunderbird (version 128 ou ultérieure)

Utilisez cette méthode lorsque vous souhaitez que Thunderbird crée la paire de clés et que votre autorité de certification (AC) accepte une demande de signature de certificat (CSR). Selon les instructions actuelles de Mozilla, cette fonctionnalité est disponible à partir de Thunderbird 128. Thunderbird crée la clé privée localement et enregistre un fichier de requête contenant la clé publique ; l’AC émet un certificat sur la base de cette requête. Mozilla ne recommande aucune AC en particulier ; choisissez-en une qui corresponde à vos besoins personnels ou professionnels.

1. Ouvrez les paramètres du compte > la page de chiffrement de bout en bout du compte concerné . Faites défiler jusqu'à S/MIME et choisissez Générer et enregistrer un fichier CSR sous… .
2. Enregistrez le fichier de requête dans un emplacement facile à retrouver. Si des paramètres cryptographiques vous sont demandés et que vous n'avez pas de politique à suivre, Mozilla recommande d'utiliser les valeurs par défaut.
3. Soumettez le texte intégral de la CSR à une autorité de certification qui accepte les CSR. La première ligne doit être : « [CSR] » -----BEGIN CERTIFICATE REQUEST-----. Suivez les étapes de vérification de l’autorité de certification et téléchargez le certificat émis.
4. Retournez au gestionnaire de certificats de Thunderbird. Pour un certificat émis à partir de la clé créée dans Thunderbird, importez-le depuis l' onglet « Personnes » , comme indiqué par Mozilla. Vérifiez ensuite dans « Vos certificats » que Thunderbird l'a bien associé à la clé privée stockée localement.
5. Si l'autorité de certification (AC) fournit des certificats intermédiaires, suivez ses instructions et les recommandations de Mozilla pour leur importation. Un certificat intermédiaire contribue à établir la chaîne de confiance ; ne marquez pas une AC inconnue comme digne de confiance sans raison valable. Si l'AC renvoie un fichier .p12 ou .pfx après l'envoi d'une demande de signature de certificat (CSR), vérifiez s'il contient la clé privée générée par Thunderbird. Mozilla indique que ce type de fichier peut signifier que l'AC a généré une clé privée différente, qui ne correspondrait pas à la requête enregistrée dans Thunderbird.

Attribuer le certificat à la signature et au chiffrement

Retournez dans Paramètres du compte > le compte ou l'identité concernée > Chiffrement de bout en bout . Dans la section S/MIME, cliquez sur Sélectionner… à côté de Certificat personnel pour la signature numérique , choisissez votre certificat et confirmez. Répétez l'opération pour Certificat personnel pour le chiffrement . Si Thunderbird vous demande si vous souhaitez utiliser le même certificat pour les deux, confirmez uniquement si le certificat est destiné aux deux usages et si la politique de votre organisation l'autorise.

Laissez les paramètres de signature et de chiffrement par défaut tels qu'ils vous conviennent. Beaucoup commencent par désactiver la signature et le chiffrement par défaut, puis choisissent l'action pour chaque message. Pour un test de signature, ouvrez un nouveau message et utilisez le menu Sécurité pour sélectionner « Signer numériquement ce message » . Envoyez un message sans risque à un compte que vous pouvez consulter et vérifiez que le message reçu est bien marqué comme signé. N'envoyez aucun contenu confidentiel pendant ce test.

Ce dont vous avez besoin avant de chiffrer pour quelqu'un d'autre

Votre propre certificat ne vous permet pas, à lui seul, de chiffrer vos messages pour tous vos contacts. Thunderbird exige un certificat S/MIME public valide pour chaque destinataire du message, y compris les destinataires en copie. Pour obtenir le certificat public d'un contact, vous pouvez généralement recevoir un courriel signé numériquement de sa part ; vous pouvez également importer un certificat qu'il partage avec vous via l' onglet « Contacts » . Pour un échange privé, vérifiez que le certificat appartient bien à l'adresse prévue avant de l'utiliser. Si un certificat est expiré, révoqué, non approuvé ou émis pour une autre adresse, interrompez l'envoi et résolvez le problème avec l'émetteur ou le destinataire plutôt que d'ignorer l'avertissement.

Problèmes courants à éviter

• L'option de signature est manquante ou présente des erreurs : vérifiez que le certificat figure bien dans la liste de vos certificats, qu'il contient la clé privée correspondante, qu'il n'est pas expiré et qu'il est sélectionné pour l'identité d'envoi exacte. Un fichier .cer ou .pem public ne suffit pas à signer votre courriel.
• Thunderbird vous demande sans cesse un mot de passe : vérifiez s’il s’agit du mot de passe d’importation du fichier .p12/.pfx ou du mot de passe principal de Thunderbird. Si le mot de passe est refusé, demandez à l’éditeur de le confirmer ; ne tentez pas de le deviner à plusieurs reprises et ne modifiez pas les paramètres de confiance.
• Le chiffrement est indisponible : importez ou obtenez un certificat public valide pour chaque destinataire. Vérifiez que le certificat est bien associé à l’adresse électronique du destinataire et que la chaîne de certificats est fiable.
• Le certificat est visible mais non sélectionnable : vérifiez l’adresse et l’identité du certificat, sa période de validité et ses utilisations autorisées. Si vous avez utilisé une CSR, assurez-vous que l’autorité de certification a renvoyé un certificat pour cette requête et que Thunderbird l’a associé à la clé privée.
• Vous confondez S/MIME et OpenPGP : ce sont des systèmes de sécurité de messagerie différents. Une clé OpenPGP ne peut pas être sélectionnée comme certificat S/MIME, et les certificats S/MIME ne remplacent pas les clés OpenPGP.

Liste de vérification finale

La configuration est prête pour la signature lorsque le certificat approprié apparaît dans Vos certificats , est sélectionné dans le champ de signature numérique du compte correspondant et qu'un message de test avec un indicateur de signature valide est reçu. La configuration est prête pour le chiffrement à destination d'un destinataire spécifique uniquement lorsque Thunderbird possède également le certificat public valide de ce destinataire et vous permet de chiffrer un message qui lui est adressé. Conservez précieusement la copie de votre clé privée, notez la date d'expiration du certificat et renouvelez-le ou remplacez-le avant cette date.

Références officielles à Thunderbird

• Instructions relatives au certificat S/MIME et à la CSR de Mozilla
• Guide des paramètres de certificat de Mozilla Thunderbird
• Les conditions préalables de Mozilla pour l'envoi de messages chiffrés