- 「暗号化メール」と聞くが、運営会社に自分のメールを読まれないのかがつかめない
- 警察などに求められたら情報を出すのか、逮捕の報道を見て不安になった
- 匿名で使えるのかどうかを、自分では判断できない
Proton Mail（プロトンメール）の安全性は、守られる範囲と守られない範囲を分けると判断しやすくなります。
先に答えを言うと、メールの本文と添付ファイルは、Protonも読めない形で保存されると公式が説明しています。
一方で、件名や送受信アドレス、送受信時刻などは、Protonが扱える情報です。
Proton以外に送るメールは、既定ではエンドツーエンド暗号化になりません。
スイス当局の法的命令には応じ、特定のアカウントについてIPアドレスの記録を命じられることもあります。
公式はプライバシーと匿名性を区別していて、匿名で使いたいなら別の対策も必要です。
この記事では、Protonが扱える情報、法的命令の実績、匿名で使うときの限界を順に整理します。
暗号化の範囲とProtonが扱える情報
Proton Mailの暗号化は、メールのすべての情報を同じように守るわけではありません。
何がProtonにも読めない形で保存され、何がProtonに見えるのかを、次の3点で整理します。
- 本文と添付は暗号化して保存される
- 件名・宛先・時刻はProtonが扱える
- Proton以外の相手には既定でエンドツーエンドにならない
本文と添付は暗号化して保存される
Protonの暗号化の解説によると、受信箱のメールと添付ファイルは、ゼロアクセス暗号化で保存されます。
ゼロアクセス暗号化とは、保存中のメールをProtonが読めない形で保管する仕組みです。
Proton利用者どうしのメールは、送信中も常にエンドツーエンド暗号化されます。
Proton Mailのプライバシーポリシーも、暗号化された本文の中身にはアクセスできないという記載です。
アプリはオープンソースで、第三者の専門家による監査を受けたと、Protonのオープンソースの説明にあります。
暗号化の全体像と無料版の制限は、Proton Mail（プロトンメール）とは？暗号化の範囲と無料版の制限をご覧ください。
件名・宛先・時刻はProtonが扱える
件名は、エンドツーエンド暗号化の対象外と公式のサポートが書いています。
プライバシーポリシーには、Protonがアクセスできる情報として次の項目が挙がっています。
- 送受信者のアドレス
- 件名
- 添付ファイル名
- 送受信時刻
- 受信メールの送信元IP
送信数、使用容量、メッセージの総数、最終ログイン時刻といったアカウントの活動記録にも、アクセスできるとされています。
知られたくない内容は本文に書き、件名には書かないでください。
Proton以外の相手には既定でエンドツーエンドにならない
Gmailなど、Proton以外のメールサービス宛てのメールは、送信中はTLS（通信を暗号化する標準の仕組み）で守られます。
届いたあとは、既定ではエンドツーエンドではなく、相手のメールサービスが読める場合があります。
Proton以外から届くメールも、通り道はTLSによる暗号化です。
Protonが保存するときには、ゼロアクセス暗号化がかかります。
ただし、送信者側のメールサービスには、メールのコピーが残る場合があります。
Proton以外の相手には、パスワード付きメールで補う
Proton以外の相手へ秘密のやり取りをするなら、パスワード付きメールを使います。
相手がProtonのアカウントを持っていなくても、パスワードを使って暗号化したメールを送れます。
送り方から返信の扱いまでは、次の3点です。
- 送り方
- 有効期限と使えるプラン
- 返信とパスワードの伝え方
送り方
Protonのパスワード付きメールの案内による、Webでの送り方は次のとおりです。
- メールの作成画面で、宛先を入れる
- ツールバーの外部暗号化（錠前アイコン）を押す
- メッセージ用のパスワードと、任意のヒントを入れて設定する（モバイルは保存）
- 宛先の錠前が青になっているのを確かめて、送信する
このパスワードは、相手がメールを開くときに使います。
有効期限と使えるプラン
パスワード付きメールの有効期限は、既定で28日です。
下書きとして保存していた期間も、この28日に含まれます。
期限は編集して変更できますが、最大も28日です。
無料プランを含む、すべてのプランで使えます。
返信とパスワードの伝え方
Proton以外の受信者は、1通につき最大5回まで返信できます。
自分から返信するときは、既定では暗号化されないので、毎回有効にする必要があります。
パスワードは、メールとは別の安全な手段で相手に伝えてください。
IPログの扱いと法的命令
運営元が法的命令を受けたとき、何を出すのかは、安全性を判断する大きな材料です。
IPアドレスの記録の扱い、命令の件数、実際に起きた2件を、次の4点で整理します。
- IPアドレスを既定では恒久的に残さない
- 法的命令の件数と対応
- 2021年のフランスの活動家の件
- 2024年のスペインの件の報道
IPアドレスを既定では恒久的に残さない
Protonのプライバシー資料は、既定ではアカウントに紐づく恒久的なIPログを残さないと説明しています。
ただし、利用規約に違反した場合は例外です。
認証ログの説明にあるAccount monitor（ログインの記録を見る機能）は、既定ではオフです。
認証ログを有効にすると、ログインしたIPアドレスは、その機能が有効な間は保存されます。
IPアドレスを見るには、Advanced events（詳細なイベントの記録）の有効化も必要で、無効にすると記録は完全に削除されます。
法的命令の件数と対応
Protonの透明性レポートには、Proton Mailが受けた法的命令の件数が年ごとに載っています。
| 年 | 受けた命令 | 争った命令 | 応じた命令 |
|---|---|---|---|
| 2023年 | 6,378件 | 407件 | 5,971件 |
| 2024年 | 11,023件 | 655件 | 10,368件 |
| 2025年 | 9,301件 | 988件 | 8,313件 |
レポートによると、外国の当局からの直接の請求は、すべて拒否されています。
スイス当局が、国際司法共助の手続きで外国当局を支援する場合はあります。
件数と対応の内容は、Proton自身が公表している数字です。
メールでは、命令に応じた件が毎年大半を占めています。
2021年のフランスの活動家の件
2021年に、フランスの気候活動家が逮捕された件で、Protonは公式ブログで経緯を説明しました。
それによると、Protonはスイス当局の法的命令に従う義務があり、異議を申し立てる余地はありませんでした。
法を守る会社として、特定のアカウントへの法的命令があれば、IPアドレスの記録を強制されうると認めています。
既定で行うわけではなく、命令を受けた場合に限ります。
法的命令があっても、メッセージの本文は渡せませんでした。
この件でIPアドレスが警察へ渡り、逮捕に至ったと、The Registerの報道は伝えました。
VPN側の法的命令の扱いは、Proton VPNは安全？5年連続のノーログ監査とVPNで守れないことで読めます。
2024年のスペインの件の報道
2024年には、スペインの件で、回復用に登録したメールアドレスが手がかりになったと、海外メディアのTechRadarが報じました。
回復用のメールアドレスの登録は任意です。
登録すると、そのアドレスが手がかりになりうる点は、匿名で使いたい人が押さえておく事実です。
匿名で使うときの限界
暗号化されていることと、匿名であることは、別の話です。
Protonの公式ブログも、プライバシーと匿名性を区別して説明しています。
手がかりが残りやすい3つの入口と、暗号化では防げないことを、次の4点で見ます。
- 登録で残る情報
- 支払いで残る情報
- 接続元のIPアドレス
- 暗号化では防げないこと
登録で残る情報
電話番号なしでメールを作る方法の公式ブログは、登録で電話番号の入力は必須ではないと説明しています。
回復用のメールアドレスや電話番号の登録も任意です。
Proton Mailを匿名で使う方法の公式ブログは、匿名で使いたい人に、回復用メールを設定しない選択肢を挙げています。
支払いで残る情報
有料プランを契約すると、支払いの情報が残ります。
有料プランはビットコインでも支払えると、ビットコイン払いの公式の案内にあります。
カード払いで残るのは、名義人の氏名とカード番号の下4桁などです。
支払い方法を選ぶ段階から、どこまで匿名にしたいかを決めておいてください。
接続元のIPアドレス
Torを使わずにつなぐ場合、接続元のIPアドレスはProton側から見えます。
Torによる暗号化メールの公式ブログによると、Protonには、Tor経由で使えるonionサイトがあります。
Tor経由で使えば、Proton側に本当のIPアドレスは見えないという説明です。
自宅の回線のIPアドレスを知られたくない場合は、Torを使うことも選択肢になります。
暗号化では防げないこと
端末が乗っ取られたり、パスワードが漏れたりした場合は、暗号化では防げません。
Protonも自社の脅威モデルを整理した公式ブログで、こうした場合を暗号化の範囲の外に置いています。
端末の乗っ取りやパスワードの漏えいは、暗号化の外の問題です。
Proton Mailを安全に使うために押さえること
アカウントを守る作業は、利用者側で必要です。
次の4つを押さえてください。
- 2段階認証を設定する。無料を含む全プランで使え、認証アプリかセキュリティキーを選べます。設定の手順は2段階認証の公式の説明にあります
- 件名に秘密を書かない。件名はエンドツーエンドの対象外です
- Proton以外の相手には、パスワード付きメールを使う。パスワードは別の手段で伝えます
- 匿名で使いたいなら、回復用メール、支払い、接続元のIPアドレスをどうするか、登録の前に決める
まとめ：本文と添付は守られるが、匿名性は別に考える
この記事では、Proton Mailの安全性を、暗号化の範囲、パスワード付きメール、IPログと法的命令、匿名で使う限界から整理しました。
判断に迷ったら、次の5点を振り返ってください。
- 本文と添付はゼロアクセス暗号化で保存され、件名・宛先・時刻はProtonが扱える
- Proton以外の相手には、既定ではエンドツーエンドにならず、パスワード付きメールで補える
- IPアドレスは既定では恒久的に残さないが、特定アカウントへの法的命令があれば記録を強制されうる
- 2025年のProton Mailへの法的命令は9,301件で、8,313件に応じている
- 匿名で使うなら、回復用メール、支払い、接続元のIPアドレスから手がかりが残りうる
Proton Mailは、本文と添付を守る道具で、運営元に何も知られない道具ではありません。
受け取り用のアドレスを分けて、普段のアドレスを渡す場面を減らす方法は、次の記事で確認できます。
