Сертификат нужен с CN/SAN {smtp,imap}.ought.ru, такой же (с теми же key usage), как и для https.
P.S. Thunderbird валится, т.к. сертификат клиентский, а не серверный.