В чем разница между веб-входом, IMAP и API-доступом к аккаунту Gmail

Скрипту нужно было автоматически прочитать письмо с кодом подтверждения, я на скорую руку вбил логин и пароль в IMAP-клиент, а в ответ получил ошибку входа — логин и пароль верны, проблема в том, что выбран неправильный способ подключения. Gmail-аккаунт можно «использовать» не одним способом: веб-вход, IMAP/SMTP, Gmail API — у каждого из этих трёх путей свои требования к аккаунту и свои возможности. Если выбрать не тот, дело не в том, что аккаунт «сломан», а в несовместимости способа подключения.

Что представляют собой три способа подключения

Способ	Суть	Что нужно от аккаунта
Веб-вход	Открыть gmail.com в браузере, пройти стандартную процедуру входа для человека	Пароль + 2FA (если включена), возможен запрос кода подтверждения/обнаружение подозрительного входа
IMAP/SMTP	Почтовый клиент (Outlook, Thunderbird, библиотека скриптов) напрямую получает и отправляет письма по почтовым протоколам	Сначала обязательно включить 2FA, затем сгенерировать специальный «Пароль приложения». Для входа использовать его, а не основной пароль аккаунта
Gmail API	Официальный программный интерфейс от Google. Доступ через токен OAuth2. Программа использует токен для вызова API и работы с почтой	Нужно зарегистрировать проект в Google Cloud, настроить OAuth-клиент, один раз пройти процедуру авторизации и получить токен

Веб-вход: самый очевидный, но не для автоматизации

Для ручных действий проблем нет. Но попытка скрипта имитировать веб-вход будет постоянно натыкаться на капчу, предупреждения о подозрительном входе и даже запрос подтверждения с телефона — у Google есть собственная система защиты от действий, «похожих на автоматизированные». Это не проблема аккаунта, это несоответствие способа входа и цели использования.

IMAP/SMTP: подходит для почтовых клиентов и лёгких скриптов

Это самый близкий к «традиционной отправке и получению почты» способ. Его поддерживает подавляющее большинство почтовых клиентов и библиотек для Python/Node. Ключевой момент: у аккаунта должна быть включена 2FA, а для входа по IMAP нужно использовать сгенерированный с её помощью «Пароль приложения». Использовать основной пароль аккаунта нельзя — Google сейчас практически всегда требует этого шага для пользовательских аккаунтов, и прямая попытка подключиться по IMAP с логином и паролем, скорее всего, будет отклонена.

Если в листинге аккаунта вы видите поле «Пароль приложения», значит, для этого аккаунта он уже отдельно подготовлен. Можно сразу использовать эту пару для подключения по IMAP, не проходя заново процедуру включения 2FA и генерации пароля.

Gmail API: подходит для серьёзной программной интеграции

Gmail API работает через авторизацию OAuth2. Программа получает токен доступа с определённой областью прав (scope), а не сам пароль от аккаунта. Плюсы: права можно точно настроить (например, только чтение без возможности изменений), токен можно отозвать отдельно, не затрагивая пароль аккаунта. Это подходит для сценариев, где нужна долгосрочная стабильная работа и есть требования к управлению правами доступа. Минус: более высокие затраты на настройку — нужно зарегистрировать приложение в Google Cloud, настроить учётные данные. Просто так взять аккаунт и сразу начать использовать не получится.

Как выбрать между тремя способами

• Нужно лишь изредка заходить вручную посмотреть почту: Веб-входа достаточно, не нужно заморачиваться с другими способами.
• Скрипту нужно регулярно автоматически читать коды подтверждения/отправлять письма, и важна простота: IMAP/SMTP + Пароль приложения. Если в листинге аккаунта есть это поле, можно использовать сразу.
• Нужно встроить в готовый продукт, для долгосрочной работы и тонкого управления правами: Gmail API. Настройка на начальном этапе сложнее, но в дальнейшем работа стабильнее.

Типичные проблемы

• Попытка подключиться к IMAP, используя логин и пароль, выдаёт ошибку. Скорее всего, у аккаунта не включена 2FA или не сгенерирован Пароль приложения. Зайдите в аккаунт через веб-интерфейс, включите 2FA, сгенерируйте Пароль приложения и попробуйте снова.
• Скрипт имитирует веб-вход и натыкается на запрос дополнительной проверки. Переходите на IMAP или Gmail API, не пытайтесь «пробиться» через веб-вход с помощью скрипта.
• Токен Gmail API истёк или не хватает прав. Проверьте, включает ли область прав (scope), которую вы запрашивали при настройке, нужные вам методы API. Если токен истёк, нужно получить новый, используя refresh token. Проблема не в самом аккаунте.

Ограничения, которые нужно знать перед покупкой

• Успешное использование любого из трёх способов подключения зависит не только от полноты полей самого аккаунта, но и от текущей политики Google, которая может меняться. Гарантировать неизменность в долгосрочной перспективе невозможно.
• Пароль приложения и OAuth-токен могут стать недействительными из-за смены пароля аккаунта или проверки безопасности. В этом случае их нужно будет сгенерировать заново.
• Информацию о том, какой способ подключения поддерживает конкретный аккаунт, уточняйте в описании товара.

Часто задаваемые вопросы

Можно ли самостоятельно активировать эту возможность для аккаунта, в котором нет поля «Пароль приложения»? Да, при условии, что вы можете нормально войти в аккаунт через веб-интерфейс и включить 2FA. После включения 2FA в настройках безопасности аккаунта можно будет сгенерировать Пароль приложения. Это тот же механизм, что и формат 2FA, описанный в статье о связи аккаунта Google и Gmail.

Можно ли одновременно использовать IMAP и Gmail API для одного аккаунта? Да, они не конфликтуют друг с другом. Просто они используют разные учётные данные для входа (Пароль приложения против OAuth-токена) и никак не влияют друг на друга.

Почему права, полученные через Gmail API, через некоторое время нужно подтверждать заново? У OAuth-токена есть срок действия. В обычном режиме используется связанный с ним refresh token для автоматического получения нового access token. Если refresh token тоже стал недействительным (например, из-за смены пароля аккаунта), только тогда пользователю нужно заново пройти страницу авторизации.