Mật khẩu ứng dụng Gmail, IMAP và API: Ba cách truy cập và khi nào nên dùng mỗi cách

Vấn đề Gmail phổ biến nhất thực ra không phải là vấn đề của Gmail. Một ứng dụng khách hoặc một script được cấp mật khẩu tài khoản, kết nối bị từ chối, và kết luận hiển nhiên là mật khẩu sai. Nhưng không phải vậy. Google đã ngừng chấp nhận mật khẩu tài khoản từ các ứng dụng mail, và thứ họ muốn thay vào đó là mật khẩu ứng dụng.

Mật khẩu ứng dụng, và điều kiện tiên quyết không ai nhắc đến

Mật khẩu ứng dụng là một thông tin đăng nhập riêng, được tạo bên trong tài khoản, mà một ứng dụng khách duy nhất dùng thay cho mật khẩu đăng nhập. Ba điều về nó giải thích gần như mọi tìm kiếm "không hoạt động":

• Bạn không thể tạo nó cho đến khi bật xác thực hai yếu tố. Đây là câu trả lời cho hầu hết các trường hợp. Tùy chọn tạo mật khẩu ứng dụng đơn giản là không xuất hiện trên tài khoản chưa có yếu tố thứ hai, nên mọi người tìm một trang chưa tồn tại. Bật xác thực hai yếu tố trước, tùy chọn sẽ hiện ra.
• Nó chỉ được hiển thị một lần. Được tạo, hiển thị, và không thể lấy lại sau đó. Mất nó nghĩa là tạo một cái mới thay vì tra cứu lại.
• Nó được hiển thị có dấu cách và nhập vào không dấu cách. Mười sáu ký tự trong bốn nhóm. Một số ứng dụng khách xử lý được dấu cách, một số thì không, và riêng điều này đã chiếm một phần không nhỏ trong các lần thất bại với mật khẩu vốn đúng.

Chúng được tạo trong phần bảo mật của tài khoản Google, không phải trong cài đặt của Gmail — đó là lý do khác khiến người ta không tìm thấy trang này.

Nếu bạn mua một tài khoản và danh sách có đề cập đến mật khẩu ứng dụng, chuỗi đó chính là thứ đi vào ứng dụng khách. Mật khẩu đăng nhập của tài khoản sẽ không hoạt động ở đó, và thử đi thử lại chính là cách bạn thu hút thêm các bước xác minh mà bạn không mong muốn.

Ba cách truy cập

Đăng nhập qua web

Trình duyệt, mật khẩu, yếu tố thứ hai nếu có. Phù hợp cho con người, kém cho script. Đăng nhập tự động qua luồng web sẽ gặp phải thử thách, lời nhắc thiết bị lạ và đôi khi xác minh qua điện thoại, vì luồng này được theo dõi chính xác cho kiểu hành vi đó. Khi một script "không đăng nhập được" nhưng thông tin đăng nhập đúng, sự không khớp này thường là lý do.

IMAP và SMTP

Các giao thức mail, được sử dụng bởi mọi ứng dụng mail và mọi thư viện mail. Cần mật khẩu ứng dụng nêu trên. Tốt nhất để đọc hộp thư, chờ một tin nhắn, hoặc gửi, mà không cần xây dựng gì thêm.

Cài đặt thực tế: IMAP trên cổng 993 với SSL, SMTP trên cổng 587 với STARTTLS, và địa chỉ đầy đủ làm tên người dùng. Lưu ý rằng truy cập IMAP có thể bị tắt theo mặc định trên một số tài khoản và cần bật trong cài đặt riêng của Gmail — đây là một công tắc riêng biệt với mật khẩu ứng dụng và đáng kiểm tra khi thông tin đăng nhập chắc chắn đúng.

Gmail API

Một giao diện lập trình thực thụ truy cập qua OAuth2. Bạn đăng ký một dự án, cấu hình một OAuth client, hoàn tất luồng đồng ý một lần, và nhận token mà chương trình của bạn dùng từ đó.

Hai lợi thế thực sự so với IMAP: quyền được giới hạn, nên chương trình có thể được cấp quyền chỉ đọc thay vì toàn quyền kiểm soát, và bạn nhận dữ liệu tin nhắn có cấu trúc thay vì phải tự phân tích mail thô. Hai chi phí thực sự: thiết lập thực sự tốn công hơn, và màn hình đồng ý có quy tắc rà soát riêng tùy vào những gì bạn yêu cầu.

Dùng nó cho thứ bạn đang xây dựng và duy trì. Để đọc một mã từ hộp thư đến, IMAP là câu trả lời cân xứng.

Chọn lựa, mỗi cái một dòng

• Người kiểm tra mail: web, hoặc bất kỳ ứng dụng khách nào qua IMAP.
• Script đọc tin nhắn: IMAP với mật khẩu ứng dụng. Ít thiết lập nhất, hoạt động ở mọi nơi.
• Phần mềm bạn đang xây dựng: API, để có quyền giới hạn và dữ liệu có cấu trúc.
• Script điều khiển giao diện web: tránh. Sự cản trở bạn gặp là có chủ đích và sẽ không biến mất.

Điều này nghĩa là gì khi mua một hộp thư

Hai trường trên một danh sách tương ứng với những điều trên, và chúng không phải là một thứ.

Một mật khẩu ứng dụng được bao gồm nghĩa là công đoạn xác thực hai yếu tố và tạo mật khẩu đã xong và bạn có thể kết nối ứng dụng khách ngay lập tức. Giao hàng OAuth2 là đường API, và ở đó tính đầy đủ mới là điều quan trọng: một refresh token không có client id và secret mà nó được cấp cho sẽ hoạt động cho đến khi access token hiện tại hết hạn rồi ngừng vĩnh viễn. Sự cố đó đến rất lâu sau khi mọi cửa sổ bảo hành đóng lại, nên câu hỏi không phải là "nó có kết nối ngay bây giờ không" mà là "tôi có thể hoàn tất một lần refresh không".

Đáng biết về giá: trong toàn bộ danh mục email, truy cập giao thức là một trong những thuộc tính rẻ nhất được đo lường, trong khi các thuộc tính xác minh như xác thực hai yếu tố và xác minh SMS là đắt nhất, lần lượt khoảng gấp ba lần giá trung bình và gần ba lần. Truy cập thì rẻ; được xác minh thì không.

Các danh sách Gmail, với thẻ lọc mật khẩu ứng dụng và OAuth2, có trên kệ Gmail.