OAuth2 w poczcie e-mail pozwala programowi pocztowemu uzyskać dostęp do konta bez zapisywania w nim głównego hasła do skrzynki. Najprościej tłumacząc: podczas dodawania Gmaila, Outlook.com, Microsoft 365 czy innego obsługiwanego konta logujesz się na stronie operatora, a następnie zezwalasz aplikacji na dostęp. Program otrzymuje token, którym może później uwierzytelniać połączenia z pocztą. Dlatego podczas konfiguracji konta w Thunderbirdzie może otworzyć się strona logowania Google lub Microsoftu – to normalny element autoryzacji OAuth2.
- Co to jest OAuth2 w poczcie e-mail?
- Jak OAuth2 działa w programie pocztowym?
- Gdzie spotkasz OAuth2 i czy jest tym samym co 2FA?
Co to jest OAuth2 w poczcie e-mail?
OAuth2 to mechanizm, dzięki któremu aplikacja może uzyskać określony dostęp do Twojego konta bez przechowywania jego głównego hasła. W przypadku poczty takim programem może być np. Thunderbird, który potrzebuje dostępu do wiadomości przez IMAP oraz możliwości ich wysyłania przez SMTP.
W starszym lub prostszym modelu konfiguracji wpisujesz w programie adres e-mail i hasło, a klient pocztowy zapisuje dane potrzebne do kolejnych logowań. Połączenie może być oczywiście szyfrowane przez TLS, ale sam program nadal korzysta z podanego mu sekretu.
Przy OAuth2 wygląda to inaczej: właściwe logowanie odbywa się u operatora konta, a aplikacja otrzymuje token dostępu.
Token nie jest drugim hasłem w zwykłym znaczeniu. Reprezentuje udzielone aplikacji uprawnienie i może zostać odnowiony albo unieważniony. Jeśli odbierzesz Thunderbirdowi dostęp do konta w ustawieniach Google lub Microsoftu, nie musisz z tego powodu zmieniać hasła do całej skrzynki.
Jak OAuth2 działa w programie pocztowym?
Wyjaśnię Ci to na przykładzie Thunderbirda. Dodajesz konto Gmail albo Microsoft, wybierasz OAuth2 jako metodę uwierzytelniania, a program otwiera stronę właściwego operatora. W nowszych wersjach Thunderbirda okno OAuth może pojawić się nawet w domyślnej przeglądarce internetowej zamiast wewnątrz programu.
- Thunderbird prosi dostawcę konta o możliwość uzyskania dostępu.
- Google, Microsoft albo inny operator wyświetla własną stronę logowania.
- Podajesz dane logowania bezpośrednio operatorowi i, jeśli trzeba, przechodzisz dodatkową weryfikację.
- Akceptujesz zakres dostępu aplikacji.
- Program otrzymuje token i używa go później podczas łączenia z serwerem pocztowym.
To właśnie dlatego strona Google czy Microsoftu pojawiająca się przy dodawaniu konta jest istotna. Hasło podajesz dostawcy konta, a nie formularzowi przygotowanemu przez program pocztowy. Thunderbird zapisuje później token OAuth i może używać go przy kolejnych połączeniach.
| Zwykłe hasło | OAuth2 | |
|---|---|---|
| Co otrzymuje program? | Dane uwierzytelniające używane przy logowaniu | Token dostępu |
| Gdzie odbywa się logowanie? | Z poziomu klienta pocztowego | Na stronie dostawcy konta |
| Można odebrać dostęp aplikacji? | Zwykle wymaga zmiany ustawień lub hasła aplikacji | Tak, token można unieważnić |
| Może współpracować z 2FA? | Zależy od rozwiązania, czasem potrzebne jest hasło aplikacji | Tak |
Google obecnie rekomenduje korzystanie z logowania przez Google zamiast haseł aplikacji, jeżeli używany program potrafi obsłużyć nowocześniejszy sposób uwierzytelniania. Hasła aplikacji pozostają rozwiązaniem dla starszych urządzeń i aplikacji, które nie obsługują takiego logowania.
OAuth2 a 2FA – czy to jest to samo?
OAuth2 w poczcie e-mail nie jest tym samym co uwierzytelnianie dwuskładnikowe. OAuth2 określa sposób udzielenia aplikacji dostępu do konta, natomiast 2FA służy do dodatkowego potwierdzenia tożsamości osoby logującej się.
Dlatego oba rozwiązania bardzo często spotkasz podczas jednej konfiguracji. Thunderbird otwiera stronę Google lub Microsoftu, Ty wpisujesz hasło, następnie potwierdzasz logowanie np. kodem albo w aplikacji uwierzytelniającej, a na końcu zezwalasz Thunderbirdowi na dostęp do poczty. W tym przykładzie dodatkowe potwierdzenie to 2FA, a przekazanie aplikacji dostępu za pomocą tokenu to OAuth2.
Z OAuth2 spotkasz się obecnie m.in. przy dodawaniu do programów pocztowych kont:
- Google,
- Microsoft 365,
- Outlook.com
- Yahoo.
Thunderbird umożliwia używanie OAuth2 zarówno dla poczty przychodzącej IMAP/POP, jak i wysyłania przez SMTP, o ile dany dostawca i konfiguracja serwera obsługują tę metodę.
Jeżeli podczas konfiguracji konta program nagle otwiera stronę accounts.google.com albo logowanie Microsoftu i pyta, czy chcesz zezwolić aplikacji na dostęp do poczty, najczęściej właśnie korzystasz z tego mechanizmu. Nie wpisuj natomiast danych logowania na przypadkowych stronach – ekran autoryzacji powinien należeć do właściwego dostawcy konta.