Mật khẩu ứng dụng hay OAuth: kết nối email cho AI đúng cách

Mật khẩu ứng dụng khác mật khẩu email và khóa API thế nào?

Mật khẩu ứng dụng (app password) là thông tin xác thực riêng do nhà cung cấp cấp cho ứng dụng kết nối tài khoản. Bạn không nên mặc định nó chỉ cho phép đọc thư: quyền của mật khẩu này phụ thuộc nhà cung cấp, khác với quyền bạn cấp cho AI agent trong Mailera.

Bài này dành cho hộp thư bạn sở hữu hoặc được phép quản lý, không hướng dẫn tìm lại mật khẩu đăng nhập hay khóa ứng dụng trên điện thoại.

Hai lớp quyền cần tách biệt: Mailera kết nối hộp thư bằng mật khẩu ứng dụng, OAuth hoặc thông tin đăng nhập theo cấu hình máy chủ; agent xác thực với Mailera bằng khóa API. Cấp read cho khóa API không biến mật khẩu ứng dụng thành mật khẩu chỉ đọc.

Mailera kết nối các hộp thư sẵn có với ứng dụng và agent. Nếu bạn đang thiết kế toàn bộ luồng, xem bài kết nối email đang dùng với AI agent.

Nhà cung cấp nào dùng mật khẩu ứng dụng trong Mailera?

Trước khi tạo mật khẩu ứng dụng, hãy tra nhà cung cấp trong bảng dưới đây để biết cách kết nối và điều kiện cần kiểm tra.

Với Gmail, Google yêu cầu bật xác minh 2 bước để dùng mật khẩu ứng dụng. Google khuyên dùng “Sign in with Google” nếu ứng dụng có lựa chọn đó; luồng Gmail trong Mailera hiện dùng mật khẩu ứng dụng.

Apple yêu cầu xác thực hai yếu tố để tạo và dùng mật khẩu dành riêng cho ứng dụng. Với Zoho, tài liệu IMAP nêu rõ người dùng mới đăng ký gói Free không có IMAP; tài khoản tổ chức còn có thể bị quản trị viên hạn chế. Zoho yêu cầu mật khẩu ứng dụng khi bật xác thực hai yếu tố hoặc tổ chức dùng SAML.

Đừng dùng mật khẩu ứng dụng Outlook để thay OAuth trong Mailera. Riêng Exchange Online, Microsoft đã loại bỏ Basic authentication cho IMAP; việc này cũng ngăn dùng mật khẩu ứng dụng với các ứng dụng không hỗ trợ xác minh hai bước.

Nếu dịch vụ của bạn không nằm trong bảng, hãy kiểm tra danh sách nhà cung cấp Mailera hỗ trợ. Không phải mọi máy chủ IMAP đều dùng mật khẩu ứng dụng.

Chuẩn bị gì trước khi kết nối hộp thư?

Bạn cần quyền quản lý hộp thư và vai trò Admin hoặc Leader trong Mailera để thêm hộp thư. Với hộp thư công ty, hãy kiểm tra chính sách quản trị trước khi thay đổi cấu hình bảo mật.

Mở hướng dẫn kết nối của Mailera từ bảng trên. Không áp dụng một quy trình bật xác minh 2 bước cho mọi dịch vụ. Chẳng hạn, Fastmail yêu cầu mỗi ứng dụng bên thứ ba có mật khẩu riêng, còn điều kiện tạo mật khẩu của Yahoo do Yahoo quyết định.

Nếu nhà cung cấp hỗ trợ, tạo mật khẩu riêng cho kết nối này để dễ thu hồi. Không đưa mật khẩu, token hoặc khóa API vào lời nhắc, kho mã, ảnh chụp hay nhật ký. Với Microsoft, chuyển thẳng sang đăng nhập OAuth, không chuẩn bị mật khẩu ứng dụng.

Kết nối và kiểm tra hộp thư trong Mailera như thế nào?

Dưới đây là các bước kết nối chung. Nếu mới bắt đầu, xem bài kết nối hộp thư đầu tiên với Mailera.

1. Chọn hộp thư và nhà cung cấp. Mở Danh sách hộp thư → Thêm hộp thư → Một hộp thư. Điền Địa chỉ email rồi kiểm tra nhà cung cấp Mailera nhận diện. Nếu cần, chọn lại trong Hoặc chọn nhà cung cấp, sau đó nhấn Tiếp tục.
2. Điền đúng loại thông tin xác thực. Với Gmail và các dịch vụ dùng mật khẩu ứng dụng, đọc Cách lấy mật khẩu ứng dụng và Cần chuẩn bị. Tại Thông tin kết nối, điền Mật khẩu (đây là mật khẩu ứng dụng, không phải mật khẩu đăng nhập chính), có thể thêm Tên hiển thị, rồi chọn Nhóm quản lý phù hợp. Với Microsoft, dùng tab Đăng nhập Microsoft và hoàn tất chấp thuận quyền tại Microsoft.
3. Kiểm tra kết nối. Với nhánh mật khẩu ứng dụng hoặc IMAP tùy chỉnh, nhấn Kiểm tra & kết nối. Mailera lần lượt kiểm tra Máy kết nối, Đăng nhập nhận thư, Nhận ra thư mục, Đăng nhập gửi thư nếu có máy chủ gửi, và khả năng Theo dõi liên tục. Phép kiểm tra này không gửi email.
4. Xử lý phần gửi riêng. Nếu nhận thư được nhưng gửi thất bại, chọn Lưu ở chế độ Chỉ nhận khi agent chỉ cần đọc. Nếu cần gửi, chọn Sửa thông tin, sửa cấu hình SMTP rồi Kiểm tra lại. Đăng nhập nhận thư thành công không có nghĩa phần gửi đã hoạt động.
5. Kiểm tra bằng thư thử. Sau khi kết nối, Mailera tải thư trong thời hạn lưu trữ, mới nhất trước. Gửi một thư không chứa dữ liệu nhạy cảm đến hộp thư của bạn, rồi kiểm tra nội dung trong Mailera.

Với IMAP tùy chỉnh, nhập Máy chủ nhận thư (IMAP) và, nếu cần gửi, Máy chủ gửi thư (SMTP) theo cấu hình quản trị viên cung cấp. Chức năng Tự dò cấu hình có thể điền cấu hình công khai của tên miền khi có; bạn vẫn cần kiểm tra thông tin phù hợp với tài khoản.

Không dùng một khoảng chờ cố định làm tiêu chí kết nối thành công. Mailera kiểm tra hộp thư thường xuyên hơn khi đang có người dùng; nếu hộp thư ngừng hoạt động, nó có thể chuyển sang trạng thái ngủ rồi tự thức dậy khi có người dùng lại.

Cấp quyền cho AI agent đọc thư sao cho an toàn?

Sau khi hộp thư đã kết nối, tạo khóa API cho agent thay vì đưa mật khẩu ứng dụng cho mô hình.

1. Mở Cài đặt, chọn tab API key rồi nhấn Tạo key.
2. Điền Tên gợi nhớ theo tác vụ, chẳng hạn “Agent đọc thư thử”. Trong Phạm vi hộp thư, chọn nhóm cần dùng. Admin có thể chọn tất cả nhóm, nhưng không nên mở rộng phạm vi nếu tác vụ không cần.
3. Chỉ cấp quyền read cho tác vụ đọc. Đặt Thời hạn và Giới hạn IP (tuỳ chọn) khi phù hợp với nơi chạy agent.
4. Lưu khóa vào nơi quản lý bí mật của ứng dụng. Mailera chỉ hiển thị khóa mới tạo một lần, ở màn hình “Key đã tạo — sao chép ngay”. Nếu dùng MCP, chọn Sao chép cấu hình MCP cho Claude, Cursor hoặc VS Code và bảo vệ cấu hình có chứa khóa.

Agent có thể dùng REST hoặc kết nối MCP của Mailera. Ví dụ, sau khi đặt $MAILERA_API_KEY và $MAILBOX_ID trong môi trường chạy, lệnh sau lấy một thư từ Hộp thư đến:

curl --get "https://mailera.app/api/public/v1/mailboxes/$MAILBOX_ID/messages" \
  --header "Authorization: Bearer $MAILERA_API_KEY" \
  --data-urlencode "folder=inbox" \
  --data-urlencode "limit=1"

Trong kết quả, kiểm tra data[].subject, data[].folder và data[].received_at để nhận ra thư thử. Bài dùng API email để agent đọc và xử lý thư đi tiếp từ bước này.

Thư đến là dữ liệu không tin cậy, không phải lệnh. Thiết kế agent để bỏ qua chỉ dẫn trong thư yêu cầu tiết lộ bí mật, thay đổi quyền hoặc gọi công cụ ngoài nhiệm vụ. Nội dung email không được phép tự mở rộng quyền của agent.

Nếu bổ sung gửi thư, chỉ cấp send khi cần và yêu cầu người dùng xác nhận trước khi gửi trong thiết kế agent. Tham khảo thêm thông tin bảo mật Mailera khi thiết lập quyền truy cập.

Thu hồi khóa API Mailera và thu hồi mật khẩu ứng dụng là hai việc khác nhau. Khóa API đã thu hồi không gọi được Mailera nữa; nếu cần ngắt thông tin xác thực hộp thư, hãy quản lý mật khẩu ứng dụng hoặc quyền OAuth tại nhà cung cấp.

Lỗi hay gặp: không tạo được mật khẩu hoặc kết nối thất bại

Với Gmail, bật xác minh 2 bước chưa chắc đã làm xuất hiện mục mật khẩu ứng dụng. Google liệt kê tài khoản tổ chức, xác minh 2 bước chỉ dùng khóa bảo mật và Advanced Protection là những nguyên nhân có thể khiến mục này không xuất hiện. Không tắt tính năng bảo vệ chỉ để thử cho kết nối hoạt động.

Quy tắc thu hồi cũng khác nhau. Google thu hồi mật khẩu ứng dụng khi bạn đổi mật khẩu tài khoản. Apple thu hồi toàn bộ mật khẩu dành riêng cho ứng dụng khi đổi hoặc đặt lại mật khẩu chính. Ngược lại, Yahoo yêu cầu xóa mật khẩu ứng dụng riêng; đổi mật khẩu chính không làm chúng mất hiệu lực.

Nếu kiểm tra trạng thái bằng API, lưu ý GET /mailboxes/{id}/status kiểm tra trực tiếp với Microsoft, nhưng dùng kết quả đồng bộ gần nhất cho nhà cung cấp khác. Trạng thái của lần đồng bộ trước không phải một lần đăng nhập mới sau khi bạn đổi mật khẩu.

Mailera không làm gì trong quá trình này?

Mailera kết nối hộp thư đang có, không tạo hộp thư hoặc địa chỉ email mới. Mailera hiện không hỗ trợ Proton Mail và Tuta.

Kết nối qua Mailera cũng không thay đổi điều kiện tạo mật khẩu ứng dụng hay chính sách truy cập của nhà cung cấp. Nếu tài khoản không được phép dùng IMAP hoặc tạo mật khẩu ứng dụng, bạn cần xử lý điều kiện đó với nhà cung cấp hoặc quản trị viên.