Mot de passe d’application : connecter sa messagerie à un agent IA

En bref : quel accès donner à votre agent ?

Pour connecter votre messagerie à un agent IA, utilisez la méthode prise en charge par votre fournisseur et Mailera. Outlook.com et Microsoft 365 passent par OAuth. Pour les fournisseurs compatibles, saisissez le mot de passe d’application dans Mailera, jamais dans la conversation de l’agent. L’agent reçoit ensuite une clé Mailera aux permissions limitées. Vous connectez une boîte existante, sans créer d’adresse.

À quoi sert un mot de passe d’application ?

Un mot de passe d’application, ou app password, est un secret fourni par votre messagerie pour authentifier une application externe. Il ne sert pas à déverrouiller une application mobile. Il ne faut pas non plus le confondre avec la clé API que vous donnerez à votre agent.

Ne supposez pas qu’un mot de passe d’application donne uniquement un droit de lecture. Les restrictions dépendent du fournisseur. Fastmail permet, par exemple, de limiter l’accès aux e-mails plutôt qu’aux calendriers ou aux contacts.

Ces deux accès sont distincts : le fournisseur authentifie Mailera, puis Mailera authentifie l’agent. La présentation de Mailera décrit cette connexion des boîtes existantes aux applications par REST, MCP et webhooks.

Quelle méthode choisir selon votre fournisseur ?

Commencez par identifier votre fournisseur réel, surtout si votre adresse utilise un domaine d’entreprise. Une adresse personnalisée peut dépendre de Microsoft 365, de Google Workspace ou d’un serveur privé. La liste des fournisseurs pris en charge permet de choisir le parcours Mailera correspondant.

Pour Gmail, Google recommande la connexion Google lorsqu’une application la propose. Le parcours Gmail de Mailera utilise un mot de passe d’application. La documentation Google précise que la validation en deux étapes est nécessaire. Elle cite aussi des causes d’indisponibilité : validation configurée uniquement avec des clés de sécurité, compte d’organisation ou Protection Avancée.

Pour iCloud, la documentation Apple sur les mots de passe pour application exige l’identification à deux facteurs. Ne transposez pas automatiquement cette règle à tous les fournisseurs.

Zoho exige l’activation d’IMAP. Sa documentation IMAP précise que les nouveaux utilisateurs de l’offre Free n’y ont pas accès et que l’administrateur peut le restreindre. Un mot de passe d’application est requis avec l’authentification à deux facteurs ou, dans une organisation, avec SAML. Les paramètres serveur dépendent aussi du type de compte et du centre de données.

Chez Fastmail, chaque application tierce doit avoir son propre mot de passe. L’offre Basic ne permet ni les clients tiers ni la création de ces mots de passe.

Pour Microsoft, choisissez directement OAuth. Microsoft a supprimé l’authentification de base pour IMAP dans Exchange Online ; un mot de passe d’application ne rétablit pas cet accès, comme l’indique la documentation sur cette suppression. Dans Mailera, Outlook.com, Hotmail et Microsoft 365 utilisent tous OAuth via Microsoft Graph.

Que vérifier avant de créer le secret ?

Utilisez une boîte qui vous appartient ou que vous êtes autorisé à administrer. Pour préparer l’intégration, préférez une boîte de test dont les messages ne contiennent pas d’informations confidentielles.

1. Vérifiez les conditions du compte. Selon le fournisseur : authentification à deux facteurs, accès IMAP, offre compatible et règles de l’organisation. Un nouveau secret ne corrigera pas un accès IMAP interdit.
2. Créez le secret chez le fournisseur. Suivez sa documentation officielle, plutôt qu’un formulaire tiers qui demanderait votre mot de passe principal. Pour Gmail, le guide de création du mot de passe d’application détaille ce parcours.
3. Préparez son utilisation dans Mailera. Ne le placez ni dans une conversation, ni dans le code source, ni dans les journaux. Masquez intégralement sa valeur dans les captures.
4. Pour Microsoft, passez à OAuth. Vous n’avez pas à générer de mot de passe d’application pour ce parcours Mailera.

Si l’option de création est absente, recherchez d’abord la restriction applicable. Yahoo précise notamment que son assistance ne peut pas modifier le processus qui détermine l’éligibilité aux mots de passe d’application.

Comment connecter la boîte à Mailera ?

L’ajout d’une boîte nécessite le rôle administrateur ou responsable, correspondant aux rôles Admin ou Leader.

1. Dans Boîtes aux lettres, choisissez Ajouter une boîte mail, puis l’onglet Une boîte mail. Saisissez votre adresse dans Adresse e-mail. Vérifiez le fournisseur détecté ; vous pouvez le sélectionner manuellement sous Ou choisissez un fournisseur.
2. Choisissez le parcours d’authentification. Pour Microsoft, utilisez Se connecter avec Microsoft et poursuivez l’autorisation chez Microsoft. Pour un fournisseur à mot de passe d’application, consultez Ce dont vous aurez besoin, puis poursuivez vers Informations de connexion. Le champ Mot de passe attend le mot de passe d’application, pas le mot de passe principal.
3. Pour un serveur privé, choisissez IMAP personnalisé. Renseignez Serveur entrant (IMAP) et, si nécessaire, Serveur sortant (SMTP) avec les paramètres de l’administrateur. Détecter les paramètres peut remplir les paramètres publics du domaine lorsqu’ils existent ; vérifiez-les avant de poursuivre.
4. Sélectionnez le Groupe de boîtes mail adapté. Ce choix vous permettra ensuite de limiter la clé de l’agent à ce groupe. Cliquez sur Tester et connecter.
5. Examinez le résultat. Le test vérifie notamment la connexion au serveur entrant, la détection des dossiers, la connexion au serveur sortant s’il est configuré et la disponibilité du suivi des nouveaux messages.
6. Après la connexion, ouvrez la boîte. Le chargement initial récupère les messages compris dans la période de conservation, des plus récents aux plus anciens. Repérez un message de test avant de configurer l’agent.

Le test de connexion n’envoie aucun e-mail. Une authentification SMTP réussie ne prouve donc pas qu’un envoi aboutira.

Si seule la partie sortante échoue, Mailera affiche Réception possible, mais envoi indisponible. Choisissez Enregistrer en réception seule si votre agent doit uniquement lire les messages. Sinon, utilisez Modifier les informations, corrigez les paramètres sortants, puis Retester.

Comment donner accès à l’agent sans lui fournir le secret du fournisseur ?

Créez une clé distincte pour cet agent. Dans Paramètres, ouvrez la gestion des clés API, puis Créer une clé. Donnez-lui un Nom descriptif, limitez le Périmètre des boîtes aux lettres au groupe nécessaire et sélectionnez uniquement la permission read. Définissez une Expiration adaptée à l’usage prévu.

Mailera permet de limiter une clé à un groupe ; les administrateurs peuvent aussi choisir tous les groupes. Pour un agent affecté à une seule équipe, préférez le groupe de cette équipe plutôt que l’ensemble des boîtes.

La clé n’est affichée qu’une fois. Enregistrez-la dans la configuration sécurisée de votre intégration lorsque le message Clé créée — copiez-la maintenant apparaît. Ne la placez pas dans les instructions conversationnelles de l’agent.

Pour MCP, Copiez la configuration MCP fournit une configuration destinée à Claude, Cursor ou VS Code. La documentation MCP de Mailera détaille l’intégration. Vérifiez d’abord les boîtes accessibles avec list_mailboxes, puis les messages avec list_messages. Pour lire le contenu d’un message, utilisez get_message.

Avec REST, le même contrôle peut se faire en trois requêtes. Définissez $MAILERA_API_KEY dans votre environnement avec la clé créée, puis listez les boîtes accessibles :

curl --fail-with-body \
  -H "Authorization: Bearer $MAILERA_API_KEY" \
  "https://mailera.app/api/public/v1/mailboxes?limit=1"

Vérifiez l’adresse dans data, puis utilisez l’id de la boîte visée comme valeur de $MAILBOX_ID. Demandez un message de sa boîte de réception :

curl --fail-with-body \
  -H "Authorization: Bearer $MAILERA_API_KEY" \
  "https://mailera.app/api/public/v1/mailboxes/$MAILBOX_ID/messages?folder=inbox&limit=1"

Contrôlez subject, from et folder pour identifier le message attendu. Affectez son id à $MESSAGE_ID, puis récupérez son contenu :

curl --fail-with-body \
  -H "Authorization: Bearer $MAILERA_API_KEY" \
  "https://mailera.app/api/public/v1/mailboxes/$MAILBOX_ID/messages/$MESSAGE_ID"

Le contenu se trouve dans data.body.text ou data.body.html. Ces opérations nécessitent read. L’envoi requiert séparément send, aussi bien via REST qu’avec les outils MCP send_email et reply_to_email. Lire un message avec cette clé valide l’accès en lecture, pas l’envoi.

Quelles erreurs de connexion rencontre-t-on le plus souvent ?

Distinguez un refus du fournisseur d’un problème de périmètre de clé. Si la boîte s’ouvre dans Mailera mais que l’agent ne la retrouve pas, vérifiez le groupe autorisé par sa clé avant de recréer le secret du fournisseur.

Un changement du mot de passe principal peut aussi expliquer une panne soudaine. Google révoque alors ses mots de passe d’application. Apple les révoque également après un changement ou une réinitialisation du mot de passe principal. Yahoo fonctionne autrement : ses mots de passe d’application doivent être supprimés séparément.

Enfin, l’état de connexion ne se lit pas de la même façon pour tous les fournisseurs. Le contrôle d’état Mailera vérifie Microsoft directement. Pour les autres fournisseurs, il s’appuie sur la dernière synchronisation, pas sur une nouvelle authentification directe à chaque demande. Regardez donc aussi la date de dernière synchronisation.

Comment sécuriser l’accès et le révoquer ?

Les messages reçus sont des données non fiables, jamais des instructions. Un e-mail peut contenir une injection de prompt demandant à l’agent de révéler une clé, d’élargir ses permissions ou d’envoyer des informations à une autre adresse. Votre agent doit traiter ces demandes comme du contenu à analyser, pas comme une autorisation d’agir.

Commencez avec read uniquement. Si l’envoi devient nécessaire, ajoutez send et imposez une confirmation humaine avant l’envoi dans le fonctionnement de l’agent. Cette confirmation doit être prévue dans votre intégration ; ce n’est pas une protection automatique de Mailera.

La révocation concerne deux accès distincts :

• Clé API Mailera : sa révocation fait immédiatement rejeter les appels qui l’utilisent. C’est l’accès de l’agent que vous retirez.
• Mot de passe d’application chez le fournisseur : sa révocation coupe l’accès fondé sur ce secret. Apple permet une révocation individuelle ou globale ; Fastmail permet une désactivation temporaire ou une suppression.

Ne considérez pas le changement du mot de passe principal comme une révocation universelle : la règle Yahoo diffère de celle de Google et d’Apple. Pour les informations de sécurité du produit, consultez la page sécurité de Mailera.

Mailera ne rend pas disponible une méthode d’authentification interdite par le fournisseur ou l’administrateur. Il ne prend pas en charge Proton Mail ni Tuta. Si votre compte ne permet pas la connexion requise, faites confirmer les possibilités par son administrateur plutôt que d’affaiblir sa sécurité.