รหัสผ่านสำหรับแอป: ใช้เมื่อไร และเมื่อไรควรใช้ OAuth

รหัสผ่านสำหรับแอปคืออะไร และไม่ใช่อะไร?

รหัสผ่านสำหรับแอป (app password) คือข้อมูลยืนยันตัวตนที่คุณสร้างจากผู้ให้บริการ เพื่อให้แอปภายนอกเชื่อมต่อบัญชีผ่านวิธีที่ผู้ให้บริการรองรับ คุณนำรหัสนี้ไปใส่ในการตั้งค่าการเชื่อมต่อ ไม่ใช่ใช้เป็นรหัสปลดล็อกแอปอีเมลบนโทรศัพท์ และไม่ใช่การค้นคืนรหัสผ่านบัญชีเดิม

ถ้าคุณต้องการให้เอเจนต์อ่านอีเมล ควรแยกการเชื่อมต่อออกเป็นสองชั้น ชั้นแรกคือผู้ให้บริการอีเมลกับ Mailera ซึ่งใช้รหัสผ่านสำหรับแอปหรือ OAuth ชั้นที่สองคือ Mailera กับแอปหรือเอเจนต์ ซึ่งใช้คีย์ API ของ Mailera

Mailera เชื่อมต่อกล่องจดหมายที่คุณมีอยู่ ผ่าน REST API, MCP และ webhook การแยกสองชั้นนี้ช่วยให้คุณกำหนดสิทธิ์ของเอเจนต์ได้ โดยไม่ต้องส่งข้อมูลยืนยันตัวตนของผู้ให้บริการไปให้โมเดล

อย่าถือว่ารหัสผ่านสำหรับแอปทุกเจ้าจำกัดให้อ่านอย่างเดียวได้ สิทธิ์ของรหัสชนิดนี้ขึ้นอยู่กับผู้ให้บริการ ส่วนคีย์ Mailera เลือกสิทธิ์อ่านแยกจากสิทธิ์ส่งได้

ผู้ให้บริการของคุณควรเชื่อมต่อด้วยวิธีใด?

เลือกจากผู้ให้บริการของกล่องจดหมายก่อน ไม่ใช่จากชื่อแอปที่คุณอยากใช้งาน ตารางนี้แสดงเส้นทางใน Mailera และเงื่อนไขบัญชีที่ควรตรวจ คุณดูเส้นทางอื่นได้ในรายชื่อผู้ให้บริการที่รองรับ

Gmail: แยกคำแนะนำทั่วไปออกจากวิธีที่แอปรองรับ

Google แนะนำให้ใช้ “Sign in with Google” หากแอปมีตัวเลือกนี้ แต่การเชื่อมต่อ Gmail ใน Mailera ใช้รหัสผ่านสำหรับแอป จึงต้องตรวจเงื่อนไขบัญชี Google ก่อนสร้างรหัส ไม่ใช่นำรหัสผ่านปกติมาลองแทน

Zoho และ Fastmail: มีรหัสอย่างเดียวอาจยังไม่พอ

Zoho ต้องเปิด IMAP ก่อนใช้แอปภายนอก ผู้ใช้ในองค์กรอาจถูกจำกัดโดยนโยบายอีเมลของผู้ดูแล และผู้สมัครใหม่ในแพ็กเกจ Free ไม่มี IMAP ให้ใช้ หากเปิดการยืนยันสองปัจจัยหรือองค์กรใช้ SAML ให้ใช้รหัสผ่านเฉพาะแอปตามข้อกำหนดของ Zoho

ค่าของเซิร์ฟเวอร์ Zoho ยังขึ้นอยู่กับประเภทบัญชีและศูนย์ข้อมูล ให้ตรวจค่าจาก “Server Configurations Details” ภายในบัญชี แทนการคัดลอกค่าจากบัญชีอื่นโดยตรง

Fastmail กำหนดให้แต่ละแอปภายนอกมีรหัสผ่านสำหรับแอปของตัวเอง และเลือกจำกัดการเข้าถึงเฉพาะอีเมล ปฏิทิน หรือรายชื่อได้ สำหรับการเชื่อมต่ออีเมล ให้เลือกเฉพาะข้อมูลที่ต้องใช้ แต่การจำกัดชนิดข้อมูลนี้ไม่ใช่สิ่งเดียวกับการเลือกสิทธิ์ read ของ Mailera

Microsoft: อย่าแก้ปัญหา OAuth ด้วยรหัสผ่านสำหรับแอป

Mailera ใช้ OAuth ผ่าน Microsoft Graph สำหรับ Outlook.com, Hotmail และ Microsoft 365 โดย Microsoft Graph ต้องใช้ access token จาก Microsoft identity platform

สำหรับ Exchange Online นั้น Microsoft ยกเลิก Basic authentication ของ IMAP แล้ว และรหัสผ่านสำหรับแอปไม่สามารถทำให้แอปที่ได้รับผลกระทบกลับมาใช้วิธีเดิมได้ ดูรายละเอียดในประกาศยกเลิก Basic authentication ของ Microsoft หากคู่มือเก่าพาคุณไปสร้างรหัสผ่านสำหรับแอปเพื่ออ่านกล่องจดหมาย Microsoft ให้เปลี่ยนมาใช้เส้นทาง OAuth ของ Mailera

ก่อนสร้างรหัสผ่านสำหรับแอปต้องตรวจอะไรบ้าง?

เริ่มจากกล่องจดหมายทดสอบของคุณเอง หรือกล่องจดหมายที่คุณได้รับอนุญาตให้จัดการ อย่าใช้บัญชีของผู้อื่นเพียงเพราะมีข้อมูลเข้าสู่ระบบอยู่ในมือ

1. ตรวจเงื่อนไขความปลอดภัยของบัญชี Google ต้องเปิดการยืนยันสองขั้นตอน ส่วน Apple ต้องเปิดการยืนยันสองปัจจัย ทำตามเอกสารของผู้ให้บริการที่ตรงกับบัญชีของคุณ
2. ตรวจนโยบายองค์กร บัญชีที่ทำงานหรือสถานศึกษาอาจมีข้อจำกัดต่างจากบัญชีส่วนตัว หากไม่มีเมนูที่ต้องใช้ ให้ถามผู้ดูแลแทนการลดการป้องกันบัญชี
3. ตรวจสิทธิ์ใช้ IMAP โดยเฉพาะ Zoho และ Fastmail การสร้างรหัสใหม่ไม่ช่วยแก้ข้อจำกัดของแพ็กเกจหรือสิทธิ์ที่ผู้ดูแลไม่อนุญาต
4. เปิดเอกสารทางการของผู้ให้บริการแล้วไปยังหน้าสร้างรหัสจากที่นั่น ไม่สร้างรหัสผ่านในแบบฟอร์มของบุคคลที่สาม หากมีช่องตั้งชื่อ ให้ใช้ชื่อที่บอกการเชื่อมต่อ เช่น Mailera สำหรับกล่องทดสอบ
5. เก็บรหัสเป็นความลับ นำไปใส่เฉพาะช่องตั้งค่าการเชื่อมต่อ อย่าวางในแชตของเอเจนต์ เอกสารที่แชร์ หรือภาพหน้าจอ

ถ้าคุณใช้ Gmail แล้วไม่พบเมนูรหัสผ่านสำหรับแอป ให้ตรวจการยืนยันสองขั้นตอนก่อน จากนั้นตรวจสาเหตุที่ Google ระบุ ได้แก่ ตั้งค่าการยืนยันสองขั้นตอนด้วย security key เพียงอย่างเดียว ใช้บัญชีที่ทำงานหรือสถานศึกษา หรือเปิด Advanced Protection อยู่ บัญชีองค์กรเป็นหนึ่งในสาเหตุที่เป็นไปได้ ไม่ได้หมายความว่าทุกบัญชี Google Workspace ใช้รหัสผ่านสำหรับแอปไม่ได้

เชื่อมต่อกล่องจดหมายกับ Mailera อย่างไร?

ผู้เพิ่มกล่องจดหมายต้องมีบทบาท Admin หรือ Leader เตรียมบัญชีทดสอบที่คุณควบคุมเองไว้ก่อน แล้วทำตามขั้นตอนสำหรับผู้ให้บริการของคุณ

1. เปิด กล่องจดหมาย → เพิ่มกล่องจดหมาย สำหรับผู้ให้บริการที่ใช้รหัสผ่านสำหรับแอป เลือกแท็บ กล่องจดหมายเดียว
2. กรอกช่อง ที่อยู่อีเมล แล้วตรวจผู้ให้บริการที่ Mailera ตรวจพบ หากไม่ตรง ให้เลือกจาก หรือเลือกผู้ให้บริการ จากนั้นกด ดำเนินการต่อ
3. อ่าน วิธีรับรหัสผ่านสำหรับแอป และ สิ่งที่ต้องเตรียม ในส่วน รายละเอียดการเชื่อมต่อ ให้นำรหัสผ่านสำหรับแอปมาใส่ช่อง รหัสผ่าน ไม่ใช้รหัสเข้าสู่ระบบปกติของบัญชี
4. เลือก กลุ่มกล่องจดหมาย ที่จะใช้กับงานนี้ การแยกกลุ่มตั้งแต่ต้นช่วยให้คุณเลือกขอบเขตคีย์ของเอเจนต์ในขั้นตอนถัดไปได้ตรงงาน ช่อง ชื่อที่แสดง ไม่บังคับ
5. ถ้าเป็น Outlook.com, Hotmail หรือ Microsoft 365 ให้ใช้แท็บ ลงชื่อเข้าใช้ด้วย Microsoft แล้วทำขั้นตอนอนุญาตสิทธิ์ที่ Microsoft ไม่กรอกรหัสผ่านสำหรับแอปแทน
6. สำหรับแบบฟอร์มการเชื่อมต่อด้วยรหัสผ่าน กด ทดสอบและเชื่อมต่อ แล้วดูผลแต่ละขั้น หากการตรวจขาออกไม่ผ่าน คุณเลือก แก้ไขรายละเอียด แล้ว ทดสอบอีกครั้ง หรือเลือก บันทึกแบบรับอย่างเดียว หากต้องการรับอีเมลเท่านั้น
7. เมื่อเชื่อมต่อแล้ว เปิดกล่องจดหมายและตรวจข้อความทดสอบที่คุณเตรียมไว้ Mailera โหลดข้อความภายในช่วงเก็บรักษา โดยเริ่มจากข้อความใหม่ที่สุด

ปุ่ม ทดสอบและเชื่อมต่อ ไม่ส่งอีเมล การทดสอบตรวจการลงชื่อเข้าใช้เซิร์ฟเวอร์ขาเข้า การค้นหาโฟลเดอร์ การลงชื่อเข้าใช้เซิร์ฟเวอร์ขาออกเมื่อมีการตั้งค่า และความพร้อมของการติดตามข้อความใหม่ ผลสำเร็จจึงไม่เท่ากับการส่งอีเมลจริงถึงผู้รับแล้ว

หลังเชื่อมต่อ ให้ดูทั้งสถานะและเวลาซิงก์ล่าสุด พร้อมตรวจว่ามีข้อความทดสอบปรากฏ การเห็นเพียงสถานะเชื่อมต่อไม่พอสำหรับตัดสินว่ารับข้อความที่คุณกำลังรอแล้ว

ให้เอเจนต์อ่านอีเมลโดยไม่เปิดสิทธิ์เกินจำเป็น

เมื่อกล่องจดหมายเชื่อมต่อแล้ว เอเจนต์ไม่จำเป็นต้องรับรหัสผ่านสำหรับแอป ให้ใช้คีย์ Mailera ที่มีขอบเขตเฉพาะงานอ่านแทน และเก็บคีย์ในระบบตั้งค่าความลับของแอปหรือไคลเอนต์ ไม่ใส่ในคำสั่งที่ส่งให้โมเดล

สร้างคีย์สำหรับกลุ่มกล่องจดหมายที่ต้องอ่าน

1. เปิด การตั้งค่า ไปยังส่วนคีย์ API แล้วเลือก สร้าง API key
2. ใส่ ชื่อที่สื่อความหมาย เพื่อให้รู้ว่าคีย์นี้ใช้กับเอเจนต์ใด
3. ใน ขอบเขตกล่องจดหมาย เลือกกลุ่มที่มีเฉพาะกล่องจดหมายที่งานนี้ต้องใช้ แม้ Admin จะเลือกทุกกลุ่มได้ ก็ไม่จำเป็นต้องให้สิทธิ์กว้างขนาดนั้นกับงานทดสอบ
4. เลือกสิทธิ์อ่าน read โดยไม่เปิดสิทธิ์ส่ง send หรือสิทธิ์จัดการอื่นที่งานไม่ต้องใช้
5. กำหนด ระยะเวลาที่ใช้ได้ และ ข้อจำกัด IP (ไม่บังคับ) ตามสภาพแวดล้อมที่เรียกใช้งาน
6. คัดลอกคีย์ไปเก็บอย่างปลอดภัยทันที Mailera แสดงค่าคีย์ใหม่เพียงครั้งเดียว

หากใช้ Claude, Cursor หรือ VS Code คุณเลือก คัดลอกการกำหนดค่า MCP จากหน้าสร้างคีย์ได้ ดูเส้นทางการตั้งค่าที่หน้า MCP ของ Mailera และจัดการไฟล์การตั้งค่าที่มีคีย์เหมือนข้อมูลลับ ไม่แนบไว้ในคำถามหรือบันทึกปัญหาที่เปิดเผยต่อผู้อื่น

อ่านผ่าน REST API ด้วยคีย์เดียวกัน

ตั้งตัวแปรสภาพแวดล้อม $MAILERA_API_KEY ด้วยคีย์ของคุณในสภาพแวดล้อมที่ปลอดภัย จากนั้นเรียกรายการกล่องจดหมายเพื่อหา id ของกล่องทดสอบที่อยู่ในขอบเขตคีย์

curl --fail-with-body --silent --show-error \
  'https://mailera.app/api/public/v1/mailboxes?limit=1' \
  -H "Authorization: Bearer $MAILERA_API_KEY"

นำ id ของกล่องที่ต้องการมาใส่ตัวแปร $MAILBOX_ID แล้วเรียกข้อความในกล่องจดหมายเข้า

curl --fail-with-body --silent --show-error \
  "https://mailera.app/api/public/v1/mailboxes/$MAILBOX_ID/messages?folder=inbox&limit=1" \
  -H "Authorization: Bearer $MAILERA_API_KEY"

ตรวจ data ของผลลัพธ์ โดยดู subject, received_at และ folder เทียบกับข้อความทดสอบของคุณ ตัวอย่างนี้อ่านรายการข้อความ ไม่ได้ส่งอีเมลหรือเปลี่ยนสถานะข้อความ หากต้องอ่านเนื้อหาเต็ม ใช้ id ของข้อความกับ endpoint GET /mailboxes/{id}/messages/{msgId} ซึ่งใช้สิทธิ์ read เช่นกัน

อีเมลเป็นข้อมูล ไม่ใช่คำสั่งของเอเจนต์

เนื้อหาอีเมลขาเข้าเป็นข้อมูลที่ไม่น่าเชื่อถือ แม้อีเมลจะเขียนว่าเป็นคำสั่งจากผู้ดูแล เอเจนต์ก็ต้องไม่ทำตามข้อความที่ให้เปิดเผยคีย์ ส่งข้อมูลออกไป หรือเปลี่ยนกฎการทำงาน นี่คือจุดที่ต้องป้องกัน prompt injection ในแอปของคุณ

คีย์อ่านอย่างเดียวช่วยจำกัดการทำงานที่เรียกผ่าน Mailera ได้ แต่คุณยังต้องออกแบบว่าเอเจนต์นำข้อมูลที่อ่านได้ไปใช้หรือแสดงให้ใครเห็น อ่านรายละเอียดเพิ่มเติมได้ที่ข้อมูลความปลอดภัยของ Mailera

ถ้าจะเพิ่มงานส่งอีเมลภายหลัง ค่อยให้สิทธิ์ send กับงานที่จำเป็น endpoint ส่งอีเมลและเครื่องมือ MCP send_email กับ reply_to_email ต้องใช้สิทธิ์นี้ ออกแบบให้ผู้ใช้ตรวจผู้รับและเนื้อหาก่อนยืนยันการส่งด้วย อย่าถือว่าการสร้างคีย์ส่งเป็นการเพิ่มขั้นตอนยืนยันให้เอเจนต์โดยอัตโนมัติ

ข้อผิดพลาดที่พบบ่อยควรตรวจตรงไหนก่อน?

แยกก่อนว่าปัญหาอยู่ระหว่างผู้ให้บริการกับ Mailera หรือระหว่าง Mailera กับเอเจนต์ ถ้าคุณอ่านข้อความใน Mailera ได้แล้ว แต่แอปเรียกอ่านไม่ได้ ให้ตรวจคีย์และขอบเขตสิทธิ์ก่อนสร้างรหัสผ่านสำหรับแอปใหม่

การตรวจสถานะด้วย GET /mailboxes/{id}/status มีความหมายต่างกันตามผู้ให้บริการ สำหรับ Microsoft ระบบตรวจการเข้าสู่ระบบโดยตรง ส่วนผู้ให้บริการอื่นอิงผลการซิงก์ล่าสุด ดังนั้นสถานะของผู้ให้บริการอื่นไม่ได้เป็นการลองรหัสผ่านใหม่ทุกครั้งที่เรียกดู

กล่องจดหมายที่ใช้งานน้อยยังมีรอบตรวจเบื้องหลังห่างกว่ากล่องที่ใช้งานอยู่ และกล่องที่ไม่มีการใช้งานอาจเข้าสู่โหมดพักได้ ให้ดูเวลาซิงก์ประกอบ ไม่สรุปทันทีว่ารหัสผ่านใช้ไม่ได้เพียงเพราะยังไม่เห็นข้อความใหม่

เปลี่ยนหรือเพิกถอนรหัสอย่างไร?

เริ่มจากเลือกว่าคุณต้องการตัดการเข้าถึงชั้นไหน หากต้องการหยุดแอปหรือเอเจนต์ที่ใช้คีย์หนึ่ง ให้เพิกถอนคีย์นั้นใน Mailera การเรียกด้วยคีย์ดังกล่าวจะถูกปฏิเสธทันที หากต้องการยกเลิกข้อมูลยืนยันตัวตนที่ใช้เชื่อมต่อกับผู้ให้บริการ ให้จัดการที่ผู้ให้บริการด้วย ทั้งสองอย่างไม่ใช่การเพิกถอนชนิดเดียวกัน

ผลของการเปลี่ยนรหัสผ่านหลักแตกต่างกันตามผู้ให้บริการ อย่าใช้พฤติกรรมของบัญชีหนึ่งไปคาดเดาอีกบัญชี

สำหรับ Apple แอปที่ใช้รหัสซึ่งถูกเพิกถอนจะออกจากบัญชีจนกว่าคุณจะสร้างรหัสใหม่และใช้ลงชื่อเข้าใช้อีกครั้ง วางแผนเปลี่ยนข้อมูลเชื่อมต่อของแอปที่เกี่ยวข้องด้วย ไม่ใช่เปลี่ยนรหัสหลักแล้วถือว่างานเสร็จ

ถ้าคีย์ของเอเจนต์รั่ว ให้หยุดใช้และเพิกถอนคีย์นั้นก่อน ไม่ส่งคีย์ใหม่กลับเข้าแชตเดิม หากรหัสผ่านสำหรับแอปรั่วด้วย ให้เพิกถอนที่ผู้ให้บริการแยกอีกขั้น

Mailera ทำอะไรไม่ได้?

Mailera เชื่อมต่อกล่องจดหมายที่มีอยู่แล้ว ไม่สร้างที่อยู่อีเมลหรือกล่องจดหมายใหม่ และไม่สามารถเปิดสิทธิ์รหัสผ่านสำหรับแอปหรือ IMAP ที่ผู้ให้บริการหรือผู้ดูแลองค์กรไม่อนุญาตได้ คุณต้องแก้เงื่อนไขของบัญชีกับผู้ให้บริการหรือผู้ดูแลก่อน

Mailera ไม่รองรับ Proton Mail และ Tuta หากกล่องจดหมายของคุณอยู่กับผู้ให้บริการเหล่านี้ จะเชื่อมต่อด้วยวิธีในบทความนี้ไม่ได้