รหัสผ่านแอป Outlook ใช้ไม่ได้: เปลี่ยนไปใช้ OAuth

คุณใช้ Outlook.com ส่วนบุคคล หรือ Microsoft 365 ขององค์กร?

ก่อนเปลี่ยนรหัสผ่าน ให้แยกบัญชี Outlook.com หรือ Hotmail ส่วนบุคคลออกจาก Microsoft 365 ที่ใช้ Exchange Online เพราะเอกสารและเงื่อนไขการอนุญาตสิทธิ์ต่างกัน ส่วน Outlook for Windows หรือ Outlook Desktop เป็นโปรแกรมที่ใช้เชื่อมต่อบัญชี Outlook.com ซึ่งต้องตรวจวิธีตั้งค่าบัญชีด้วย

เริ่มจากระบุประเภทบัญชี แล้วตรวจว่าโปรแกรมรองรับวิธียืนยันตัวตนที่บริการนั้นกำหนดหรือไม่

อย่าตัดสินจากโดเมนบริษัทเพียงอย่างเดียว ถ้าไม่แน่ใจ ให้ถามฝ่ายไอทีว่ากล่องจดหมายอยู่บน Exchange Online หรือเซิร์ฟเวอร์ที่องค์กรดูแลเอง อย่านำคำแนะนำเรื่องการยุติ Basic authentication ของ Exchange Online ไปใช้กับ Exchange ที่องค์กรดูแลเองโดยไม่ตรวจสอบก่อน

ทำไมสร้างรหัสผ่านแอปใหม่แล้วยังเชื่อมต่อ IMAP ไม่ได้?

รหัสผ่านสำหรับแอป (app password) ใช้กับแอปหรืออุปกรณ์บางประเภทที่รองรับการยืนยันสองขั้นตอนไม่ได้ แต่ไม่ได้เปลี่ยนการเชื่อมต่อแบบใช้รหัสผ่านให้กลายเป็น OAuth หากบริการปลายทางเลิกรับ Basic authentication แล้ว รหัสผ่านแอปใหม่ก็ไม่ทำให้วิธีเดิมกลับมาใช้ได้

แยกคำสามคำนี้ให้ชัดก่อนแก้การตั้งค่า:

Outlook.com และ Hotmail

คำแนะนำ Modern Authentication ของ Outlook.com ระบุว่า Basic authentication ใช้เข้าถึงบัญชี Outlook ไม่ได้ตั้งแต่วันที่ 16 กันยายน 2024 ดังนั้น ถ้าโปรแกรมยังพยายามลงชื่อเข้าใช้แบบเดิม จุดที่ต้องเปลี่ยนคือวิธียืนยันตัวตน ไม่ใช่สร้างรหัสผ่านแอปซ้ำ

สำหรับ Thunderbird เอกสารเดียวกันแนะนำให้เลือก “OAuth2” แทน “Normal password” ใน “Authentication method” ของเซิร์ฟเวอร์ขาเข้า ส่วน Outlook for Windows ที่ตั้งค่าเชื่อม Outlook.com ด้วย POP หรือ IMAP นั้น เอกสารระบุว่าไม่รองรับ Modern Authentication ในการตั้งค่ารูปแบบนี้ และแนะนำให้สร้างโปรไฟล์ Outlook Desktop ใหม่แล้วเพิ่มบัญชีด้วยการตั้งค่าอัตโนมัติ

จึงต้องตรวจทั้งโปรแกรมที่ใช้และวิธีเพิ่มบัญชี

Microsoft 365 ที่ใช้ Exchange Online

เอกสารการยุติ Basic authentication ของ Exchange Online ระบุว่า IMAP อยู่ในโปรโตคอลที่ยุติการรองรับแล้ว และการเปลี่ยนแปลงนี้ทำให้ใช้รหัสผ่านแอปกับแอปที่ได้รับผลกระทบไม่ได้เช่นกัน ทั้งผู้ดูแลระบบขององค์กรและฝ่ายสนับสนุน Microsoft ไม่สามารถเปิด Basic authentication กลับมาให้โปรโตคอลเหล่านี้ได้

การมีเมนูสร้างรหัสผ่านแอปจึงไม่ได้หมายความว่า Exchange Online จะยอมรับรหัสผ่านนั้นผ่าน IMAP และอย่านำสถานะของ SMTP AUTH มาตัดสินว่า IMAP ยังลงชื่อเข้าใช้แบบเดียวกันได้หรือไม่

ไม่ต้องปิดการยืนยันหลายปัจจัย (MFA) เพื่อแก้ปัญหานี้ การปิดการยืนยันหลายปัจจัยไม่ได้ทำให้วิธีลงชื่อเข้าใช้ที่บริการยุติไปแล้วกลับมาใช้งานได้

ควรใช้ OAuth กับ IMAP หรือเชื่อมผ่าน Microsoft Graph?

OAuth เป็นวิธีอนุญาตสิทธิ์ ไม่ใช่โปรโตคอลอ่านอีเมล คุณจึงใช้ OAuth กับ IMAP ได้ และใช้ OAuth เพื่อเข้าถึง Microsoft Graph ได้เช่นกัน แต่ Microsoft Graph ไม่ใช่ IMAP

เลือกตามสิ่งที่คุณต้องการใช้งานต่อ ไม่จำเป็นต้องเปลี่ยนวิธีเชื่อมต่อทั้งหมดเพียงเพราะรหัสผ่านแอปใช้ไม่ได้

Microsoft มีเอกสารการใช้ OAuth กับ IMAP สำหรับทั้ง Microsoft 365 และ Outlook.com หากคุณพัฒนาระบบ IMAP เอง จุดสำคัญคือระบบต้องรองรับการส่ง access token ด้วย SASL XOAUTH2 ไม่ใช่นำ token ไปใส่แทนรหัสผ่านในโค้ดเดิมโดยไม่เปลี่ยนวิธียืนยันตัวตน

ถ้าคุณต้องการให้แอปอ่านกล่องจดหมายผ่าน API ให้ดูการเชื่อมต่อ Microsoft กับ Mailera เส้นทางนี้ใช้ Microsoft Graph สำหรับ Outlook.com, Hotmail และ Microsoft 365 ส่วนภาพรวมการทำงานของ Mailera อธิบายการนำกล่องจดหมายที่มีอยู่แล้วมาใช้ผ่าน REST API, MCP และ webhooks

เชื่อมต่อ Outlook หรือ Microsoft 365 กับ Mailera อย่างไร?

เริ่มจากกล่องจดหมายทดสอบที่คุณเป็นเจ้าของหรือได้รับอนุญาตให้เชื่อมต่อ เตรียมอีเมลทดสอบที่ไม่มีข้อมูลส่วนบุคคลไว้ตรวจผลหลังเชื่อมต่อ และใช้สมาชิก Mailera ที่มีบทบาท Admin หรือ Leader เพราะมีเพียงสองบทบาทนี้ที่เพิ่มกล่องจดหมายได้

Mailera มีสองทางสำหรับบัญชี Microsoft: แท็บ ลงชื่อเข้าใช้ด้วย Microsoft เพื่ออนุญาตสิทธิ์บนหน้าของ Microsoft หรือแท็บ วางจำนวนมาก เพื่อนำเข้า refresh token ที่มีอยู่แล้ว โดยใช้รูปแบบ email:password:refresh_token:client_id หนึ่งกล่องจดหมายต่อบรรทัด ทางนำเข้า token ไม่ใช่การเชื่อมต่อด้วยรหัสผ่านแอป ขั้นตอนด้านล่างใช้ทางลงชื่อเข้าใช้ด้วย Microsoft

1. เปิดหน้า กล่องจดหมาย แล้วเลือก เพิ่มกล่องจดหมาย
2. เลือกแท็บ ลงชื่อเข้าใช้ด้วย Microsoft สำหรับขั้นตอนนี้ ไม่ใช้ช่องรหัสผ่านแอปหรือ IMAP แบบกำหนดเอง
3. ลงชื่อเข้าใช้บนหน้าของ Microsoft แล้วตรวจว่าบัญชีที่เลือกเป็นกล่องจดหมายที่ต้องการจริงก่อนให้ความยินยอม
4. หากหน้าของ Microsoft ระบุว่าต้องให้ผู้ดูแลระบบอนุมัติ ให้ส่งคำขอไปยังผู้ดูแลระบบขององค์กร ไม่เปลี่ยนไปใช้รหัสผ่านแอปแทน
5. เมื่อกลับมาที่ Mailera ให้เปิด กล่องจดหมายเข้ารวม แล้วเลือกกล่องจดหมายที่เพิ่งเชื่อมต่อเพื่อตรวจอีเมลทดสอบ

ควรตรวจทั้งว่ามีชื่อกล่องจดหมายในรายการและอ่านอีเมลได้จริง เทียบหัวเรื่องและเวลาที่ได้รับกับข้อความทดสอบที่เตรียมไว้ เพื่อยืนยันว่ากำลังดูบัญชีที่ถูกต้อง

หากคุณตรวจผ่าน API ให้ใช้ GET /mailboxes/{id} เพื่อดูสถานะกล่องจดหมายใน data.status และดูความคืบหน้าการซิงก์ใน data.sync.state และ data.last_sync_at ส่วน GET /mailboxes/{id}/status ตรวจโดยตรงว่าบัญชี Microsoft ยังลงชื่อเข้าใช้ได้หรือไม่ และ GET /mailboxes/{id}/messages ใช้ดูรายการข้อความในโฟลเดอร์ ทั้งสาม endpoint ต้องใช้สิทธิ์ read ดูรายละเอียดเพิ่มเติมในเอกสาร API ของ Mailera

หากงานถัดไปคืออ่านรหัสยืนยันจากกล่องจดหมายทดสอบของคุณเอง ให้ดูวิธีอ่านรหัสยืนยัน Outlook ผ่าน API

ข้อผิดพลาดที่พบบ่อยหลังเปลี่ยนไปใช้ OAuth มีอะไรบ้าง?

อย่าเริ่มจากเปลี่ยนรหัสผ่านอีกครั้ง ให้ดูว่าปัญหาเกิดก่อนหรือหลังการอนุญาตสิทธิ์ ถ้ายังผ่านหน้าขอความยินยอมไม่ได้ ให้แก้เรื่องบัญชีและสิทธิ์ก่อน แต่ถ้าเชื่อมต่อแล้วและยังไม่เห็นข้อความ ให้ตรวจการซิงก์กับโฟลเดอร์ที่กำลังดู

เรื่องการอนุมัติไม่เหมือนกันทุกสิทธิ์ เอกสารการยืนยันตัวตนและอนุญาตสิทธิ์ของ Microsoft Graph อธิบายว่าสิทธิ์บางประเภทให้ผู้ใช้ยินยอมเองได้ ส่วนบางประเภทต้องใช้ผู้ดูแลระบบอนุมัติ หากยังไม่ได้รับการอนุมัติล่วงหน้า จึงควรอ่านหน้าที่ Microsoft แสดงจริง แทนการสรุปว่าบัญชีบริษัททุกบัญชีต้องผ่านขั้นตอนเดียวกัน

การไม่เห็นอีเมลใหม่ทันทีไม่ใช่เหตุให้สรุปว่ารหัสผ่านผิด ให้ตรวจสถานะการลงชื่อเข้าใช้แยกจากสถานะการซิงก์ โดยดู data.sync.state และเวลาซิงก์ครั้งถัดไปใน data.next_sync_at

ขอบเขตที่ Mailera เปลี่ยนให้ไม่ได้

Mailera ไม่เชื่อมกล่องจดหมาย Microsoft ด้วยรหัสผ่านแอป ไม่ทำให้ไคลเอนต์ IMAP รุ่นเก่ารองรับ OAuth และไม่สามารถอนุมัติสิทธิ์แทนผู้ดูแลระบบขององค์กรได้ ส่วนการเปิด Basic authentication กลับมาใช้กับ IMAP ของ Exchange Online เป็นข้อจำกัดจาก Microsoft ที่ใช้กับทุกแอป ไม่ใช่เฉพาะ Mailera

Mailera เชื่อมกล่องจดหมายที่คุณมีอยู่แล้ว ไม่สร้างบัญชีหรือที่อยู่อีเมลใหม่ พื้นที่ทำงานแบบบริการตนเองฟรีเก็บข้อความไว้ 30 วัน จึงไม่ควรใช้การไม่พบข้อความเก่ากว่านั้นเป็นตัวตัดสินว่าการเชื่อมต่อเสีย

หากให้ AI อ่านอีเมล ต้องตั้งค่าความปลอดภัยอย่างไร?

ถ้าคุณเปลี่ยนมาใช้ OAuth เพื่อให้เอเจนต์อ่านอีเมล ขั้นตอนถัดไปคือจำกัดสิ่งที่เอเจนต์ทำได้ การเชื่อมบัญชีสำเร็จไม่ได้หมายความว่าควรให้คีย์ที่มีทุกสิทธิ์กับเอเจนต์

ใน การตั้งค่า เปิดส่วนคีย์ API แล้วเลือก สร้าง API key กำหนด ขอบเขตกล่องจดหมาย ให้เหลือเฉพาะกลุ่มที่จำเป็น และให้สิทธิ์ read สำหรับงานอ่านอย่างเดียว ไม่เพิ่ม send หากงานไม่ได้ต้องส่งอีเมล คุณสามารถกำหนด ระยะเวลาที่ใช้ได้ ของคีย์ให้เหมาะกับงานด้วย

ถือว่าเนื้อหาอีเมลเป็นข้อมูลที่ไม่น่าเชื่อถือ ไม่ใช่คำสั่งของระบบ ข้อความที่บอกให้เอเจนต์เปิดเผยคีย์ ส่งข้อมูลไปที่อื่น หรือเปลี่ยนกฎการทำงาน ต้องถูกมองเป็นเนื้อหาธรรมดา ไม่ใช่คำสั่งให้ทำตาม ต้องแยกข้อมูลออกจากคำสั่งเช่นนี้เพื่อรับมือ prompt injection

ถ้าเพิ่มความสามารถส่งอีเมลภายหลัง ให้มีขั้นตอนที่คนตรวจผู้รับและเนื้อหาก่อนส่ง ปิดบังที่อยู่อีเมล ข้อมูลส่วนบุคคล token และคีย์ API ในภาพหน้าจอหรือบันทึกที่นำไปแชร์เสมอ

อ่านเพิ่มเติมได้ที่แนวทางความปลอดภัยของ Mailera และรหัสผ่านสำหรับแอปสำหรับกล่องจดหมายของเอเจนต์ ส่วนบัญชี Microsoft ให้ใช้ OAuth ผ่านหน้าลงชื่อเข้าใช้หรือนำเข้า refresh token ที่มีอยู่แล้ว ไม่ใช้รหัสผ่านแอป