Gmail : mot de passe d’application, IMAP et solutions

Un mot de passe d’application Gmail est un code de 16 caractères qui permet à une app ou à un appareil sans Sign in with Google (Se connecter avec Google) d’accéder à votre Gmail par IMAP, POP ou SMTP. Vous le créez à myaccount.google.com/apppasswords une fois la validation en deux étapes (2-Step Verification) activée. Dans l’app, entrez votre adresse Gmail complète comme nom d’utilisateur et le mot de passe d’application comme mot de passe, avec imap.gmail.com sur le port 993 pour le courrier entrant et smtp.gmail.com sur le port 465 ou 587 pour l’envoi. Si l’app offre Sign in with Google, Google recommande plutôt cette option. C’est aussi avec un mot de passe d’application que CatchNone lit dans Gmail le courrier des alias de votre propre domaine, en lecture seule et directement depuis votre iPhone, iPad ou Mac.

Dans ses messages d’erreur, Google l’appelle « application-specific password »; bien des guides disent « app-specific password ». Les pages d’aide de Google citées ci-dessous ont été vérifiées pour la dernière fois le 25 septembre 2026.

Les mots de passe d’application Gmail existent-ils encore en 2026?

Oui. En date de septembre 2026, la page Se connecter avec des mots de passe d’application de Google les présente comme une fonctionnalité actuelle et ne donne aucune date de fin. La même page précise qu’ils « ne sont pas recommandés et sont inutiles dans la plupart des cas ».

Ce qui a pris fin, c’est la connexion avec votre mot de passe Google habituel. L’aide Gmail indique que Gmail « ne prend plus en charge les applications ou appareils tiers qui vous demandent de partager votre nom d’utilisateur et votre mot de passe Google ». Pour les comptes Google Workspace, cette prise en charge a pris fin le 1er mai 2025, selon Google Workspace Updates. Le guide de transition de Google précise que CalDAV, CardDAV, IMAP, SMTP et POP « ne fonctionneront plus avec les anciens mots de passe » et que vous n’utilisez plus de mot de passe pour y accéder, « à l’exception des mots de passe d’application ».

Une app accède donc à Gmail de l’une de deux façons : Sign in with Google (OAuth) ou un mot de passe d’application.

Avant de commencer : activez la validation en deux étapes

Google ne permet de créer des mots de passe d’application que sur les comptes où la validation en deux étapes est activée. Pour l’activer sur un compte personnel (les étapes de Google, en date de septembre 2026) :

1. Ouvrez votre compte Google.
2. Sélectionnez Security & sign-in (Sécurité et connexion).
3. Sous How you sign in to Google (Comment vous connecter à Google), sélectionnez Turn on 2-Step Verification (Activer la validation en deux étapes).
4. Suivez les étapes à l’écran.

Vous pouvez aussi aller directement à myaccount.google.com/signinoptions/two-step-verification. Sur un compte professionnel ou scolaire, ces étapes pourraient ne pas fonctionner, car c’est votre administrateur qui gère la validation en deux étapes.

Comment créer un mot de passe d’application Gmail

1. Allez à myaccount.google.com/apppasswords et reconnectez-vous si on vous le demande. L’aide de Google donne aussi le chemin Compte Google > Security & sign-in > How you sign in to Google > App passwords (Mots de passe d’application). Si vous ne voyez pas cette entrée, utilisez le lien direct.
2. Tapez un nom que vous reconnaîtrez plus tard, comme « Imprimante du bureau » ou « NAS maison », puis sélectionnez Create (Créer).
3. Copiez le mot de passe que Google affiche. Vous ne le voyez qu’une seule fois. Si vous le perdez, créez-en un nouveau.
4. Dans l’app, entrez votre adresse courriel complète comme nom d’utilisateur et collez le mot de passe d’application dans le champ du mot de passe.

L’aide de Google ne décrit pas cet écran; les libellés des étapes 2 et 3 suivent donc des guides tiers actuels (septembre 2026) et peuvent différer légèrement sur votre compte.

Créez un mot de passe d’application par app ou par appareil. Vous l’entrez habituellement une seule fois, et des mots de passe distincts vous permettent de révoquer une app sans nuire aux autres.

Pourquoi l’option des mots de passe d’application est absente ou non disponible

Si myaccount.google.com/apppasswords affiche « The setting you are looking for is not available for your account » (le paramètre que vous recherchez n’est pas disponible pour votre compte), ou si l’entrée n’apparaît jamais, vérifiez d’abord la validation en deux étapes. Les trois autres lignes du tableau sont les raisons possibles que Google énumère :

Google Workspace : pourquoi les mots de passe d’application ne sont pas disponibles

Un compte professionnel n’est pas exclu par défaut : l’aide aux administrateurs de Google sur les clients de messagerie tiers leur demande de faire « créer et utiliser des mots de passe d’application » par les utilisateurs dont le client n’offre pas OAuth. Que cela fonctionne ou non dépend des réglages suivants de la console d’administration (en date de septembre 2026) :

• Validation en deux étapes autorisée : Menu > Security > Authentication > 2-step verification (Sécurité > Authentification > Validation en deux étapes) > Allow users to turn on 2-Step Verification (Autoriser les utilisateurs à activer la validation en deux étapes).
• Méthodes : si la méthode de validation en deux étapes est réglée sur Only security key (Clé de sécurité uniquement), qui couvre maintenant aussi les clés d’accès, les utilisateurs se trouvent dans le cas « clés de sécurité seulement » décrit plus haut.
• Protection avancée : les utilisateurs peuvent s’inscrire eux-mêmes, sauf si l’administrateur désactive l’inscription (Menu > Security > Authentication > Advanced Protection Program, soit Sécurité > Authentification > Programme Protection avancée; activée par défaut). Les mots de passe d’application sont bloqués pour les utilisateurs inscrits.
• Accès IMAP (ce réglage ne masque pas l’option des mots de passe d’application, mais il détermine si un client de messagerie qui en utilise un peut se connecter) : Menu > Apps > Google Workspace > Gmail > End User Access > POP and IMAP access (Applications > Google Workspace > Gmail > Accès des utilisateurs finaux > Accès POP et IMAP). Cochez Enable IMAP access for all users (Activer l’accès IMAP pour tous les utilisateurs) et sélectionnez Allow any mail client (Autoriser tous les clients de messagerie). Avec Restrict which mail clients users can use (OAuth mail clients only) (Limiter les clients de messagerie autorisés, clients OAuth seulement), les clients qui utilisent un mot de passe d’application ne peuvent pas se connecter (aide sur l’IMAP pour les administrateurs).

Paramètres IMAP et SMTP de Gmail

Le serveur de courrier entrant de Gmail est imap.gmail.com, sur le port 993 avec SSL/TLS. Le serveur de courrier sortant est smtp.gmail.com, sur le port 465 (SSL/TLS) ou 587 (STARTTLS). Sur un compte Gmail personnel comme sur Workspace, connectez-vous avec votre adresse courriel complète et un mot de passe d’application.

Si vous avez besoin de POP, le serveur est pop.gmail.com, sur le port 995 avec SSL.

L’aide grand public de Google sur l’ajout de Gmail à un autre client de messagerie ne donne plus ces valeurs. Elles proviennent de la documentation pour les développeurs de Google et de son aide aux administrateurs Workspace.

Les deux ports SMTP fonctionnent. La RFC 8314 ne relève aucune différence de sécurité importante entre eux quand les deux sont bien mis en œuvre et que TLS est exigé. Sur le 587, choisissez donc un réglage qui exige STARTTLS, et non un réglage qui ne l’utilise que « si disponible ».

Sur un compte Gmail personnel, il n’y a rien à activer. Depuis janvier 2025, l’IMAP est toujours activé et l’ancienne option « Enable IMAP » (Activer IMAP) a disparu. Sur Workspace, c’est le réglage d’administration décrit plus haut qui décide.

Les dossiers de Gmail en IMAP

Les libellés Gmail apparaissent comme des dossiers : INBOX, [Gmail]/All Mail, [Gmail]/Sent Mail, [Gmail]/Spam, [Gmail]/Trash et d’autres. Sur certains comptes, le préfixe est Google Mail plutôt que Gmail, comme le signale la documentation IMAP de Google. Deux des réglages de client recommandés par Google comptent le plus :

• N’activez pas le filtre de courrier indésirable de votre app. Gmail classe déjà les pourriels dans [Gmail]/Spam.
• Ne demandez pas à l’app de déplacer les messages supprimés vers Trash (Corbeille), sinon Gmail les supprime définitivement après 30 jours. Avec le réglage par défaut, un message que vous supprimez d’un dossier reste dans All Mail (Tous les messages).

Pour savoir comment les suppressions se synchronisent entre une app et le serveur, consultez IMAP supprime-t-il les courriels du serveur?

Gmail dans Outlook, Apple Mail et sur iPhone

Selon l’aide Workspace de Google, les versions actuelles d’Outlook, d’Apple Mail et de Samsung Mail prennent en charge Sign in with Google : elles n’ont donc besoin ni de mot de passe d’application ni de réglages manuels.

Dans le nouvel Outlook pour Windows, allez à View (Affichage) > View settings (Afficher les paramètres) > Accounts (Comptes) > Your accounts (Vos comptes) > Add Account (Ajouter un compte), entrez votre adresse Gmail, sélectionnez Continue (Continuer), puis Allow (Autoriser) dans l’écran des autorisations de Google. Dans Outlook classique, sélectionnez File (Fichier) > Add Account, entrez votre adresse, sélectionnez Connect (Connexion), connectez-vous, puis sélectionnez Allow (les étapes de Microsoft). Ignorez le réglage « less secure apps » (applications moins sécurisées) que la page de Microsoft mentionne encore; Gmail ne prend plus en charge ce type de connexion.

Selon Google, les iPhone et iPad sous iOS 11 ou version ultérieure n’ont pas besoin de mot de passe d’application non plus. Sur la version actuelle d’iOS, allez à Réglages > Apps > Mail > Mail Accounts (Comptes Mail) > Add Account (Ajouter un compte), entrez votre adresse Gmail (choisissez Google si une liste de fournisseurs s’affiche) et suivez les instructions (les étapes d’Apple). Dans les versions plus anciennes, Accounts (Comptes) se trouve sous Réglages > Mail.

Les clients plus anciens sans OAuth, comme les versions d’Outlook antérieures à Outlook 2016 ou l’édition MSI d’Outlook 2016 sous licence en volume, ont besoin d’un mot de passe d’application et des valeurs ci-dessus.

Imprimantes, numériseurs, NAS et scripts

Une imprimante qui numérise vers un courriel, ou un NAS qui envoie des alertes, se connecte à smtp.gmail.com avec votre adresse complète et un mot de passe d’application. Les limites d’envoi de Google, en date de septembre 2026 :

Pour les appareils Workspace, l’aide de Google sur les imprimantes et les numériseurs recommande le relais SMTP.

Pour vos propres scripts, les serveurs de Gmail acceptent aussi OAuth par SASL XOAUTH2 : c’est plus de travail qu’un mot de passe d’application, mais c’est la voie que Google préfère. Gmail ferme les sessions IMAP après environ 24 heures; un script qui tourne longtemps doit donc se reconnecter.

Le mot de passe d’application Gmail ne fonctionne pas? Ce qu’il faut vérifier

Vérifiez ces causes :

1. Vous avez changé le mot de passe de votre compte Google. Google révoque tous vos mots de passe d’application quand le mot de passe change. Créez-en un nouveau pour chaque app.
2. Vous avez inscrit votre compte à la Protection avancée. L’inscription révoque les mots de passe d’application existants, et les nouveaux sont bloqués.
3. Vous avez désactivé la validation en deux étapes. Selon Google, les apps peuvent afficher des erreurs, et Google recommande de révoquer vos mots de passe d’application.
4. Le mot de passe d’application a été supprimé. L’app ne peut alors plus se connecter, mais elle peut mettre un certain temps à s’en apercevoir.
5. Votre administrateur Workspace a modifié l’accès IMAP. Si l’IMAP est désactivé, ou limité aux seuls clients de messagerie OAuth, les clients qui utilisent un mot de passe d’application cessent de se synchroniser, même s’ils fonctionnaient auparavant.
6. Trop d’apps sont connectées. Gmail permet jusqu’à 15 clients de messagerie par compte en même temps (en date de septembre 2026), et beaucoup de clients qui se synchronisent à la fois peuvent causer l’erreur « Too many simultaneous connections » (trop de connexions simultanées).
7. Vous avez atteint une limite de bande passante Workspace. Les comptes Workspace peuvent télécharger 2 500 Mo par jour en IMAP (en date de septembre 2026). Au-delà, l’accès est suspendu, généralement pendant une heure et jusqu’à 24 heures (limites de bande passante de Gmail). Google ne publie aucun chiffre pour les comptes personnels.
8. Vous avez atteint une limite d’envoi du tableau ci-dessus. Sur un compte Gmail personnel, l’erreur indique « You have reached a limit for sending mail » (vous avez atteint une limite d’envoi), et selon Google, l’envoi est habituellement rétabli dans un délai de 1 à 24 heures. Sur Workspace, l’envoi peut rester bloqué jusqu’à 24 heures.
9. L’app n’est pas à jour. Le dépannage de Google commence par la mise à jour du client, car les anciennes versions peuvent ne pas respecter les normes de sécurité actuelles.

Messages d’erreur et leur signification

Les textes SMTP ci-dessous proviennent de la référence des erreurs de Google, écrits comme les apps les affichent habituellement. Le tableau de Google présente les codes de façon légèrement différente.

• 535-5.7.8 Username and Password not accepted, « Invalid credentials » ou demandes de mot de passe répétées : le mot de passe d’application est erroné ou a été révoqué. Créez-en un nouveau et vérifiez que le nom d’utilisateur est bien votre adresse complète.
• 534-5.7.9 Application-specific password required : habituellement, l’app a envoyé votre mot de passe Google normal sur un compte où la validation en deux étapes est activée. Utilisez un mot de passe d’application.
• 534 « Please log in with your web browser and then try again » : connectez-vous à votre compte Google dans un navigateur, puis réessayez.

À quoi un mot de passe d’application donne accès, et comment le révoquer

Un mot de passe d’application n’est pas en lecture seule, et Google n’offre aucun moyen de le limiter à une seule app ou à un seul protocole. Quiconque le détient peut utiliser IMAP, POP et SMTP en votre nom, pour lire et envoyer des courriels. Le guide de transition de Google nomme CalDAV et CardDAV (calendriers et contacts) aux côtés des protocoles de courriel pour lesquels les mots de passe ordinaires ont été désactivés, avec les mots de passe d’application comme exception; un mot de passe d’application pourrait donc y donner accès aussi. Traitez-le comme votre mot de passe principal.

Pour en révoquer un (les étapes de Google) :

1. Ouvrez myaccount.google.com/apppasswords.
2. Trouvez l’app ou l’appareil dans la liste.
3. Sélectionnez Remove (Supprimer).

Google recommande de révoquer un mot de passe d’application quand vous perdez un appareil ou cessez d’utiliser une app. Changer le mot de passe de votre compte Google les révoque tous d’un coup.

Apple a sa propre version pour Mail iCloud : consultez Mots de passe propres à l’app iCloud et réglages IMAP.

Mot de passe d’application ou Sign in with Google?

Quand une app n’offre pas Sign in with Google, Google nomme un seul autre choix qu’un mot de passe d’application : « Passez à une application ou à un appareil plus sécurisé ».

Utiliser un mot de passe d’application Gmail avec CatchNone

CatchNone est une app d’alias de courriel qui ne fait que recevoir, disponible sur iPhone, iPad et Mac, qui donne à chaque inscription sa propre adresse sur votre domaine et lit le courrier directement dans votre boîte courriel. Si le courrier de votre domaine aboutit dans Gmail (par exemple, parce qu’une adresse fourre-tout (catch-all) sur votre domaine le transfère là), un mot de passe d’application suffit : le courrier va de Google à votre appareil sans jamais passer par les serveurs de CatchNone, et chaque message porte une pastille indiquant l’alias qu’il a atteint. CatchNone se connecte avec un mot de passe d’application plutôt qu’avec Sign in with Google. Dans le formulaire « Ajouter une boîte », réglez « Type de connexion » sur IMAP, « Serveur de courriel » sur imap.gmail.com, « Courriel ou nom d’utilisateur » sur votre adresse Gmail complète et « Mot de passe » sur le mot de passe d’application. Sous « Réglages avancés », gardez « Port » à 993 et « Connexion sécurisée (TLS) » activée, puis utilisez « Tester la connexion », car « Enregistrer » ne teste pas la connexion. Le mot de passe reste dans le trousseau de cet appareil et ne se synchronise pas; vous devez donc l’entrer sur chaque appareil.

CatchNone ouvre la boîte en lecture seule et ne marque, ne déplace ni ne supprime jamais rien, même si le mot de passe d’application le permettrait. Chaque fois que vous ouvrez l’app, elle vérifie les 100 messages les plus récents de la boîte de réception parmi ceux des 30 derniers jours et en retient les courriels dont le champ À, Cc ou Cci contient une adresse de votre domaine. Elle ne lit que la boîte de réception : le dossier de spam de Gmail et le courrier que vos filtres archivent n’apparaissent donc pas. Si Google refuse de vous délivrer un mot de passe d’application, ou si votre administrateur n’autorise que les clients de messagerie OAuth, acheminez plutôt le courrier du domaine vers un hébergeur qui offre des mots de passe d’application ou des jetons JMAP, comme iCloud+ ou Fastmail (mais pas son forfait Basic, qui n’offre ni IMAP ni mots de passe d’application). Choisir un fournisseur de courriel pour un domaine personnalisé compare les options.

FAQ

Un mot de passe d’application Gmail expire-t-il?

L’aide de Google n’indique aucune durée limite pour les mots de passe d’application. Ils cessent de fonctionner pour les raisons décrites sous Le mot de passe d’application Gmail ne fonctionne pas?, comme un changement du mot de passe de votre compte Google ou une inscription à la Protection avancée.

Dois-je taper les espaces?

L’aide de Google ne décrit pas comment le code est affiché; elle parle d’un « code secret à 16 chiffres » (16-digit passcode). Des guides tiers mis à jour en 2026 décrivent 16 caractères en quatre groupes de quatre, les espaces ne servant qu’à la lisibilité. Copiez et collez le code plutôt que de le retaper et, si l’app le refuse, collez-le de nouveau sans les espaces.

Où se trouve le réglage des mots de passe d’application dans Gmail?

Il ne se trouve pas dans les paramètres de Gmail. Il se trouve dans votre compte Google, à myaccount.google.com/apppasswords, ou sous Security & sign-in (Sécurité et connexion) > How you sign in to Google (Comment vous connecter à Google) > App passwords (Mots de passe d’application) si votre compte affiche cette entrée. Sinon, utilisez le lien direct.

Mon administrateur Workspace peut-il créer un mot de passe d’application pour moi?

Google ne documente aucun moyen pour un administrateur de le faire. Son aide aux administrateurs leur dit de demander aux utilisateurs de créer le leur, dans leur propre compte Google. Le rôle de votre administrateur est d’autoriser la validation en deux étapes et l’accès IMAP pour tous les clients de messagerie.

Un mot de passe d’application est-il sûr?

C’est un choix raisonnable pour une app qui n’offre pas Sign in with Google, si vous le protégez comme votre mot de passe principal. Google qualifie de « moins sécurisées » les apps qui en ont besoin et recommande Sign in with Google quand l’option est offerte. Comme un mot de passe d’application ne peut pas être limité, gardez-en un par appareil et conservez-le seulement dans l’app qui en a besoin.