Palavra-passe de aplicação do Gmail: criar, IMAP e soluções

Uma palavra-passe de aplicação do Gmail é um código de 16 caracteres que permite a uma app ou a um dispositivo sem Sign in with Google (início de sessão com a Google) aceder ao teu Gmail por IMAP, POP ou SMTP. Crias esta palavra-passe em myaccount.google.com/apppasswords depois de ativares a validação em dois passos. Na app, introduz o teu endereço completo do Gmail como nome de utilizador e a palavra-passe de aplicação como palavra-passe, com imap.gmail.com na porta 993 para o email recebido e smtp.gmail.com na porta 465 ou 587 para o envio. Se a app oferecer o início de sessão com a Google, a Google recomenda que o uses em vez disso. É também com uma palavra-passe de aplicação que o CatchNone lê o email dos aliases do teu próprio domínio no Gmail, apenas para leitura e diretamente a partir do teu iPhone, iPad ou Mac.

Nas mensagens de erro, a Google chama-lhe application-specific password (palavra-passe específica da aplicação); muitos guias dizem app-specific password. As páginas de ajuda da Google indicadas abaixo foram verificadas pela última vez a 25 de setembro de 2026.

As palavras-passe de aplicação do Gmail ainda estão disponíveis em 2026?

Sim. Em setembro de 2026, a página da Google Iniciar sessão com palavras-passe de apps descreve-as como uma funcionalidade atual e não indica nenhuma data de fim. A mesma página diz que «não são recomendadas e são desnecessárias na maioria dos casos».

O que acabou foi o início de sessão com a tua palavra-passe normal da Google. A ajuda do Gmail diz que o Gmail «já não suporta apps ou dispositivos de terceiros que exijam que partilhes o teu nome de utilizador e a tua palavra-passe da Google». Nas contas Google Workspace, esse suporte terminou a 1 de maio de 2025, segundo o Google Workspace Updates. O guia de transição da Google diz que o CalDAV, o CardDAV, o IMAP, o SMTP e o POP «deixarão de funcionar com palavras-passe antigas» e que deixas de usar uma palavra-passe para o acesso, «com exceção das palavras-passe de apps».

Por isso, uma app acede ao Gmail de uma de duas formas: com o início de sessão com a Google (OAuth) ou com uma palavra-passe de aplicação.

Antes de começar: ativa a validação em dois passos

A Google só te deixa criar palavras-passe de aplicação em contas com a validação em dois passos. Para a ativares numa conta pessoal (passos da Google, em setembro de 2026):

1. Abre a tua Conta Google.
2. Seleciona Security & sign-in (Segurança e início de sessão).
3. Em How you sign in to Google (Como inicias sessão na Google), seleciona Turn on 2-Step Verification (Ativar a validação em dois passos).
4. Segue os passos no ecrã.

Ou vai diretamente a myaccount.google.com/signinoptions/two-step-verification. Numa conta de trabalho ou escolar, estes passos podem não funcionar, porque é o administrador que controla a validação em dois passos.

Como criar uma palavra-passe de aplicação do Gmail

1. Vai a myaccount.google.com/apppasswords e inicia sessão outra vez, se te for pedido. A ajuda da Google indica também o caminho Conta Google → Security & sign-in → How you sign in to Google → Palavras-passe de apps. Se não vires essa entrada, usa o link direto.
2. Escreve um nome que reconheças mais tarde, como «Impressora do escritório» ou «NAS de casa», e seleciona Create (Criar).
3. Copia a palavra-passe que a Google mostra. Só a vês uma vez. Se a perderes, cria uma nova.
4. Na app, introduz o teu endereço de email completo como nome de utilizador e cola a palavra-passe de aplicação no campo da palavra-passe.

A ajuda da Google não documenta este ecrã, por isso as etiquetas dos passos 2 e 3 seguem guias atuais de terceiros (setembro de 2026) e podem ser ligeiramente diferentes na tua conta.

Cria uma palavra-passe de aplicação para cada app ou dispositivo. Normalmente só a introduzes uma vez, e com palavras-passe separadas podes revogar o acesso de uma app sem estragar as outras.

Porque falta a opção «Palavras-passe de apps» ou não está disponível

Se myaccount.google.com/apppasswords mostrar «The setting you are looking for is not available for your account» (a definição que procuras não está disponível para a tua conta), ou se a entrada nunca aparecer, verifica primeiro a validação em dois passos. As outras três linhas são as razões possíveis que a Google indica:

Google Workspace: porque não há palavras-passe de aplicação

Uma conta de trabalho não está excluída por predefinição: a ajuda da Google para administradores sobre clientes de email de terceiros diz aos administradores que peçam aos utilizadores para «criar e usar palavras-passe de apps» nos clientes sem OAuth. Se funciona ou não depende destas definições da Admin console (consola de administração), em setembro de 2026:

• Validação em dois passos permitida: Menu → Security → Authentication → 2-step verification (Segurança → Autenticação → Validação em dois passos) → Allow users to turn on 2-Step Verification (permitir que os utilizadores ativem a validação em dois passos).
• Métodos: se o método de validação em dois passos estiver definido como Only security key (apenas chave de segurança), que agora também abrange as chaves de acesso (passkeys), os utilizadores ficam no caso das chaves de segurança descrito acima.
• Advanced Protection: os utilizadores podem inscrever-se sozinhos, a menos que o administrador desative a inscrição (Menu → Security → Authentication → Advanced Protection Program, ou seja, Segurança → Autenticação → Programa de Proteção Avançada; ativada por predefinição). As palavras-passe de aplicação ficam bloqueadas para os utilizadores inscritos.
• Acesso IMAP (isto não esconde as palavras-passe de apps, mas decide se um cliente de email que use uma consegue ligar-se): Menu → Apps → Google Workspace → Gmail → End User Access → POP and IMAP access (Apps → Google Workspace → Gmail → Acesso do utilizador final → Acesso POP e IMAP). Marca Enable IMAP access for all users (ativar o acesso IMAP para todos os utilizadores) e seleciona Allow any mail client (permitir qualquer cliente de email). Com Restrict which mail clients users can use (OAuth mail clients only) (restringir os clientes de email que os utilizadores podem usar, só clientes de email com OAuth), os clientes com palavra-passe de aplicação não se conseguem ligar (ajuda sobre IMAP para administradores).

Definições IMAP e SMTP do Gmail

O servidor de receção do Gmail é imap.gmail.com, na porta 993 com SSL/TLS. O servidor de envio é smtp.gmail.com, na porta 465 (SSL/TLS) ou 587 (STARTTLS). Tanto no Gmail pessoal como no Workspace, inicias sessão com o teu endereço de email completo e uma palavra-passe de aplicação.

O POP, se precisares dele, é pop.gmail.com na porta 995 com SSL.

A ajuda da Google para particulares sobre adicionar o Gmail a outro cliente de email já não indica estes valores. Vêm da documentação para programadores da Google e da sua ajuda para administradores do Workspace.

Qualquer uma das portas SMTP funciona. O RFC 8314 não encontra nenhuma diferença de segurança significativa entre elas quando ambas estão bem implementadas e o TLS é obrigatório. Por isso, na 587, escolhe uma opção que exija STARTTLS, e não uma que só o use «se estiver disponível».

No Gmail pessoal não há nada para ativar. Desde janeiro de 2025, o IMAP está sempre ativado e a antiga opção «Enable IMAP» (ativar IMAP) desapareceu. No Workspace, quem decide é a definição do administrador descrita acima.

As pastas do Gmail por IMAP

As etiquetas do Gmail aparecem como pastas: INBOX, [Gmail]/All Mail, [Gmail]/Sent Mail, [Gmail]/Spam, [Gmail]/Trash e outras. Em algumas contas, o prefixo é Google Mail em vez de Gmail, como refere a documentação de IMAP da Google. Das definições recomendadas pela Google para clientes de email, duas são as mais importantes:

• Não atives o filtro de spam da própria app. O Gmail já separa o spam para [Gmail]/Spam.
• Não ponhas a app a mover as mensagens apagadas para Trash (Lixo), ou o Gmail elimina-as definitivamente ao fim de 30 dias. Com a definição predefinida, uma mensagem que apagues de uma pasta continua em All Mail (Todo o correio).

Para saberes como as eliminações se sincronizam entre uma app e o servidor, vê O IMAP apaga os emails do servidor?

O Gmail no Outlook, no Apple Mail e no iPhone

A ajuda do Workspace da Google diz que as versões atuais do Outlook, do Apple Mail e do Samsung Mail suportam o início de sessão com a Google, por isso não precisam de palavra-passe de aplicação nem de definições manuais.

No novo Outlook para Windows, vai a View → View settings → Accounts → Your accounts → Add Account (Ver → Definições de visualização → Contas → As suas contas → Adicionar conta), introduz o teu endereço do Gmail, seleciona Continue (Continuar) e seleciona Allow (Permitir) no ecrã de permissões da Google. No Outlook clássico, seleciona File → Add Account (Ficheiro → Adicionar conta), introduz o teu endereço, seleciona Connect (Ligar), inicia sessão e seleciona Allow (Permitir) (passos da Microsoft). Ignora a definição «less secure apps» (apps menos seguras) que a página da Microsoft ainda menciona; o Gmail já não suporta esse tipo de início de sessão.

Segundo a Google, os iPhones e iPads com o iOS 11 ou posterior também não precisam de palavra-passe de aplicação. No iOS atual, vai a Definições → Aplicações → Mail → Mail Accounts (Contas de e-mail) → Add Account (Adicionar conta), introduz o teu endereço do Gmail (escolhe Google se aparecer uma lista de fornecedores) e segue as instruções (passos da Apple). Nas versões mais antigas, Accounts (Contas) está em Definições → Mail.

Os clientes mais antigos sem OAuth, como as versões do Outlook anteriores ao Outlook 2016 ou a edição MSI do Outlook 2016 com licenciamento em volume, precisam de uma palavra-passe de aplicação e dos valores acima.

Impressoras, scanners, NAS e scripts

Uma impressora que digitaliza para email, ou um NAS que envia alertas, inicia sessão em smtp.gmail.com com o teu endereço completo e uma palavra-passe de aplicação. Os limites de envio da Google, em setembro de 2026:

Para dispositivos do Workspace, a ajuda da Google sobre impressoras e scanners recomenda o SMTP relay (serviço de retransmissão SMTP).

Nos teus próprios scripts, os servidores do Gmail também aceitam OAuth através de SASL XOAUTH2: dá mais trabalho do que uma palavra-passe de aplicação, mas é o caminho que a Google prefere. O Gmail fecha as sessões IMAP ao fim de cerca de 24 horas, por isso um script que corra durante muito tempo tem de voltar a ligar-se.

A palavra-passe de aplicação do Gmail não funciona? O que verificar

Verifica estas causas:

1. Mudaste a palavra-passe da tua Conta Google. A Google revoga todas as tuas palavras-passe de aplicação quando a palavra-passe muda. Cria uma nova para cada app.
2. Inscreveste-te no Advanced Protection. A inscrição revoga as palavras-passe de aplicação atuais, e as novas ficam bloqueadas.
3. Desativaste a validação em dois passos. A Google diz que as apps podem mostrar erros e recomenda que revogues as tuas palavras-passe de aplicação.
4. A palavra-passe de aplicação foi removida. A partir daí, a app não consegue iniciar sessão, embora possa demorar algum tempo a dar por isso.
5. O administrador do Workspace alterou o acesso IMAP. Com o IMAP desativado, ou limitado apenas a clientes de email com OAuth, os clientes com palavra-passe de aplicação deixam de sincronizar, mesmo que antes funcionassem.
6. Há demasiadas apps ligadas. O Gmail permite até 15 clientes de email por conta ao mesmo tempo (em setembro de 2026), e muitos clientes a sincronizar em simultâneo podem provocar o erro «Too many simultaneous connections» (demasiadas ligações em simultâneo).
7. Atingiste um limite de largura de banda do Workspace. As contas do Workspace podem descarregar 2500 MB por dia por IMAP (em setembro de 2026). Acima disso, o acesso é suspenso, normalmente durante uma hora e até 24 horas (limites de largura de banda do Gmail). A Google não publica nenhum valor para as contas pessoais.
8. Atingiste um limite de envio da tabela acima. No Gmail pessoal, o erro diz «You have reached a limit for sending mail» (atingiste um limite de envio de email), e a Google diz que o envio costuma voltar a funcionar num prazo de 1 a 24 horas. No Workspace, o envio pode ficar bloqueado até 24 horas.
9. A app está desatualizada. A resolução de problemas da Google começa por atualizar o cliente, porque as versões mais antigas podem não cumprir as normas de segurança atuais.

Mensagens de erro e o que significam

Os textos SMTP abaixo vêm da referência de erros da Google, escritos como as apps costumam mostrá-los. A tabela da Google formata os códigos de forma ligeiramente diferente.

• 535-5.7.8 Username and Password not accepted, «Invalid credentials» (credenciais inválidas) ou pedidos repetidos da palavra-passe: a palavra-passe de aplicação está errada ou foi revogada. Cria uma nova e confirma que o nome de utilizador é o teu endereço completo.
• 534-5.7.9 Application-specific password required: normalmente, a app enviou a tua palavra-passe normal da Google numa conta com a validação em dois passos. Usa uma palavra-passe de aplicação.
• 534 «Please log in with your web browser and then try again» (inicia sessão no navegador e tenta novamente): inicia sessão na tua Conta Google num navegador e depois tenta outra vez.

A que tem acesso uma palavra-passe de aplicação e como a revogar

Uma palavra-passe de aplicação não é apenas para leitura, e a Google não oferece nenhuma forma de a limitar a uma só app ou a um só protocolo. Quem a tiver pode usar o IMAP, o POP e o SMTP em teu nome, para ler e enviar email. O guia de transição da Google refere o CalDAV e o CardDAV (calendários e contactos) ao lado dos protocolos de email em que as palavras-passe simples foram desativadas, com as palavras-passe de aplicação como exceção, por isso uma palavra-passe de aplicação também pode chegar a esses serviços. Trata-a como a tua palavra-passe principal.

Para revogar uma (passos da Google):

1. Abre myaccount.google.com/apppasswords.
2. Procura a app ou o dispositivo na lista.
3. Seleciona Remove (Remover).

A Google recomenda revogar uma palavra-passe de aplicação quando perdes um dispositivo ou deixas de usar uma app. Mudar a palavra-passe da Conta Google revoga-as todas de uma vez.

A Apple tem a sua própria versão para o iCloud Mail: vê palavras-passe específicas de app do iCloud e definições IMAP.

Palavra-passe de aplicação ou início de sessão com a Google?

Quando uma app não tem início de sessão com a Google, a Google indica mais uma opção além da palavra-passe de aplicação: «mudar para uma app ou um dispositivo mais seguro».

Usar uma palavra-passe de aplicação do Gmail com o CatchNone

O CatchNone é uma app de aliases de email que só recebe, disponível para iPhone, iPad e Mac, que dá a cada registo o seu próprio endereço no teu domínio e lê o email diretamente da tua caixa de correio. Se o email do teu domínio chega ao Gmail (por exemplo, porque um catch-all no teu domínio o reencaminha para lá), basta-lhe uma palavra-passe de aplicação: o email vai da Google para o teu dispositivo sem nunca passar pelos servidores do CatchNone, e cada mensagem mostra o alias a que chegou. O CatchNone liga-se com uma palavra-passe de aplicação, não com o início de sessão com a Google. No formulário «Adicionar caixa de correio», define «Tipo de ligação» como IMAP, «Servidor de e-mail» como imap.gmail.com, «E-mail ou nome de utilizador» com o teu endereço completo do Gmail e «Palavra-passe» com a palavra-passe de aplicação. Em «Definições avançadas», mantém «Porta» 993 e «Ligação segura (TLS)» ativada e depois usa «Testar ligação», porque «Guardar» não testa a ligação. A palavra-passe fica no Keychain (porta-chaves) desse dispositivo e não é sincronizada, por isso tens de a introduzir em cada dispositivo.

O CatchNone abre a caixa de correio apenas para leitura e nunca marca, move nem apaga nada, embora a própria palavra-passe de aplicação o permitisse. Sempre que o abres, verifica as 100 mensagens mais recentes da caixa de entrada dos últimos 30 dias e seleciona o email cujos campos Para, Cc ou Bcc indiquem um endereço do teu domínio. Lê apenas a caixa de entrada, por isso o «Spam» do Gmail e o email que os teus filtros arquivam não aparecem. Se a Google não emitir uma palavra-passe de aplicação, ou se o administrador só permitir clientes de email com OAuth, faz chegar o email do domínio a um fornecedor com palavras-passe de aplicação ou tokens JMAP, como o iCloud+ ou a Fastmail (mas não o plano Basic, que não tem IMAP nem palavras-passe de aplicação). O artigo Escolher um fornecedor de email para um domínio personalizado compara as opções.

Perguntas frequentes

Uma palavra-passe de aplicação do Gmail expira?

A ajuda da Google não indica nenhum prazo de validade para as palavras-passe de aplicação. Deixam de funcionar pelas razões descritas em A palavra-passe de aplicação do Gmail não funciona?, como a mudança da palavra-passe da tua Conta Google ou a inscrição no Advanced Protection.

Tenho de escrever os espaços?

A ajuda da Google não descreve como o código é apresentado; chama-lhe «código de acesso de 16 dígitos». Os guias de terceiros atualizados em 2026 descrevem 16 caracteres em quatro grupos de quatro, com os espaços apenas para facilitar a leitura. Copia e cola o código em vez de o escreveres à mão e, se a app o rejeitar, cola-o outra vez sem os espaços.

Onde está a definição da palavra-passe de aplicação no Gmail?

Não está nas definições do Gmail. Está na tua Conta Google, em myaccount.google.com/apppasswords, ou em Security & sign-in → How you sign in to Google → Palavras-passe de apps, se a tua conta mostrar essa entrada. Se não mostrar, usa o link direto.

O administrador do Workspace pode criar uma palavra-passe de aplicação por mim?

A Google não documenta nenhuma forma de um administrador fazer isso. A ajuda para administradores diz-lhes que peçam aos utilizadores para criarem as suas, na própria Conta Google. O papel do administrador é permitir a validação em dois passos e o acesso IMAP para qualquer cliente de email.

É seguro usar uma palavra-passe de aplicação?

É uma escolha razoável para uma app que não tenha início de sessão com a Google, se a protegeres como a tua palavra-passe principal. A Google chama «menos seguras» às apps que precisam de uma e recomenda o início de sessão com a Google sempre que estiver disponível. Como uma palavra-passe de aplicação não pode ser limitada, usa uma por dispositivo e guarda-a apenas na app que precisa dela.