CyberSDF

Reprenez la main sur votre numérique

Rédigé par Rédaction CyberSDF /

Thunderbird et Gmail : connecter le compte avec un mot de passe d’application

plusieurs fenetres abstraites en aplats geometriques qui se recouvrent, vue de face

Le mot de passe d’application Gmail connecte Thunderbird sans passer par OAuth2. Google décrit ce code comme un secret de 16 chiffres, valable seulement sur un compte protégé par la validation en deux étapes, dans sa page d’aide consacrée aux mots de passe d’application. Ce code ne suffit pas : les deux champs Méthode d’authentification de Thunderbird, celui du serveur entrant et celui du serveur sortant, doivent abandonner OAuth2 pour Mot de passe normal. Les deux se règlent séparément, et c’est là que la plupart des configurations échouent.

Sommaire
  1. 1. Le mot de passe d’application se crée dans le compte Google
  2. 2. Le serveur entrant quitte OAuth2 dans les paramètres du compte
  3. 3. Le serveur sortant a son propre champ, et c’est celui qu’on oublie
  4. 4. Purger le jeton OAuth2 enregistré, puis envoyer un message de test
  5. Une mise à jour de Thunderbird peut remettre le compte en OAuth2
  6. OAuth2 et mot de passe d’application ne se valent pas selon la machine
  7. Un mot de passe d’application ne lève pas les plafonds de Gmail
  8. Un mot de passe d’application tombe avec le mot de passe du compte
  9. Sources

Le réglage tient en quatre gestes, deux dans l’interface web de Google, deux dans Thunderbird, dont un facile à manquer. Les clients de messagerie et les contraintes que les fournisseurs leur imposent se comparent dans la rubrique logiciels. Un mot de passe d’application sert aussi quand la fenêtre OAuth2 refuse de s’ouvrir, cas documenté par Mozilla lorsque les cookies sont désactivés dans Thunderbird.

1. Le mot de passe d’application se crée dans le compte Google

Créer le code demande d’abord la validation en deux étapes. L’aide Google précise que les mots de passe d’application ne fonctionnent que sur un compte où cette validation est active. Ouvrez la page myaccount.google.com/apppasswords, authentifiez-vous, puis donnez au code un nom qui vous permettra de retrouver l’entrée dans la liste des applications autorisées. Google signale aussi que chaque code ne peut être enregistré qu’une seule fois : ce qui n’est pas recopié tout de suite est perdu, et il faut recommencer.

Le code fonctionne comme un mot de passe distinct de celui du compte : Thunderbird le stocke, Google le révoque sans prévenir si le mot de passe principal change. La double authentification reste active sous ce code, ce qui explique la longueur de 16 chiffres plutôt qu’un mot de passe choisi.

À l’écran, le code apparaît une seule fois, associé au nom d’application saisi. Recopiez-le ailleurs que dans Thunderbird, par exemple dans le gestionnaire de mots de passe de votre session.

2. Le serveur entrant quitte OAuth2 dans les paramètres du compte

Le champ qui décide de tout porte le nom Méthode d’authentification, sous Paramètres serveur. L’article de Mozilla sur la conversion des comptes Gmail donne le chemin : menu ≡, Paramètres des comptes, sélection du compte, puis Paramètres serveur et Paramètres de sécurité. Un compte Gmail ajouté automatiquement par Thunderbird arrive avec la valeur OAuth2 dans ce champ. Les libellés sont ceux de Thunderbird 153.0esr, publiée le 22 juillet 2026 selon les notes de version de Mozilla, et du paquet 1:140.12.0esr-1~deb13u1 de Debian 13 (trixie) selon le tableau de bord Debian.

Changer la valeur ne suffit pas tout de suite. Thunderbird garde le jeton OAuth2 déjà obtenu et continue de le présenter au serveur tant que l’entrée correspondante n’a pas été supprimée du gestionnaire de mots de passe. Rangez la valeur Mot de passe normal, quittez la fenêtre par OK, sans chercher plus loin pour l’instant. L’article de Mozilla précise que ce réglage vaut pour les comptes POP comme pour les comptes IMAP.

À l’écran, le champ affiche Mot de passe normal après réouverture des paramètres. Thunderbird réclame le mot de passe du compte au relevé suivant, et une entrée dont le nom commence par imap://imap.gmail.com apparaît dans le gestionnaire.

3. Le serveur sortant a son propre champ, et c’est celui qu’on oublie

Les serveurs sortants se gèrent séparément des comptes. Mozilla le rappelle dans son article de configuration manuelle : plusieurs comptes peuvent partager un même serveur SMTP, d’où cette entrée rangée à part dans la fenêtre. Ouvrez le bas du panneau du compte, cliquez sur Modifier le serveur SMTP, puis réglez Méthode d’authentification sur Mot de passe normal, la même valeur que côté entrant.

La page Workspace de Google sur l’envoi depuis une application nomme le serveur smtp.gmail.com, avec le port 465 pour SSL ou 587 pour TLS. Elle demande explicitement un mot de passe d’application pour l’authentification, ce qui montre que Google continue de produire ces codes pour les logiciels qui ne parlent pas OAuth2. L’adresse complète, domaine compris, sert de nom d’utilisateur sur ce serveur.

À l’écran, une seconde fenêtre de saisie s’ouvre pour le serveur sortant ; collez les 16 chiffres. Le gestionnaire de mots de passe affiche ensuite une entrée commençant par smtp://smtp.gmail.com.

4. Purger le jeton OAuth2 enregistré, puis envoyer un message de test

Le gestionnaire de mots de passe conserve l’ancien jeton sous une entrée oauth://accounts.google.com, liste que l’article de Mozilla sur la conversion OAuth2 montre noir sur blanc. Tant que cette entrée et celles nommées imap://imap.gmail.com et smtp://smtp.gmail.com subsistent, Thunderbird peut continuer à présenter un identifiant que Google n’accepte plus. Ouvrez le menu ≡, puis Paramètres, Vie privée et sécurité, section Mots de passe, bouton Mots de passe enregistrés. Supprimez les lignes qui portent l’adresse du compte et recommencez jusqu’à ce qu’il n’en reste aucune.

Le numéro de paquet se vérifie en une ligne, ce qui évite de douter de la version installée :

dpkg -s thunderbird | grep Version

Sur Debian 13, la réponse commence par Version: 1:140.12.0esr-1~deb13u1. Composez ensuite un message vers votre propre adresse et envoyez-le. À l’écran, l’envoi passe sans demande de mot de passe et le message réapparaît dans [Gmail]/Messages envoyés côté webmail, signe que l’authentification a été acceptée par les deux serveurs.

Une mise à jour de Thunderbird peut remettre le compte en OAuth2

Thunderbird ne laisse pas un profil ancien en mot de passe normal. L’article de Mozilla sur la conversion des comptes Google indique qu’à compter de la version 91.8.0, lors d’une mise à jour depuis une version antérieure à 91.8.0, Thunderbird convertit la méthode d’authentification des comptes Gmail vers OAuth 2.0, ces changements étant imposés par Google. Un profil qui a connu cette conversion peut donc revenir à OAuth2 après une mise à jour majeure, et le code de 16 chiffres cesse alors d’être utilisé sans message d’erreur explicite.

Le contrôle se fait sans risque : rouvrez les deux champs Méthode d’authentification après chaque passage à une nouvelle version majeure, côté entrant et côté sortant. Un compte resté sur OAuth2 à l’un des deux endroits n’enverra pas de courrier avec le code.

Deux autres cas coupent le code sans que Thunderbird y soit pour quelque chose. Google le révoque dès que le mot de passe du compte change, et l’option de création disparaît de la page des mots de passe d’application quand la validation en deux étapes repose uniquement sur une clé de sécurité, quand la Protection Avancée est activée ou quand le compte appartient à une organisation.

OAuth2 et mot de passe d’application ne se valent pas selon la machine

Google recommande OAuth2 partout, et sa page d’aide affirme que les mots de passe d’application ne sont pas recommandés. La même documentation les maintient pourtant, avec une condition stricte : la validation en deux étapes. Le partage se joue donc sur la machine, pas sur la préférence. Là où OAuth2 exige des cookies et du JavaScript actifs dans Thunderbird, un mot de passe d’application fonctionne avec ces réglages coupés, ce que Mozilla ne dit qu’en creux en documentant l’échec de la connexion OAuth dans ce cas.

Une idée répandue veut que les mots de passe d’application aient disparu au profit du seul OAuth2. La documentation Workspace de Google sur l’envoi depuis une imprimante, un scanner ou une application demande explicitement d’en créer un quand aucun OAuth n’est possible, et fixe au 1er mai 2025 la fin des applications moins sécurisées.

Critère OAuth 2.0 Mot de passe d’application Gmail
Validation en deux étapes exigée non oui, sans exception
Réglages nécessaires dans Thunderbird cookies et JavaScript actifs aucun
Entrée conservée par Thunderbird oauth://accounts.google.com imap://imap.gmail.com et smtp://smtp.gmail.com
Fin de validité à ressaisir si les cookies sont coupés au renouvellement révocation au changement du mot de passe Google
Comptes concernés tous comptes personnels, hors Protection Avancée et clé de sécurité seule

Sur un poste partagé ou une machine sans navigateur graphique, le code reste donc la seule voie praticable, à condition d’accepter la contrepartie : un secret de 16 chiffres stocké sur le disque, là où OAuth2 ne laisse qu’un jeton renouvelable. Le choix d’un client de messagerie se joue aussi sur ce point, chaque logiciel ne gérant pas ces deux méthodes de la même façon.

Un mot de passe d’application ne lève pas les plafonds de Gmail

Le code débloque la connexion, pas les quotas du compte. L’aide Gmail fixe à 15 le nombre de clients de messagerie simultanés par compte : au-delà, le message d’erreur « Trop de connexions simultanées » apparaît et il faut en fermer. Elle recommande aussi de ne pas laisser Thunderbird enregistrer les messages supprimés dans la corbeille, sous peine que ces messages soient définitivement effacés de Gmail au bout de 30 jours. Le nombre de messages synchronisés par dossier IMAP se plafonne depuis les paramètres Gmail, réglage conseillé au-delà de 10 000 messages.

Deux réglages recommandés par Google pour Thunderbird évitent les copies en double : décocher Placer une copie dans l’onglet Copies et dossiers, et choisir Autre dossier, [Gmail], Brouillons pour les brouillons. Google conseille également un relevé toutes les 10 minutes et l’option Le marquer comme supprimé, pour que la suppression côté client suive le même chemin que côté webmail.

Un mot de passe d’application tombe avec le mot de passe du compte

Combien de temps un mot de passe d’application reste-t-il valable ?

Il n’expire pas seul, mais Google le révoque automatiquement quand le mot de passe du compte Google change, précise l’aide Google. Il faut alors en générer un nouveau sur myaccount.google.com/apppasswords et le ressaisir aux deux endroits, entrant et sortant. Un code égaré se remplace de la même manière, sans toucher au reste de la configuration.

Peut-on garder les cookies désactivés dans Thunderbird ?

Avec un mot de passe d’application, oui ; avec OAuth2, non. L’article de Mozilla sur la conversion des comptes Google indique que le processus OAuth échoue si les cookies sont refusés dans Thunderbird, et que JavaScript doit aussi être actif. Une fois la connexion établie, Mozilla note que la réception et l’envoi retravaillent avec les cookies coupés, jusqu’à l’expiration du jeton qui obligera à les réactiver le temps de la reconnexion.

Le code est refusé alors qu’il vient d’être créé, que vérifier ?

Commencez par le champ du serveur sortant, qui se règle séparément de celui du serveur entrant et reste souvent sur OAuth2. Supprimez ensuite du gestionnaire de mots de passe les entrées imap://imap.gmail.com et smtp://smtp.gmail.com, que l’article de Mozilla sur OAuth2 liste explicitement, ainsi que l’entrée oauth://accounts.google.com. Relancez Thunderbird avant de ressaisir le code.

Un compte professionnel ou scolaire peut-il créer un mot de passe d’application ?

L’aide Google range les comptes d’organisation professionnelle ou scolaire parmi les cas où l’option est absente de la page des mots de passe d’application, au même titre que la Protection Avancée et la validation limitée à une clé de sécurité. Depuis le 1er mai 2025, les comptes Google Workspace ne prennent plus en charge les applications moins sécurisées et passent par OAuth, rappelle la documentation Workspace. Pour ces comptes, la solution documentée reste OAuth2.

Faut-il supprimer le mot de passe d’application une fois Thunderbird configuré ?

Non, il sert à chaque relève et à chaque envoi. Google conseille de le révoquer seulement si l’appareil est perdu ou si vous cessez d’utiliser l’application, et précise qu’un mot de passe d’application se saisit en général une fois par application ou par appareil. La liste des applications autorisées sur myaccount.google.com/apppasswords permet de retrouver l’entrée nommée Thunderbird et de la retirer plus tard.

Sources