Gmail app-wachtwoord aanmaken voor een IMAP-migratie

# Waarom werkt je Gmail-wachtwoord niet voor IMAP-migratie?

Google blokkeert standaard wachtwoorden voor IMAP-toegang door externe apps zodra tweestapsverificatie (2FA) actief is op je account. Dit is Google's antwoord op het risico van credential-diefstal: een gewoon wachtwoord dat je aan een externe tool doorgeeft, legt je volledige account bloot als die tool ooit wordt gecompromitteerd. Zie ook Google's officiële documentatie over app-wachtwoorden voor de achtergrond en technische details.

De oplossing is een app-wachtwoord: een tijdelijk, automatisch gegenereerd wachtwoord van 16 tekens dat je specifiek aanmaakt voor één applicatie, in dit geval je IMAP-migratietool. Je hoofdwachtwoord blijft onbekend voor de tool. Na de migratie trek je het app-wachtwoord in, waarna het permanent ongeldig is en er geen resterende toegang meer bestaat.

Het IMAP-protocol (RFC 3501) gebruikt basisauthenticatie: gebruikersnaam en wachtwoord over een beveiligde verbinding. OAuth, dat Gmail in browsers en mobiele apps gebruikt, wordt door de meeste migratietools nog niet ondersteund. App-wachtwoorden zijn de brug tussen het moderne OAuth-beveiligingsmodel van Google en het klassieke IMAP-protocol.

# Tweestapsverificatie inschakelen: de vereiste eerste stap

Een app-wachtwoord werkt alleen als tweestapsverificatie is ingeschakeld op je Google-account. Staat 2FA al aan, dan sla je deze sectie over en ga je direct naar het aanmaken van het app-wachtwoord. Staat het nog uit, dan duurt de instelling vijf minuten extra.

Ga naar myaccount.google.com, klik op 'Beveiliging' in het linkermenu en scrol naar de sectie 'Hoe je je aanmeldt bij Google'. Klik op 'Verificatie in twee stappen' en volg de wizard. Google vraagt je om een telefoonnummer of authenticator-app te koppelen. Een sms-code is de snelste optie voor eenmalige migratievoorbereiding, maar een authenticator-app zoals Google Authenticator of Authy is structureel veiliger voor dagelijks gebruik.

Na activering van 2FA laadt de beveiligingspagina opnieuw en verschijnt de optie 'App-wachtwoorden' onderaan de sectie 'Hoe je je aanmeldt bij Google'. Is die optie er niet, dan staat 2FA nog niet goed ingeschakeld, of je account valt onder een beheerde Google Workspace-omgeving met aanvullende beperkingen die de beheerder moet aanpassen.

# Gmail app-wachtwoord aanmaken: privé Gmail-account

Bij een privé Gmail-account maak je een app-wachtwoord aan via Mijn Google Account, sectie Beveiliging. De volledige procedure duurt minder dan twee minuten als 2FA al actief is.

Ga direct naar myaccount.google.com/apppasswords. Je ziet een invoerveld met de tekst 'Naam'. Vul een herkenbare omschrijving in, zoals 'Mailmigratie mei 2026'. Klik op 'Aanmaken'. Google toont eenmalig een 16-tekens wachtwoord in vier blokken van vier tekens, formaat: xxxx xxxx xxxx xxxx. Kopieer dit wachtwoord direct, want na het sluiten van het venster toont Google het nooit meer en moet je een nieuw app-wachtwoord aanmaken.

Gebruik dit app-wachtwoord als wachtwoord in je IMAP-migratietool. Je Gmail-adres blijft je gebruikersnaam. Bij mailmigreren.nl vul je het in het bronmailbox-veld in, naast je e-mailadres en het IMAP-serveradres imap.gmail.com op poort 993. Spaties in het gekopieerde wachtwoord laat je weg; die zijn alleen visuele hulp van Google.

# Google Workspace app-wachtwoord aanmaken: extra beheerdersstap

In Google Workspace (voorheen G Suite) werkt de app-wachtwoord-procedure vrijwel identiek aan privé Gmail, maar de beheerder moet eerst app-wachtwoorden hebben toegestaan voor de organisatie. Heeft jouw organisatie een IT-beheerder, neem dan contact op voordat je aan de slag gaat.

De beheerder regelt dit via de Google Admin Console (admin.google.com) onder Beveiliging. Afhankelijk van de versie van de Admin Console heet de instelling 'Basisverificatie toestaan' of staat ze onder het OAuth-beleid voor externe apps. Zie Google's documentatie over app-toegang voor Workspace-beheerders voor de actuele locatie van deze instelling, want Google verplaatst menu-opties regelmatig.

Als gebruiker volg je daarna exact dezelfde stappen als bij een privé Gmail-account: open myaccount.google.com/apppasswords, geef een naam op, genereer en kopieer het wachtwoord. Het IMAP-serveradres is identiek: imap.gmail.com poort 993. Het enige verschil is dat je bij Workspace als gebruikersnaam je werkadres invult (naam@bedrijf.com) in plaats van een @gmail.com-adres. Werkt de optie 'App-wachtwoorden' niet, dan heeft de beheerder de instelling nog niet aangepast.

# IMAP-serverinstellingen voor Gmail: wat je exact invult

De IMAP-serverinstellingen voor Gmail zijn vast en gelden voor zowel privé-accounts als Google Workspace. Vul deze exact in bij je migratietool, anders mislukt de verbinding met een authenticatie- of verbindingsfout.

Gmail staat IMAP standaard aan voor privé-accounts, maar controleer dit via Gmail-instellingen (tandwiel rechts bovenin) > 'Alle instellingen bekijken' > tabblad 'Doorsturen en POP/IMAP'. Staat IMAP uit, schakel het in en sla op. Zie ook Gmail's eigen IMAP-handleiding voor de actuele servergegevens en eventuele updates.

# Gmail vs andere IMAP-providers: wat is anders bij migratie?

Gmail vereist een extra stap vergeleken met standaard IMAP-providers, maar de migratie verloopt daarna identiek aan elke andere IMAP-mailbox. Bij providers zoals Strato, TransIP of Hostnet gebruik je gewoon je normale wachtwoord; bij Gmail is het aanmaken van een app-wachtwoord de enige afwijking.

Een bijkomend aandachtspunt bij Gmail is de label-structuur. Gmail gebruikt labels in plaats van traditionele mappen, maar via IMAP worden labels zichtbaar als submappen onder een [Gmail]-map. Submappen zoals [Gmail]/Sent Mail, [Gmail]/Trash en [Gmail]/All Mail bevatten soms dubbele e-mails. Veel migratietools slaan [Gmail]/All Mail standaard over om duplicaten te voorkomen. Bij mailmigreren.nl selecteer je zelf welke mappen je meeneemt in de migratie.

# App-wachtwoord intrekken na de migratie: verplichte afsluiting

Trek het app-wachtwoord in zodra de migratie is afgerond, want een actief app-wachtwoord is een onnodige toegangssleutel tot je mailbox. Intrekken duurt tien seconden en is onomkeerbaar: de migratietool kan daarna geen verbinding meer maken met dit wachtwoord.

Ga naar myaccount.google.com/apppasswords, zoek het wachtwoord dat je voor de migratie hebt aangemaakt en klik op het prullenbakpictogram of de knop 'Verwijderen'. Het wachtwoord is per direct ongeldig. Je kunt ook alle app-wachtwoorden tegelijk intrekken via 'Verificatie in twee stappen' uitschakelen en daarna opnieuw inschakelen, maar dat is een drastischere stap die ook andere gekoppelde apps raakt.

Mailmigreren.nl slaat je wachtwoorden nooit op schijf op: ze worden uitsluitend in het werkgeheugen gehouden voor de duur van de migratieverververbinding en daarna gewist. Toch is intrekken na afloop een goede gewoonte als extra zekerheidslaag bovenop de bescherming die de tool al biedt.