Gmail app-wachtwoord aanmaken voor IMAP-migratie: stappenplan

# Wat is een Gmail app-wachtwoord en waarom heb je het nodig voor IMAP-migratie?

Een Gmail app-wachtwoord is een unieke code van 16 tekens die Google genereert zodat een externe applicatie, zoals een migratietool, kan inloggen op je mailbox zonder je hoofdwachtwoord te gebruiken. Voor een IMAP-migratie heb je dit wachtwoord nodig omdat Google sinds 2022 het inloggen met alleen een gewoon wachtwoord voor IMAP- en SMTP-verbindingen van externe programma's blokkeert.

Zodra tweestapsverificatie (2FA) aanstaat op je Google-account, accepteert Gmail geen normale wachtwoorden meer voor IMAP-toegang. Het protocol zelf, vastgelegd in RFC 3501, vereist alleen geldige inloggegevens; het is Google's eigen beveiligingsbeleid dat bepaalt welk type wachtwoord daarvoor geldig is.

Niet elke provider werkt hetzelfde. De tabel hieronder laat zien welke accounts een app-wachtwoord vereisen en waar je dit instelt.

Mailmigreren.nl gebruikt dit app-wachtwoord alleen tijdens de migratie zelf, via IMAP-APPEND streaming waarbij je bronmailbox intact blijft staan. Het wachtwoord staat nooit op disk en verdwijnt uit het werkgeheugen zodra de overzet klaar is.

# Waarom moet tweestapsverificatie aanstaan voordat je een app-wachtwoord kunt maken?

Tweestapsverificatie moet aanstaan omdat Google de optie voor app-wachtwoorden pas vrijgeeft zodra 2FA actief is; zonder 2FA blijft het menu 'App-wachtwoorden' in je accountinstellingen onzichtbaar. Dit is een bewuste beveiligingskeuze: een app-wachtwoord omzeilt namelijk de tweede verificatiestap, dus Google wil eerst zeker weten dat je account met 2FA beschermd is voordat het die uitzondering toestaat.

Je zet 2FA aan via de beveiligingspagina van je Google-account, onder Beveiliging > Tweestapsverificatie. Je kunt kiezen voor een sms-code, de Google Authenticator-app of een fysieke beveiligingssleutel; voor het aanmaken van een app-wachtwoord maakt de gekozen methode niet uit, zolang 2FA maar actief staat.

Heb je nog geen 2FA ingesteld, reken dan op 3 tot 5 minuten extra voordat je bij de app-wachtwoorden pagina komt, omdat Google na activatie soms om een bevestiging via een tweede toestel vraagt.

# Hoe maak je in de praktijk een Gmail app-wachtwoord aan?

Je maakt een Gmail app-wachtwoord aan via myaccount.google.com/apppasswords, waar je in drie klikken een unieke 16-tekens code genereert die je invult bij de migratietool in plaats van je gewone wachtwoord.

De volledige stappen staan hieronder in het stappenplan. Let op: Google toont de gegenereerde code maar één keer op het scherm, dus kopieer hem direct of vul hem meteen in bij Mailmigreren.nl voordat je het venster sluit. Ga je de code kwijt, dan moet je een nieuwe genereren; het oorspronkelijke wachtwoord is niet opnieuw op te vragen.

Gebruik een herkenbare naam voor het app-wachtwoord, zoals 'IMAP migratie', zodat je na afloop precies weet welk wachtwoord je weer kunt intrekken zonder andere gekoppelde apps te raken.

# Wat is er anders bij een Google Workspace (zakelijk) account?

Bij een zakelijk Google Workspace account werkt het aanmaken van een app-wachtwoord grotendeels hetzelfde als bij een privé Gmail-account, met één belangrijk verschil: de beheerder van het domein kan de optie voor app-wachtwoorden centraal uitschakelen voor alle gebruikers.

Zie je de app-wachtwoorden pagina niet, of krijg je een foutmelding, vraag dan je IT-beheerder om app-wachtwoorden toe te staan in de Google Admin console onder Beveiliging > Verificatie in twee stappen. Zonder deze toestemming kun je als gebruiker geen app-wachtwoord genereren, ongeacht of je eigen 2FA correct is ingesteld.

Grotere organisaties kiezen soms bewust voor uitgeschakelde app-wachtwoorden vanuit beveiligingsbeleid. In dat geval is een tijdelijke uitzondering voor de duur van de migratie meestal voldoende; na afloop zet de beheerder de instelling weer terug naar de oorspronkelijke stand.

# Gmail app-wachtwoord of OAuth: welke moet je gebruiken voor IMAP-migratie?

Voor IMAP-migratie gebruik je nu een app-wachtwoord, niet OAuth, omdat Mailmigreren.nl OAuth-koppelingen voor Gmail en Microsoft 365 nog niet ondersteunt; dat staat gepland voor versie 2 van het platform.

OAuth is technisch veiliger omdat je nooit een wachtwoord deelt en de toegang per app kunt intrekken zonder je hoofdaccount te wijzigen. Tot die functionaliteit beschikbaar is, blijft het app-wachtwoord de enige praktische route voor een geautomatiseerde IMAP-migratie bij Gmail, Google Workspace en Microsoft 365.

Voor het resultaat van de migratie zelf maakt het verschil niet uit: beide methodes geven de migratietool tijdelijke, beperkte toegang tot je mailbox via IMAP, zonder dat je hoofdwachtwoord ooit wordt gedeeld of opgeslagen.

# App-wachtwoord werkt niet: wat zijn de meest voorkomende oorzaken?

Een Gmail app-wachtwoord werkt meestal niet doordat tweestapsverificatie nog niet volledig actief is, doordat de code met spaties is gekopieerd, of doordat Geavanceerde bescherming (Advanced Protection) aanstaat op het account.

Controleer eerst of 2FA daadwerkelijk actief staat: ga naar je Google-accountinstellingen en kijk of 'Tweestapsverificatie' op 'Aan' staat. Kopieer de 16-tekens code vervolgens zonder spaties; Google toont hem met spaties voor de leesbaarheid, maar sommige inlogvelden verwerken dit niet correct.

Heb je Geavanceerde bescherming ingeschakeld voor extra beveiliging, dan blokkeert Google app-wachtwoorden standaard volledig. Schakel deze bescherming tijdelijk uit voor de duur van de migratie, of gebruik in dat geval een ander account zonder deze instelling.

• 2FA staat nog niet (volledig) actief
• Spaties meegekopieerd in de 16-tekens code
• Geavanceerde bescherming (Advanced Protection) staat aan
• Workspace-beheerder blokkeert app-wachtwoorden centraal
• Verkeerd Google-account gekozen bij het genereren van de code

# Hoe gebruik je het app-wachtwoord veilig tijdens je mailbox migratie?

Je gebruikt het app-wachtwoord veilig door het alleen in te vullen bij een migratietool die het wachtwoord uitsluitend in werkgeheugen verwerkt en na afloop nooit op disk bewaart.

Bij Mailmigreren.nl blijft je bronmailbox altijd intact: de migratie werkt in 100% kopieer-modus, dus je oude mailbox blijft gewoon bereikbaar terwijl de kopie naar de nieuwe provider wordt gestreamd. Mislukt de migratie, dan volgt automatisch een terugbetaling via iDEAL, zonder dat je daarvoor zelf contact hoeft op te nemen.

Verwijder het app-wachtwoord altijd na afloop via myaccount.google.com/apppasswords. Dat kost een halve minuut en sluit de toegang die je specifiek voor de migratie had geopend weer volledig af, ook als je van plan bent later nog een keer te migreren.