Outlook app-wachtwoord aanmaken: complete gids voor migratie
Een Outlook- of Microsoft 365-app-wachtwoord maak je aan via Beveiligingsinformatie in je Microsoft-account, maar alleen als per-user multi-factor authenticatie is ingeschakeld en Security Defaults dat niet overschrijft. Voor het migreren van je mailbox via IMAP heb je dit wachtwoord nodig omdat Microsoft basisauthenticatie voor IMAP standaard heeft uitgeschakeld. Dit artikel doorloopt de volledige flow: van modern-auth tijdelijk aanpassen tot het app-wachtwoord invoeren in mailmigreren.nl.
# Wat is een Outlook app-wachtwoord en waarom heb je het nodig voor migratie?
Een app-wachtwoord is een automatisch gegenereerde code van 16 tekens die Microsoft 365 aanmaakt als vervanging voor je normale wachtwoord, specifiek voor toepassingen die geen moderne authenticatie ondersteunen, zoals IMAP-migratietools. Je vindt de optie onder Beveiligingsinformatie in je Microsoft-account, maar alleen als per-user multi-factor authenticatie actief staat. Zonder MFA blijft de knop App-wachtwoord toevoegen onzichtbaar, wat de meeste mkb-gebruikers de eerste keer verrast.
Voor een mailmigratie is dit wachtwoord onmisbaar omdat het IMAP-protocol zelf geen OAuth-tokens kent; het protocol verwacht een gebruikersnaam en wachtwoord binnen een versleutelde verbinding, zoals beschreven in de RFC 3501-specificatie. Microsoft heeft die klassieke inlogmethode, Basic Authentication, standaard uitgeschakeld voor Exchange Online. Een app-wachtwoord overbrugt dat gat: het werkt als volwaardig IMAP-wachtwoord zonder dat je moderne authenticatie voor het hele account hoeft uit te schakelen.
# Waarom accepteert Microsoft 365 je gewone wachtwoord niet voor IMAP?
Microsoft 365 weigert je normale wachtwoord voor IMAP omdat Basic Authentication voor Exchange Online sinds oktober 2022 standaard is uitgeschakeld, voor IMAP, POP en Authenticated SMTP tegelijk. Microsoft voerde deze wijziging door na jarenlange credential-stuffing aanvallen op klassieke inlogmethodes; de achtergrond staat uitgebreid beschreven op de officiële deprecation-pagina van Microsoft.
Moderne authenticatie met OAuth-tokens verving Basic Auth als standaard, maar migratiesoftware werkt doorgaans nog met directe IMAP-inloggegevens, niet met OAuth. Daarom maak je voor de duur van de migratie een gerichte uitzondering: basisauthenticatie specifiek voor IMAP terugzetten via een authenticatiebeleid, gecombineerd met een app-wachtwoord in plaats van je hoofdwachtwoord. Dat is veiliger dan je gewone inloggegevens vrijgeven, omdat een app-wachtwoord apart is in te trekken zonder je normale wachtwoord te wijzigen.
# Voorwaarde: zet per-user MFA aan en controleer Security Defaults
App-wachtwoorden zijn alleen zichtbaar wanneer per-user MFA, de klassieke Multi-Factor Authentication-service, actief staat voor het account, niet wanneer je uitsluitend Security Defaults of Conditional Access-MFA gebruikt. Dit is de meest gemiste stap: veel Microsoft 365-tenants draaien tegenwoordig op Security Defaults, en dan blijft de app-wachtwoordoptie volledig verborgen, ook al is een tweede factor al verplicht bij inloggen.
Controleer daarom eerst de instellingen bij de gebruiker voordat je een app-wachtwoord probeert aan te maken, anders zoek je onnodig lang naar een knop die niet verschijnt.
- Ga naar Microsoft 365 beheercentrum, open Actieve gebruikers en selecteer het account
- Klik op Multi-factor authenticatie beheren en zet de status op Ingeschakeld (per-user MFA, niet Conditional Access)
- Controleer bij Azure AD Eigenschappen dat Security Defaults uit staat, anders overschrijft dit de per-user instelling
- Laat de gebruiker inloggen op mysignins.microsoft.com en de MFA-registratie afronden voordat je verdergaat
# Stap voor stap: een app-wachtwoord aanmaken in Microsoft 365
Zodra per-user MFA actief is, maak je het app-wachtwoord zelf in een paar minuten aan, zonder verdere tussenkomst van een beheerder. Het stappenplan hieronder werkt voor zowel een zakelijk Microsoft 365-account als een persoonlijk Outlook.com-account met tweestapsverificatie.# IMAP basisauthenticatie activeren via een authenticatiebeleid
IMAP-toegang activeer je via een authenticatiebeleid in het Exchange-beheercentrum, ook als het app-wachtwoord al klaarstaat: zonder deze stap weigert de server elke IMAP-verbinding. Een beheerder regelt dit via Exchange-beheercentrum, of via PowerShell met Set-CASMailbox -ImapEnabled $true gecombineerd met een authenticatiebeleid dat Basic Auth voor IMAP toestaat voor dat ene account.
Wijzigingen in een authenticatiebeleid hebben tot 60 minuten nodig om overal in de infrastructuur actief te worden, dus test de IMAP-verbinding niet meteen na het opslaan. Onderstaande tabel laat zien hoe de vereisten verschillen tussen de mailomgevingen die mailmigreren.nl ondersteunt.
| Omgeving | Authenticatiemethode voor IMAP | App-wachtwoord nodig | Extra stap vooraf |
|---|---|---|---|
| Microsoft 365 / Outlook | Basic auth (na activatie) | Authenticatiebeleid aanpassen + per-user MFA | |
| Gmail / Google Workspace | App-wachtwoord | Tweestapsverificatie inschakelen | |
| Strato, Hostnet, Mijndomein, TransIP, YourHosting, Vimexx e.a. | Normaal mailwachtwoord | Geen | |
| BitTitan MigrationWiz / SkyKick (enterprise) | OAuth of basic auth, afhankelijk van licentie | Soms | Enterprise-licentie en tenant-instellingen |
# Het app-wachtwoord invoeren in mailmigreren.nl
In mailmigreren.nl vul je bij de bronmailbox je volledige e-mailadres in als gebruikersnaam en het app-wachtwoord van 16 tekens als wachtwoord, met imap-server outlook.office365.com op poort 993 met SSL/TLS. De wizard test de verbinding automatisch voordat de migratie start, dus een verkeerd gekopieerd app-wachtwoord zie je meteen terug als foutmelding in plaats van pas na een mislukte migratie.
Omdat mailmigreren.nl in 100% kopieer-modus werkt, blijft je Microsoft 365-mailbox gewoon intact en bereikbaar tijdens het hele proces; er wordt niets verwijderd bij de bron. Het wachtwoord zelf staat alleen in het werkgeheugen van de migratieserver tijdens de sessie en wordt nooit op disk weggeschreven, dus na afloop hoef je daar niets voor op te ruimen.
# Na de migratie: app-wachtwoord intrekken en modern auth herstellen
Trek het app-wachtwoord direct na een geslaagde migratie in, want een vergeten app-wachtwoord blijft voor onbepaalde tijd geldig totdat je het handmatig verwijdert. Ga naar Beveiligingsinformatie, klik naast de naam die je gaf bij het aanmaken op Verwijderen, en het wachtwoord werkt vanaf dat moment nergens meer.
Overweeg ook of Basic Auth voor IMAP weer uitgeschakeld moet worden in het authenticatiebeleid als je die tijdelijk had opengezet; alleen accounts die een migratietool of oudere mailclient blijvend nodig hebben, horen deze uitzondering te behouden. Zet per-user MFA zelf niet uit, want dat raakt ook andere aanmeldingsmethodes van het account.
# Veelgemaakte fouten bij een Outlook-migratie oplossen
De meest voorkomende foutmeldingen bij een Outlook-migratie hebben elk een andere oorzaak, en het onderscheid bepaalt of je bij Microsoft of bij je migratietool moet zijn.- Authentication failed direct bij verbinden: IMAP staat nog niet aan in het authenticatiebeleid, of de wijziging is nog niet gepropageerd (wacht tot 60 minuten)
- App-wachtwoord niet beschikbaar in Beveiligingsinformatie: per-user MFA staat uit, of Security Defaults overschrijft de instelling
- Verbinding lukt, maar migratie stopt halverwege: controleer of er een verzendlimiet of throttling-beleid actief is op het Microsoft 365-account
- Wachtwoord lijkt verlopen na een paar dagen: een beheerder heeft het wachtwoordbeleid gewijzigd, waardoor gekoppelde app-wachtwoorden automatisch verlopen; maak in dat geval een nieuw app-wachtwoord aan
Stappenplan
- Log in op je beveiligingsinformatie: Ga naar mysignins.microsoft.com/security-info en log in met je Microsoft 365- of Outlook.com-account.
- Open app-wachtwoorden: Klik op Aanmeldingsmethode toevoegen en kies App-wachtwoord in de lijst. Zie je deze optie niet, dan staat per-user MFA nog niet aan of overschrijft Security Defaults de instelling.
- Geef het wachtwoord een naam: Vul een herkenbare naam in zoals mailmigratie, zodat je het later makkelijk terugvindt en apart kunt intrekken.
- Kopieer de 16 tekens direct: Microsoft toont de code precies één keer. Kopieer de 16 tekens zonder spaties; sluit je het scherm zonder te kopiëren, dan moet je een nieuw app-wachtwoord aanmaken.
- Bewaar de code tijdelijk veilig: Plak de code direct in het wachtwoordveld van je migratietool of tijdelijk in een kladblok; bewaar het nooit in een los tekstbestand op je bureaublad.
- Activeer IMAP basisauthenticatie: Vraag je beheerder om Basic Auth voor IMAP toe te staan via een authenticatiebeleid voor dit account, en wacht tot 60 minuten voordat je de verbinding test.
- Test en start de migratie: Voer het e-mailadres en app-wachtwoord in bij de bronmailbox in mailmigreren.nl; na een geslaagde verbindingstest start de daadwerkelijke migratie.
Veelgestelde vragen
Kan ik een app-wachtwoord aanmaken zonder MFA in te schakelen bij Microsoft 365?
Nee, Microsoft toont de optie App-wachtwoord alleen in Beveiligingsinformatie als per-user multi-factor authenticatie actief is voor het account. Sta je op Security Defaults of Conditional Access-MFA zonder de klassieke per-user MFA-service, dan blijft de knop verborgen, ook al is inloggen met een tweede factor al verplicht.
Werkt dit ook als mijn organisatie Conditional Access gebruikt in plaats van Security Defaults?
Dat hangt af van de configuratie: Conditional Access-beleid kan legacy-authenticatieprotocollen zoals IMAP blokkeren, ongeacht het app-wachtwoord. Vraag je beheerder om voor het migratie-account tijdelijk een uitzondering op te nemen in het Conditional Access-beleid, of gebruik per-user MFA specifiek voor dat ene account.
Is het veilig om een Outlook app-wachtwoord te delen met een migratietool?
Ja, mits de tool het wachtwoord alleen in werkgeheugen verwerkt en nooit op disk opslaat, zoals bij mailmigreren.nl. Een app-wachtwoord is bovendien los in te trekken zonder je hoofdwachtwoord te wijzigen, waardoor het risico losstaat van je overige Microsoft 365-toegang.
Hoelang blijft een Outlook app-wachtwoord geldig?
Een app-wachtwoord blijft voor onbepaalde tijd actief totdat je het zelf verwijdert via Beveiligingsinformatie, of totdat een wachtwoordbeleid van je organisatie het automatisch intrekt. Trek het daarom altijd handmatig in zodra de migratie is afgerond.
Waarom lukt de IMAP-verbinding niet meteen nadat basisauthenticatie is ingeschakeld?
Wijzigingen aan een authenticatiebeleid in Microsoft 365 hebben tot 60 minuten nodig voordat ze overal in de infrastructuur actief zijn. Test de verbinding daarom pas een uur na het opslaan van de wijziging, in plaats van meteen te concluderen dat de instelling niet werkt.
Kan ik in plaats van een app-wachtwoord OAuth gebruiken voor de migratie?
Nog niet: mailmigreren.nl ondersteunt in de huidige versie alleen directe IMAP-inloggegevens via app-wachtwoord of basic-auth, OAuth-ondersteuning staat gepland voor versie 2. Tot die tijd is het app-wachtwoord de enige weg voor Microsoft 365- en Gmail-mailboxen.
Klaar om je mailbox te verhuizen?
Begin met een gratis preview. Je betaalt pas als je zeker bent.
Start migratie