アプリ パスワードとは？メールサービス別の作成場所と削除方法
アプリ パスワードとは何か、メールアプリやAIコネクタでなぜ必要なのか、Gmail、iCloud、Yahoo、AOL、Fastmail、Zohoでの作成場所、取り消し方法を解説します。
アプリ パスワードとは、メールサービスが特定のアプリのために発行する別のパスワードです。これを使うと、そのアプリは本来のアカウントのパスワードを使わずにメールボックスにログインできます。アカウントのセキュリティ設定で作成し、メールクライアントやコネクタに一度貼り付けるだけで使え、そのアプリだけを切り離したいときはいつでも削除できます。普段のパスワードやほかのアプリはそのまま使えます。
Thunderbird、Apple Mail、あるいはMCPEmailsのようなMCPサーバー経由でAIエージェントにメールボックスを接続する場合、ログインに失敗する原因として最も多いのは、アプリ パスワードがない、または間違っていることです。このガイドでは、アプリ パスワードとは何か、IMAPクライアントにはなぜ必要なのか、主なメールサービスではどこで作成するのか、そして取り消す方法を説明します。
目次： 作成する場所 · 取り消す方法 · セキュリティの注意点 · よくある質問
アプリ パスワードとは
アプリ パスワードとは、メールアカウントに紐づきながら、1つのアプリケーション専用に発行される、ランダムに生成された長い認証情報です。Webメールで入力するパスワードとは、次の3点が異なります。
- メールサービスが生成します。 自分で決めることはできません。Googleは16文字のコードを、Appleは
abcd-efgh-ijkl-mnopの形式のコードを表示し、ほとんどのサービスでは表示は1回きりです。 - 2段階認証を求められない場面で、パスワードの代わりになります。 メールクライアントはIMAP（受信）とSMTP（送信）で接続しますが、これらのプロトコルでは2段階認証の確認画面を表示できません。アプリ パスワードは、Webでのログインの安全性を下げずに、そうしたクライアントを通すためのメールサービス側の仕組みです。
- 単独で取り消せます。 削除すると、それを使っていたアプリだけがアクセスを失います。アカウントのほかの部分は何も変わりません。
Googleはこれを、アプリやデバイスにGoogleアカウントへのアクセスを許可する16桁のパスコードと説明しています（実際のコードは16文字の英字です）。同じ仕組みを、Appleはアプリ用パスワード、Zohoはアプリケーション固有のパスワード、GMXとWEB.DEはApp-Passwortと呼んでいます。いずれも意味は同じです。
IMAPクライアントやAIコネクタにアプリ パスワードが必要な理由
多くのメールサービスは、特に2段階認証を有効にしていると、他社製のメールアプリから普段のパスワードでログインすることを受け付けなくなっています。デスクトップのメールクライアントも、スマートフォンの標準メールアプリも、あなたの代わりにメールを読むサーバーも、使うのはIMAPとSMTPです。Google、Apple、Yahoo、AOL、Fastmail、Yandexでは、これらのプロトコルで受け付けられる認証情報はアプリ パスワードです。
AIコネクタもまったく同じ立場です。ClaudeやChatGPTがMCPメールサーバーを通じて受信トレイを扱うとき、AI自身がメールボックスにログインするわけではありません。ログインするのはMCPサーバーで、Thunderbirdと同じようにIMAPとSMTPを使います。そのため、iCloud、Yahoo、AOL、Fastmail、Gmailなどでは、サーバーにアプリ パスワードが必要になり、AIクライアントが受け取るのはサーバー用の権限を絞ったトークンだけです。この2層目についてはメールアクセスにおけるOAuthとAPIキーのガイドで説明しています。
よくある間違いは、メールサービスのWebサイトで使っているパスワードを貼り付けてしまうことです。メールアプリやAIコネクタがログインできない原因として、これが最も多くなっています。生成されたアプリ パスワードには見分けのつく形式があるため、MCPEmailsの接続フォームはGmail、iCloud、Yahoo、Yandex、Fastmailで貼り付けられた値を確認し、メールサービスに送る前に警告を出します。送ってしまうと、メールサービス側ではログイン失敗として数えられるためです。値が正しいと確信している場合は、もう一度接続ボタンを押せばそのまま送信されます。
メールサービス別、アプリ パスワードの作成場所
以下の各項目では、作成画面がどこにあるか、事前に何を有効にする必要があるかを示します。各サービスのリンク先のセットアップページに、IMAPとSMTPの設定と詳しい手順があります。
- GmailとGoogle Workspace： 2 段階認証プロセスを有効にしてから、
myaccount.google.com/apppasswordsで作成します。コードは4つのグループに分けて表示される16文字の英字で、スペースは入れても入れなくても構いません。Googleは、この項目が表示されないケースとして3つを挙げています。一部の職場、学校、その他の組織のアカウント（Workspaceでは管理者の設定によります）、高度な保護機能プログラム、セキュリティキーのみで設定した2 段階認証プロセスです。セットアップ：Gmail、Google Workspace。 - iCloudメール： 2ファクタ認証が必要です。
account.apple.comでサインインとセキュリティを開き、アプリ用パスワードで生成します。同時に有効にできるのは最大25個です。セットアップ：iCloudメール。 - Yahoo Mail： YahooのAccount Security（アカウントセキュリティ）ページのExternal connections（外部との接続）でCreate app password（アプリ パスワードを作成）を選び、名前を付けて生成します。セットアップ：Yahoo Mail、ChatGPTとClaudeでYahoo Mailを使う。
- AOLメール： AOLのAccount SecurityページでGenerate app password（アプリ パスワードを生成）を選び（アカウントによってはGenerate and manage app passwordsと表示されます）、Get Started（開始）を押して名前を付け、生成します。AOLは、プライベートウィンドウではなく、数日間AOLメールにログインしているブラウザーでこの操作をするよう求めています。YahooとAOLは同じ基盤で動いていますが、Yahooのアプリ パスワードではAOLのメールボックスは開けません。セットアップ：AOLメール。
- verizon.net： Verizonはメールサービスを終了し、残っているverizon.netのメールボックスは現在AOLアカウントになっています。そのためAOLのアプリ パスワードを作成し、verizon.netのメールアドレス全体でログインします。セットアップ：verizon.net。
- Fastmail： Settings（設定）、Privacy & Security（プライバシーとセキュリティ）、Connected apps & API tokens（接続済みアプリとAPIトークン）、Manage app passwords and access（アプリ パスワードとアクセスの管理）、New app password（新しいアプリ パスワード）の順に進みます。アクセスレベルは既定のMail, Contacts & Calendars（メール、連絡先、カレンダー）のままにしてください。Filesのみのパスワードではメールにログインできません。Fastmailの接続はアプリ パスワードのみで、FastmailのBasicプランではアプリ パスワードを作成できません。セットアップ：Fastmail。
- Zoho Mail： まずZoho MailのSettings（設定）、Mail Accounts（メールアカウント）でIMAP Access（IMAPアクセス）を有効にします。2段階認証を使っていない場合はZohoのパスワードで接続できます。2段階認証、フェデレーションログイン（たとえばGoogleでログイン）、SAMLを使っている場合は、Zohoアカウントでアプリケーション固有のパスワードを作成して使います。セットアップ：Zoho Mail。
- Yandex Mail： Yandex Mailの設定のMail clients（メールクライアント）でIMAPを有効にし、
id.yandex.comのセキュリティページでApp passwords（アプリ パスワード）を開いて、メールクライアント用のパスワードを作成します。表示は1回きりです。セットアップ：Yandex Mail。 - GMX： まずメール設定でPOP3/IMAPアクセスをオンにします。2段階認証を使っていない場合は普段のGMXのパスワードで接続できます。使っている場合は、Account verwalten、Login & Sicherheit、App-Passwörter (für externe Apps)、Neues App-Passwort erstellenの順に進んでApp-Passwortを作成します。表示は1回きりです。セットアップ：GMX。
- WEB.DE： GMXと同じです。POP3/IMAPアクセスを有効にし、2段階認証を使っている場合は同じ場所でApp-Passwortを作成します。セットアップ：WEB.DE。
- Outlook.com、Hotmail、Live： アプリ パスワードは使いません。Microsoftによると、アプリ パスワードが前提とするパスワードによるログイン（基本認証）は、2024年9月16日以降すべてのOutlookアカウントで使えなくなったため、アプリ パスワードではメールボックスを開けません。MCPEmailsでは代わりに、Microsoft Graphを通じてMicrosoftでログインでこれらのアカウントを接続します。セットアップ：Outlook.com。職場のアカウントについてはMicrosoft 365のガイドをご覧ください。
それ以外、たとえばレンタルサーバーや独自ドメインのメールボックスも、同じ考え方です。メールサービスがアプリ パスワードを提供していれば生成し、なければメールボックスのパスワードを使って、ホストの設定を手入力します。これらは汎用IMAPのページと対応サービスの一覧で説明しています。
アプリ パスワードを作成して受信トレイを接続する手順
手順はどこでも同じで、メニューの名前が違うだけです。
- メールサービスが求める場合は、メールアカウントで2段階認証を有効にします。
- 上に挙げたアプリ パスワードのページを開き、アプリの名前（たとえば
MCPEmails）を付けて生成します。 - すぐにコピーします。ほとんどのサービスでは二度と表示されません。
- MCPEmailsで受信トレイを開き、受信トレイを接続を選んでメールサービスを選択し、メールアドレス全体とアプリ パスワードを貼り付けます。
- AIクライアントに
https://mcpemails.com/api/mcpを追加します。この部分はClaudeのガイドとChatGPTのガイドで順に説明しています。
それでもログインが拒否される場合は、IMAPコネクタのガイドにほかのよくある原因をまとめています。IMAPがオフになっている、地域別のホストが違う、ユーザー名がメールアドレス全体になっていない、といったものです。
アプリ パスワードを取り消す方法
取り消しは、ほかに影響を与えずに1つのアプリのアクセスだけを止める方法です。作成したのと同じ場所でパスワードを削除します。
- Google：
myaccount.google.com/apppasswordsで、該当する項目の横のRemove（削除）を押します。Googleアカウントのパスワードを変更した場合も、すべてのアプリ パスワードが取り消されます。 - Apple： サインインとセキュリティ、アプリ用パスワードで個別に削除するか、Revoke All（すべてを取り消す）を使います。Appleアカウントのパスワードを変更またはリセットすると、すべて自動的に取り消されます。
- YahooとAOL： Account Securityページ（YahooではExternal connections、AOLではGenerate and manage app passwords）で、該当するアプリ パスワードの横のDelete（削除）を押します。ここではメインのパスワードを変更してもアプリ パスワードは取り消されないため、クライアントを切り離すには項目を削除するしかありません。
- Fastmail、Zoho、Yandex、GMX、WEB.DE： 作成したのと同じアプリ パスワードの一覧から削除します。Yandexでは、すべてのデバイスからログアウトしてもすべてのアプリ パスワードがリセットされます。
MCPEmails側では、ダッシュボードの受信トレイの接続を解除で、接続と一緒に保存されたアプリ パスワードも消去されます。連携をきれいに終わらせるには両方を行います。メールサービスはそのパスワードを受け付けなくなり、MCPEmailsもそれを保持しなくなります。
セキュリティの注意点
- アプリごとに1つ作成します。 クライアントごとに名前を付けた別々のアプリ パスワードにしておけば、ほかを壊さずに1つだけ取り消せますし、アカウントの一覧で誰がまだアクセスできるかも分かります。
- パスワードと同じように扱います。 アプリ パスワードは2段階認証を求めずにログインできます。それがこの仕組みの目的です。AIとのチャット、共有ドキュメント、サポートへの問い合わせには貼り付けないでください。MCPEmailsで入力するのは接続フォームだけです。
- 通常はメール全体へのアクセス権があります。 ほとんどのサービスで、アプリ パスワードは一部ではなく、メールの閲覧、送信、削除のすべてができます。AIにできることは、コネクタの側で絞ってください。MCPEmailsでは
send:emailなしでread:emailだけを承認できます。送信内容の確認についてはメールアクセスの安全性ガイドで説明しています。 - どこに保存されるかを把握しておきます。 MCPEmailsはアプリ パスワードをAES-256-GCMで暗号化して保管し、メールサービスにアクセスするときにサーバー上でのみ復号し、AIクライアントには一切渡しません。メッセージはリアルタイムで取得され、保存されません。それが重要な理由。
- Googleは、アプリが対応していれば「Googleでログイン」を推奨しています。 Googleは、アプリ パスワードは推奨されず、ほとんどの場合は不要だとしています。アプリ パスワードは、そのログイン方法を使えないアプリのためにあり、パスワードしか受け付けないIMAPクライアントもそれに当たります。
よくある質問
アプリ パスワードとは何ですか。 メールサービスが、メールクライアントやAIのメールコネクタなど、1つのアプリやデバイスのために発行する、ランダムに生成されたパスワードです。メインのパスワードを使わずに、そのアプリがIMAPとSMTPでログインできるようになり、いつでも削除してそのアプリのアクセスだけを取り消せます。
アプリ パスワードはメールのパスワードと同じですか。 いいえ。メールのパスワードは自分で決めて、Webメールで入力するものです。アプリ パスワードはメールサービスが生成し、1つのアプリだけが使います。ほとんどのサービスでは、普段のパスワードを代わりに使うことはできません。
AIエージェントにメールを接続するのに、なぜアプリ パスワードが必要なのですか。 AIにアクセスを提供するMCPサーバーが、ほかのメールクライアントと同じようにIMAPとSMTPでメールボックスにログインし、ほとんどのメールサービスはそこでアプリ パスワードしか受け付けないためです。主な例外はOutlook.comで、こちらはMicrosoftでログインして接続します。
アプリ パスワードに有効期限はありますか。 削除すると使えなくなります。GoogleとAppleでは、アカウントのメインのパスワードを変更したときにもすべてのアプリ パスワードが取り消されます。一方、YahooとAOLでは、パスワードを変更しても削除するまで有効なままです。
アプリ パスワードを忘れました。もう一度表示できますか。 いいえ。ほとんどのサービスでは表示は1回きりです。古いものを削除して新しいものを生成し、アプリに貼り付けてください。MCPEmailsでは受信トレイを開いて再接続を選びます。
次のステップ
MCPEmailsの無料アカウントを作成し、メールサービスでアプリ パスワードを生成して、受信トレイを接続してください。接続後に各サービスで何ができるかはプロバイダー対応表にまとめています。