Gmail in een e-mailprogramma op een bedrijfsnetwerk of achter een firewall

Als het e-mailprogramma (Outlook, Thunderbird, de mail-app op de telefoon) op het ene netwerk zonder problemen verbinding maakt met Gmail en op het andere niet, zit de fout vrijwel zeker niet in het account, maar in het netwerk of in beveiligingssoftware op de computer. Met een paar eenvoudige tests is uit te zoeken wat de oorzaak is en wat precies aan de beheerder moet worden gevraagd.

Wat moet het e-mailprogramma kunnen bereiken?

Gmail werkt in een e-mailprogramma via twee kanalen: met IMAP worden berichten ontvangen en gesynchroniseerd, met SMTP worden ze verzonden. Het inloggen gaat sinds 2025 bijna altijd via het venster “Inloggen met Google”, een webpagina op de server van Google. Als een van deze niet bereikbaar is, geeft het programma een fout, vaak met een misleidende tekst (“onjuist wachtwoord”, “time-out”, “de server reageert niet”).

• Inkomende e-mail (IMAP): imap.gmail.com, poort 993, versleuteling SSL/TLS.
• Uitgaande e-mail (SMTP): smtp.gmail.com, poort 587 met STARTTLS, of poort 465 met SSL/TLS. De uitgaande server vraagt om verificatie.
• Inloggen: het venster “Inloggen met Google” opent de pagina accounts.google.com; daarvoor is een HTTPS-verbinding (poort 443) nodig.
• Poort 25 werkt niet: veel internetproviders en bedrijven blokkeren uitgaand verkeer op poort 25 al standaard, daarom moet in het e-mailprogramma voor SMTP poort 465 of 587 worden ingesteld.
• Wie in hetzelfde programma ook een Outlook.com-account gebruikt, vindt de instellingen daarvoor in een aparte handleiding: Een Outlook.com-account instellen in een ander e-mailprogramma (IMAP, SMTP).

1. Het netwerk blokkeert de IMAP- of SMTP-poort

Symptoom: het programma probeert lang en stopt dan met een time-out of de melding “kan geen verbinding maken”. Gmail op het web werkt in de browser op hetzelfde netwerk ondertussen wel. Oorzaak: de firewall van het bedrijfs-, school-, hotel- of openbare netwerk laat alleen verkeer van websites door (poort 80 en 443), niet dat van e-mailprotocollen. Veel bedrijven verbieden bewust dat computers van medewerkers verbinding maken met externe mailservers.

1. Op Windows is de inkomende poort te controleren in PowerShell met de opdracht Test-NetConnection imap.gmail.com -Port 993. Staat aan het eind van het antwoord “TcpTestSucceeded : True”, dan is de poort open.
2. Op dezelfde manier het adres smtp.gmail.com met poort 587 en 465 proberen.
3. Op macOS en Linux geeft de opdracht nc -vz imap.gmail.com 993 in de terminal een vergelijkbaar resultaat.
4. Meldt de opdracht een time-out of een weigering, dan is de poort op het netwerk dicht. Instellingen aanpassen helpt dan niet; de beheerder van het netwerk moet worden benaderd.

2. De virusscanner of firewall kijkt mee in de versleutelde verbinding

Symptoom: de verbinding komt tot stand, maar het programma meldt een certificaatfout (“het certificaat van de server is niet vertrouwd”), of de verbinding valt direct na het inloggen weg. Vaak gebeurt dat maar op één computer, terwijl de andere op hetzelfde netwerk geen problemen hebben. Oorzaak: de e-mailbeveiliging van sommige virusscanners en veel bedrijfsfirewalls onderzoeken versleuteld verkeer door het certificaat van Google te vervangen door een eigen certificaat. Dat accepteert een deel van de e-mailprogramma's niet.

• Test: het e-mailfilter of de SSL/TLS-scan van de virusscanner even uitzetten en opnieuw verbinding proberen te maken. Werkt het zo wel, dan in de virusscanner het e-mailprogramma of de servers van Gmail als uitzondering toevoegen en daarna de beveiliging weer aanzetten.
• Certificaat controleren: de opdracht openssl s_client -connect imap.gmail.com:993 toont wie het ontvangen certificaat heeft uitgegeven. Het certificaat van Gmail wordt uitgegeven door de eigen certificeringsinstantie van Google (Google Trust Services); staat er een andere naam (bijvoorbeeld van een virusscanner of een firewallfabrikant), dan onderzoekt een tussenliggend apparaat het verkeer.
• Op een computer van het werk: de instellingen van de virusscanner en de firewall kan de gebruiker vaak niet zelf wijzigen. Dan moet de beheerder worden gevraagd de servers van Gmail uit te zonderen van de controle van versleuteld verkeer.
• Een certificaatfout mag in het e-mailprogramma niet permanent worden geaccepteerd en de certificaatcontrole mag niet worden uitgezet, omdat het programma dan ook een echte aanval niet meer zou melden.

3. Het inlogvenster laadt niet of geeft een fout

Symptoom: bij het toevoegen van een account toont het e-mailprogramma een leeg venster of een fout, of het vraagt steeds opnieuw om het wachtwoord. Oorzaak: het venster “Inloggen met Google” kan accounts.google.com niet bereiken, omdat een proxy of webfilter dat blokkeert; of het programma is zo oud dat het alleen met gebruikersnaam en wachtwoord probeert in te loggen.

• Oud programma: sinds 14 maart 2025 heeft Google ook voor persoonlijke accounts de wachtwoordtoegang voor “minder veilige apps” afgeschaft: IMAP, SMTP en POP werken alleen met inloggen via Google (OAuth) of met een app-wachtwoord. Volgens de Help van Google voldoen bijvoorbeeld oudere uitgaven van Outlook 2016 niet aan de huidige eisen; dan is het bijwerken van het programma de oplossing.
• App-wachtwoord: alleen te maken als de verificatie in 2 stappen aan staat, op myaccount.google.com/apppasswords, en Google raadt het af als het programma inloggen via Google ondersteunt. Bij werk- of schoolaccounts, bij verificatie in 2 stappen met alleen een beveiligingssleutel en bij het Programma voor geavanceerde beveiliging is het niet beschikbaar. Bij een wachtwoordwijziging trekt Google de app-wachtwoorden in.
• Webfilter: als het inlogvenster een blokkeringspagina van het bedrijf toont, moet aan de beheerder worden gevraagd accounts.google.com toe te staan.
• Te veel verbindingen: de foutmelding “Te veel gelijktijdige verbindingen” ligt niet aan het netwerk: één Gmail-account kan aan maximaal 15 e-mailprogramma's tegelijk worden toegevoegd, dus op oude, ongebruikte apparaten moet worden uitgelogd.

4. Google-account van het werk: de beheerder heeft het niet toegestaan

Als het adres niet op @gmail.com eindigt, maar op het eigen domein van het bedrijf of de school (een Google Workspace-account), bepaalt de beheerder van de organisatie de toegang via e-mailprogramma's. Die moet IMAP in de beheerconsole toestaan, en kan externe e-mailprogramma's ook blokkeren. Bij zo'n account is in de instellingen van Gmail ook het tabblad “Doorsturen en POP/IMAP” niet altijd zichtbaar. Bij een persoonlijk @gmail.com-account kan IMAP sinds januari 2025 niet meer aan- of uitgezet worden en is het altijd ingeschakeld.

Wat aan de beheerder te vragen?

Het verzoek moet concreet zijn: de beheerder moet precies weten welk verkeer moet worden toegestaan. Het is verstandig vooraf het IT-beleid van het werk te lezen, omdat het op veel plekken verboden is een privémailaccount op een computer van het bedrijf te gebruiken. Dan is de oplossing de eigen telefoon op mobiele data, niet het omzeilen van de firewall met een vpn of een andere truc.

• Uitgaande TCP-verbindingen toestaan naar imap.gmail.com op poort 993.
• Uitgaande TCP-verbindingen toestaan naar smtp.gmail.com op poort 587 en/of 465.
• Toegang tot accounts.google.com vanuit de browser en vanuit het inlogvenster van het e-mailprogramma (poort 443).
• Als de firewall of virusscanner versleuteld verkeer onderzoekt: de servers van Gmail uitzonderen van die controle.
• Bij de foutmelding is het handig de exacte foutmelding, het tijdstip en het resultaat van de poorttest mee te sturen.

Tijdelijke oplossingen die geen regels overtreden

• Gmail op het web: als de browser mail.google.com bereikt, zijn berichten daar te lezen en te versturen, zonder e-mailprogramma.
• De Gmail-app op de telefoon: op mobiele data gelden de beperkingen van de wifi van het bedrijf niet.
• Gast- of hotelnetwerk: als het e-mailprogramma geen verbinding maakt, kan de beheerder van het netwerk om uitleg worden gevraagd; tot dan zijn de webversie of mobiele data te gebruiken.