Gmail у поштовій програмі в робочій мережі або за брандмауером

Якщо поштова програма (Outlook, Thunderbird, пошта на телефоні) в одній мережі без проблем підключається до Gmail, а в іншій ні, помилка майже напевно не в обліковому записі, а в мережі чи в захисному програмному забезпеченні на комп’ютері. Кількома простими перевірками можна з’ясувати причину й точно визначити, про що просити адміністратора.

До чого має мати доступ поштова програма?

Gmail у поштовій програмі працює двома каналами: через IMAP отримує й синхронізує листи, через SMTP надсилає їх. З 2025 року вхід майже завжди виконується через вікно входу в обліковий запис Google, яке є вебсторінкою на сервері Google. Якщо щось із цього недоступне, програма повідомляє про помилку, часто з оманливим текстом («неправильний пароль», «перевищено час очікування», «сервер не відповідає»).

• Вхідна пошта (IMAP): imap.gmail.com, порт 993, шифрування SSL/TLS.
• Вихідна пошта (SMTP): smtp.gmail.com, порт 587 зі STARTTLS або порт 465 з SSL/TLS. Сервер вихідної пошти вимагає автентифікації.
• Вхід: вікно входу через обліковий запис Google відкриває сторінку accounts.google.com, для цього потрібне з’єднання HTTPS (порт 443).
• Порт 25 не підходить: багато інтернет-провайдерів і компаній узагалі блокують вихідний порт 25, тож у поштовій програмі для SMTP потрібно вказати порт 465 або 587.
• Тим, хто в тій самій програмі використовує й обліковий запис Outlook.com, його налаштування описано окремо: Налаштування облікового запису Outlook.com в іншій поштовій програмі (IMAP, SMTP).

1. Мережа блокує порт IMAP або SMTP

Симптом: програма довго намагається підключитися, а потім зупиняється через перевищення часу очікування або з повідомленням «не вдалося підключитися». Водночас вебверсія Gmail у браузері в тій самій мережі працює. Причина: брандмауер корпоративної, навчальної, готельної чи публічної мережі пропускає лише трафік вебсайтів (порти 80 і 443), але не поштових протоколів. Багато компаній навмисно забороняють підключатися з робочих комп’ютерів до зовнішніх поштових серверів.

1. У Windows вхідний порт можна перевірити в PowerShell командою Test-NetConnection imap.gmail.com -Port 993. Якщо наприкінці відповіді стоїть «TcpTestSucceeded : True», порт відкритий.
2. Так само потрібно перевірити адресу smtp.gmail.com з портами 587 і 465.
3. У macOS та Linux подібний результат у терміналі дає команда nc -vz imap.gmail.com 993.
4. Якщо команда повідомляє про перевищення часу очікування чи відмову, порт у мережі закритий. Тоді зміна налаштувань не допоможе, потрібно звернутися до того, хто обслуговує мережу.

2. Антивірус або брандмауер перевіряє зашифроване з’єднання

Симптом: з’єднання встановлюється, але програма повідомляє про помилку сертифіката («сертифікат сервера ненадійний») або з’єднання обривається одразу після входу. Часто це трапляється лише на одному комп’ютері, а на інших у тій самій мережі проблем немає. Причина: функція захисту пошти деяких антивірусів і багато корпоративних брандмауерів перевіряють зашифрований трафік, підмінюючи сертифікат Google власним. Частина поштових програм цього не приймає.

• Перевірка: ненадовго вимкнути поштовий фільтр антивірусу або функцію перевірки SSL/TLS і знову спробувати підключитися. Якщо так працює, в антивірусі потрібно додати поштову програму чи сервери Gmail до винятків, а потім знову ввімкнути захист.
• Перевірка сертифіката: команда openssl s_client -connect imap.gmail.com:993 показує, хто видав отриманий сертифікат. Сертифікат Gmail видає власний центр сертифікації Google (Google Trust Services); якщо там інша назва (наприклад, антивірусу чи виробника брандмауера), трафік перевіряє проміжний пристрій.
• На робочому комп’ютері: налаштування антивірусу й брандмауера користувач часто не може змінити. Тоді потрібно попросити адміністратора виключити сервери Gmail з перевірки зашифрованого трафіку.
• У поштовій програмі не можна остаточно приймати помилку сертифіката чи вимикати перевірку сертифікатів, бо тоді програма не попередить і про справжню атаку.

3. Вікно входу не завантажується або показує помилку

Симптом: під час додавання облікового запису поштова програма показує порожнє чи помилкове вікно або знову й знову просить пароль. Причина: вікно входу через обліковий запис Google не може дістатися сторінки accounts.google.com, бо її блокує проксі чи вебфільтр; або програма настільки стара, що намагається ввійти лише з ім’ям користувача й паролем.

• Стара програма: з 14 березня 2025 року Google і для особистих облікових записів скасував доступ «ненадійних додатків» за паролем: IMAP, SMTP і POP працюють лише із входом через Google (OAuth) або з паролем додатка. За довідкою Google, наприклад, старіші випуски Outlook 2016 не відповідають сучасним вимогам; тоді рішенням є оновлення програми.
• Пароль додатка: його можна створити лише з увімкненою двоетапною перевіркою на сторінці myaccount.google.com/apppasswords, і Google не радить його, якщо програма підтримує вхід через Google. Він недоступний для робочих чи навчальних облікових записів, за двоетапної перевірки лише з електронним ключем і з Розширеним захистом. Під час зміни пароля Google видаляє паролі додатків.
• Вебфільтр: якщо у вікні входу відображається корпоративна сторінка блокування, потрібно попросити адміністратора дозволити accounts.google.com.
• Забагато з’єднань: повідомлення «Забагато одночасних з’єднань» — не помилка мережі: один обліковий запис Gmail можна одночасно додати щонайбільше до 15 поштових програм, тож на старих пристроях, якими не користуються, потрібно вийти.

4. Робочий обліковий запис Google: адміністратор не дозволив доступ

Якщо адреса закінчується не на @gmail.com, а на власний домен компанії чи навчального закладу (обліковий запис Google Workspace), доступ поштових програм регулює адміністратор організації. Він має дозволити IMAP у консолі адміністратора й може заборонити сторонні поштові програми. У такому обліковому записі в налаштуваннях Gmail не завжди видно навіть вкладку «Пересилання й POP/IMAP». В особистому обліковому записі @gmail.com IMAP із січня 2025 року не можна вмикати чи вимикати: він завжди дозволений.

Про що просити адміністратора?

Прохання має бути конкретним: адміністратор повинен точно знати, який трафік дозволити. Перед цим варто прочитати ІТ-правила на роботі, бо в багатьох місцях на робочому комп’ютері заборонено користуватися особистою поштою. Тоді рішенням є власний телефон із мобільним інтернетом, а не обхід брандмауера через VPN чи іншими хитрощами.

• Дозволити вихідне TCP-з’єднання з адресою imap.gmail.com через порт 993.
• Дозволити вихідне TCP-з’єднання з адресою smtp.gmail.com через порт 587 та/або 465.
• Доступ до accounts.google.com з браузера й з вікна входу поштової програми (порт 443).
• Якщо брандмауер чи антивірус перевіряє зашифрований трафік: виключити сервери Gmail з перевірки.
• До звернення варто додати точний текст помилки, час і результат перевірки портів.

Тимчасові рішення, що не порушують правил

• Вебверсія Gmail: якщо браузер відкриває сторінку mail.google.com, листи можна читати й надсилати там, без поштової програми.
• Застосунок Gmail на телефоні: через мобільний інтернет обмеження корпоративної Wi-Fi-мережі не діють.
• Гостьова чи готельна мережа: якщо поштова програма не підключається, можна звернутися до того, хто обслуговує мережу; доти можна користуватися вебверсією чи мобільним інтернетом.