OAuth 2.0 для Microsoft 365: когда пароль приложения не работает

Exchange Online перестал принимать по IMAP обычную пару логин-пароль: это и есть basic auth, устаревшая аутентификация. Отказ приходит на этапе входа и выглядит как неверный пароль, хотя пароль верный.

Паролей приложений, как у Google или Apple, в Microsoft 365 в общем случае нет: политика безопасности по умолчанию их не выдаёт. Поэтому совет «выпустите пароль приложения» здесь просто не выполним.

Вместо этого используется OAuth 2.0 — механизм, в котором клиент получает токен доступа, а не пароль. По IMAP он передаётся расширением XOAUTH2.

Пользователь входит через обычную страницу Microsoft, подтверждает второй фактор и соглашается выдать приложению доступ к почте. Приложение получает токен, ограниченный по правам и по времени, и ходит с ним по IMAP.

Для переноса это лучше пароля сразу по двум причинам: токен нельзя использовать для входа в аккаунт, и он протухает сам, даже если о нём забыли.

Это самый частый тупик: почта корпоративная, прав нет, а переехать надо.

Личные ящики Outlook.com и Hotmail — отдельная история от корпоративного Microsoft 365, хотя интерфейс похож. Там свои настройки доступа, и они менялись не одновременно с корпоративными.

Практический вывод один: перед переносом с любого адреса Microsoft стоит сначала проверить подключение, а не начинать копирование вслепую. Проверка занимает секунды и сразу показывает, чего именно не хватает.