Vous ne parvenez pas à envoyer des e‑mails Outlook depuis une application tierce à cause de la double authentification ? Voici quand un mot de passe d’application est (encore) utile, où le trouver dans votre compte Microsoft et comment résoudre les blocages rapidement.
Contexte et diagnostic en une minute
De nombreux utilisateurs bloquent au moment d’ajouter un compte Outlook/Hotmail/Live dans une app de messagerie mobile ou sur ordinateur. Le message d’erreur varie : « mot de passe incorrect », « serveur non disponible », ou l’application ne propose pas l’écran Microsoft de connexion/validation à deux facteurs. La question qui revient alors est : « Où créer un mot de passe d’application ? »
Réponse courte : dans la majorité des cas, vous n’avez plus besoin de mot de passe d’application. Les clients de messagerie modernes utilisent l’authentification moderne (OAuth 2.0) : vous vous connectez avec l’adresse e‑mail, votre mot de passe normal, puis vous validez la connexion via la 2FA dans une fenêtre Microsoft. Si votre application affiche ce flux (fenêtre ou navigateur Microsoft), n’ajoutez pas de mot de passe d’application : cela signifierait que l’app retombe en « authentification de base », moins sûre et de plus en plus bloquée.
Pourquoi les mots de passe d’application disparaissent
Historiquement, les « mots de passe d’application » servaient de béquille quand une application ne savait pas demander une seconde preuve d’identité (2FA). Un mot de passe d’application est une clé dédiée qui contourne la vérification en deux étapes. Avec la généralisation d’OAuth 2.0, l’application délègue au service Microsoft l’authentification forte ; aucune « clé spéciale » n’est requise et la connexion est à la fois plus sûre et plus simple à révoquer.
- Moderne : OAuth 2.0 + 2FA intégrée (fenêtre Microsoft) → mot de passe d’application inutile.
- Ancien : authentification de base (IMAP/SMTP/POP sans OAuth) → mot de passe d’application parfois nécessaire, mais à éviter si une mise à jour est possible.
Où trouver « Options de sécurité avancées » pour créer un mot de passe d’application
Si vous utilisez une application très ancienne (ou un appareil embarqué), vous pouvez encore générer un mot de passe d’application pour un compte Microsoft personnel (Outlook.com/Hotmail/Live). Le chemin exact peut varier selon la langue de l’interface ; cherchez « Options de sécurité supplémentaires » ou « Options de sécurité avancées ».
- Connectez‑vous sur
account.microsoft.comavec votre compte Microsoft personnel. - Ouvrez Sécurité › Options de sécurité supplémentaires (ou Options de sécurité avancées).
- Dans la section Mots de passe d’application, cliquez sur Créer un nouveau mot de passe.
- Copiez cette clé (affichée une seule fois) et collez‑la dans l’application qui la demande.
Important : un mot de passe d’application n’est pas protégé par la 2FA. Supprimez‑le dès qu’il n’est plus nécessaire (même page › gérer/supprimer).
Faut‑il encore utiliser un mot de passe d’application ?
Seulement si votre logiciel n’est pas compatible OAuth 2.0 et qu’aucune mise à jour/alternative n’est possible. Le tableau ci‑dessous synthétise les cas les plus courants :
| Client / App | Version conseillée | Compatibilité OAuth 2.0 (Microsoft) | Mot de passe d’app requis ? | Remarques |
|---|---|---|---|---|
| Outlook (Android / iOS) | Dernière version | Oui | Non | Ajoutez un compte Outlook.com ou Microsoft 365, suivez l’écran Microsoft. |
| Gmail (Android) | Dernière version | Oui | Non | Choisir « Exchange et Microsoft 365 » et se connecter via Microsoft. |
| Mail (iOS/iPadOS) | iOS 15 ou + | Oui | Non | Ajouter un compte « Microsoft Exchange » / « Outlook.com ». |
| Thunderbird | 78 ou + | Oui | Non | Sélectionner OAuth2 comme méthode d’authentification. |
| Apple Mail (macOS) | Monterey ou + | Oui | Non | Ajouter via « Outlook.com » / « Microsoft Exchange ». |
| Outlook 2010/2013 | Non supporté | Non | Parfois inutile/impossible | Obsolète : préférez mettre à jour votre client. |
| Windows Live Mail / IncrediMail | Obsolètes | Non | Option de secours | Clients abandonnés ; à remplacer. |
| Imprimantes/routeurs anciens (envoi SMTP) | Firmware ancien | Non | Souvent oui | Si pas d’OAuth, utiliser mot de passe d’application ou relais SMTP local. |
Vérifications rapides avant de créer un mot de passe d’application
- Mettez à jour l’application : la plupart des clients Outlook/IMAP récents (p. ex. Thunderbird ≥ 78, Apple Mail ≥ iOS 15) gèrent OAuth 2.0 et fonctionneront avec votre mot de passe habituel + 2FA.
- Testez la connexion « normale » : saisissez votre adresse e‑mail et mot de passe ; si une fenêtre Microsoft s’ouvre pour valider votre identité, la prise en charge OAuth est active — inutile de générer un mot de passe d’application.
- IMAP/SMTP sécurisés : dans Outlook.com, ouvrez Paramètres › Afficher tous les paramètres d’Outlook › Courrier › Synchronisation et confirmez que les protocoles nécessaires sont autorisés (notamment POP si vous l’utilisez). En environnement professionnel, la bascule SMTP AUTH peut être désactivée par l’administrateur ; vérifiez votre boîte si l’envoi échoue.
Procédure guidée selon votre appareil
Android – application Outlook
- Ouvrez Outlook › Ajouter un compte.
- Entrez votre adresse Outlook/Hotmail/Live.
- Validez dans l’écran Microsoft (mot de passe, puis 2FA).
- L’envoi et la réception doivent fonctionner sans mot de passe d’application.
Android – application Gmail
- Dans Gmail, Ajouter un compte › Exchange et Microsoft 365 (ou Outlook.com).
- Suivez la fenêtre de connexion Microsoft (mot de passe + 2FA).
- N’ajoutez pas de mot de passe d’application si la fenêtre Microsoft s’affiche.
iPhone/iPad – Apple Mail
- Réglages › Mail › Comptes › Ajouter un compte.
- Choisissez Outlook.com ou Microsoft Exchange.
- Authentifiez‑vous dans l’écran Microsoft (mot de passe + 2FA).
Thunderbird (ordinateur)
- Fichier › Nouveau › Compte courrier existant…
- Renseignez votre adresse, laissez l’auto‑détection s’exécuter.
- Dans Méthode d’authentification, vérifiez OAuth2 pour IMAP et SMTP.
- Une fenêtre Microsoft s’ouvrira pour le mot de passe et la 2FA.
Paramètres IMAP/SMTP de référence (au cas où)
Dans la plupart des apps modernes, ces réglages se remplissent automatiquement. Si vous devez les entrer à la main :
| Type de compte | IMAP (hôte :port) | SMTP (hôte :port) | Chiffrement | Authentification |
|---|---|---|---|---|
| Outlook.com / Hotmail (compte personnel) | imap-mail.outlook.com:993 | smtp-mail.outlook.com:587 | IMAP : SSL/TLS SMTP : STARTTLS | OAuth 2.0 recommandé (ou mot de passe d’application si client ancien) |
| Microsoft 365 (travail/école) | outlook.office365.com:993 | smtp.office365.com:587 | IMAP : SSL/TLS SMTP : STARTTLS | OAuth 2.0 requis (SMTP AUTH peut être désactivé par l’admin) |
Arbre de décision : dois‑je créer un mot de passe d’application ?
- Votre application affiche‑t‑elle une fenêtre Microsoft pour se connecter ?
Oui → Utilisez votre mot de passe normal + 2FA (OAuth). Ne créez pas de mot de passe d’app.
Non → Passez à l’étape 2. - Pouvez‑vous mettre à jour l’application vers une version compatible OAuth 2.0 ?
Oui → Mettez à jour et réessayez la connexion normale.
Non → Passez à l’étape 3. - Le compte est‑il un compte Microsoft personnel (Outlook.com/Hotmail/Live) ?
Oui → Générez un mot de passe d’application dans Sécurité › Options de sécurité supplémentaires/avancées suraccount.microsoft.com.
Non (compte travail/école) → Demandez à votre administrateur ; les mots de passe d’application peuvent être interdits et l’authentification moderne requise.
Bonnes pratiques de sécurité
- Préférez toujours OAuth 2.0 : c’est plus sûr (tokens limités, révocation simple, 2FA respectée).
- Un mot de passe d’application est une exception : tenez‑le secret, notez où il est utilisé, supprimez‑le dès que vous n’en avez plus besoin.
- Un mot de passe d’application par app : ne réutilisez pas la même clé pour plusieurs applications/services.
- Activez les notifications de sécurité sur votre compte Microsoft pour être alerté des connexions inhabituelles.
Erreurs fréquentes et résolutions ciblées
- « Mot de passe incorrect » immédiatement : l’app tente une authentification de base. Forcer OAuth2 dans les paramètres du compte (si proposé) ou réajouter le compte via le type « Outlook.com/Microsoft 365 » plutôt que « IMAP générique ».
- La fenêtre Microsoft ne s’affiche pas : l’app est trop ancienne. Cherchez une mise à jour ou une app alternative. À défaut, créez un mot de passe d’application (compte personnel seulement).
- Envoi SMTP qui échoue (compte pro) : SMTP AUTH peut être désactivé par l’administrateur. Demandez l’activation au niveau de la boîte ou utilisez l’envoi via l’API/Graph ou un connecteur approuvé.
- POP/IMAP désactivés : sur Outlook.com, POP est désactivé par défaut ; activez‑le si vous en avez vraiment besoin. Sur Microsoft 365, l’admin peut bloquer POP/IMAP ; privilégiez Exchange (EAS/ActiveSync) ou OAuth IMAP.
- Appareils embarqués (scanner, NAS, copieur) : s’ils ne gèrent pas OAuth, utilisez un mot de passe d’application (compte personnel) ou un relais SMTP interne/tiers approuvé.
Cas particuliers : personnel vs professionnel
| Type de compte | Mot de passe d’app | Notes importantes |
|---|---|---|
| Microsoft personnel (Outlook.com/Hotmail/Live) | Disponible via Options de sécurité supplémentaires/avancées | À n’utiliser qu’en dernier recours. OAuth fonctionne sur la plupart des apps récentes. |
| Microsoft 365 (travail/école) | Souvent interdit ou géré par l’admin | Microsoft pousse l’authentification moderne. En cas de blocage SMTP/IMAP, contactez l’IT. |
Checklist « zéro friction »
- Vérifiez votre version de l’app et mettez à jour.
- Ajoutez le compte par son type natif (Outlook.com / Exchange / Microsoft 365), pas via « Autre (IMAP) » si vous pouvez l’éviter.
- Recherchez la fenêtre Microsoft pendant la connexion. Si elle apparaît : pas de mot de passe d’application.
- Échec sans fenêtre ? Essayez une app alternative compatible OAuth (p. ex. Outlook mobile, Thunderbird récent).
- Ultime recours (compte personnel) : créez un mot de passe d’application via Sécurité › Options de sécurité supplémentaires/avancées sur
account.microsoft.com, utilisez‑le une fois, testez, puis documentez/supprimez si remplacé par OAuth.
FAQ express
L’option « Options de sécurité supplémentaires/avancées » n’apparaît pas. Pourquoi ?
Selon les régions et l’historique de sécurité du compte, le libellé peut varier. Assurez‑vous d’être connecté avec un compte personnel et non un compte travail/école. Si vous êtes sur un compte pro, ces options sont gérées par votre organisation.
Puis‑je utiliser un mot de passe d’application sur plusieurs appareils ?
Techniquement oui, mais c’est déconseillé. Générez une clé différente par application et supprimez celles qui ne servent plus.
Est‑ce que le mot de passe d’application respecte la 2FA ?
Non. Il contourne la 2FA ; c’est pourquoi il faut l’éviter dès qu’une alternative OAuth existe.
Mon app me demande encore un mot de passe d’application après mise à jour ; que faire ?
Supprimez le compte de l’app, relancez l’ajout en choisissant le type de compte Microsoft (Outlook.com/Exchange/Microsoft 365) pour forcer l’OAuth, puis suivez la fenêtre Microsoft.
Exemples concrets de configuration réussie
- Thunderbird 115 : nouveau compte › auto‑détection › méthode d’authentification : OAuth2 pour IMAP et SMTP › fenêtre Microsoft › 2FA. Aucun mot de passe d’app.
- Gmail Android : Ajouter un compte › Exchange et Microsoft 365 › connexion Microsoft › 2FA. Aucun mot de passe d’app.
- Imprimante MFP ancienne : pas d’OAuth › création d’un mot de passe d’application (compte personnel) › saisie dans la config SMTP (port 587 STARTTLS) › envoi OK. Noter la clé et prévoir une migration vers un relais sécurisé.
Conclusion
Le réflexe « mot de passe d’application » appartient au passé : si votre app sait afficher la fenêtre de connexion Microsoft, utilisez simplement votre mot de passe habituel et validez la 2FA. Ne revenez à un mot de passe d’app que pour des clients vraiment incompatibles avec OAuth 2.0, et supprimez‑le dès qu’il n’est plus requis. Pour la localisation de l’option, retenez : account.microsoft.com › Sécurité › Options de sécurité supplémentaires/avancées › Mots de passe d’application.