为什么邮箱要用授权码而不是密码？给网站配发信前先看这篇

给网站配发信功能、在手机自带的邮件 App 里添加 163 或 QQ 邮箱时，你会发现直接填登录密码不行，系统要的是一串「授权码」。很多人嫌麻烦，其实这是邮箱服务商替你做的一道安全隔离。

授权码是什么

授权码是专门给第三方客户端（Outlook、手机邮件 App、网站程序）用的独立密码，只能用来收发信（IMAP/POP3/SMTP），不能用来登录网页版邮箱、改密码或者改安全设置。Gmail 里对应的叫「应用专用密码」，前提是先开两步验证。

为什么不直接用登录密码

• 泄露范围小：网站配置文件、服务器被人看到，丢的也只是一个能发邮件的码，主账号还在你手里。
• 可以单独作废：哪个设备不用了、哪个码可能泄露了，删掉那一个就行，不用改主密码、不影响其他设备。
• 不受二次验证影响：程序没法接收短信验证码，授权码正好解决自动化发信的问题。

给网站配发信时的几点建议

一个用途一个码

网站一个、电脑客户端一个，备注写清楚用途。以后排查或停用时一眼就知道是哪个。注意有的邮箱给的设备名称有长度限制，起个短名字。

用加密端口

SMTP 尽量用 SSL 的 465 端口，别用明文的 25 端口。很多云服务器默认封了 25 端口，用 465 也能少踩坑。

授权码别写进代码仓库

放在后台设置或服务器上权限受限的配置文件里，不要提交到 GitHub，也不要截图发群里。截图里露出的码要当作已经泄露，立刻删掉重新生成。

发件频率要克制

个人邮箱有每日发送上限，用来发订单提醒、找回密码这种低频通知没问题；群发营销邮件很容易被判定为垃圾邮件甚至封号，这种需求应该用专门的邮件推送服务。

主密码也别忘了

授权码再安全，主密码弱或者在别处泄露过，一切都白搭。几个基本动作：

• 主密码只用在这一个邮箱，长一点，用密码管理器保存。
• 密码曾经在聊天、截图、文档里出现过，就尽快改掉。
• 打开登录保护或两步验证，定期看看「登录记录」和「授权设备」，不认识的直接移除。

邮箱是几乎所有账号的「找回密码」入口，它的安全值得多花五分钟。

本文由 Lingshi 发布，转载请注明出处。