Gmail SMTP "535-5.7.8 Username and Password not accepted" (e 534-5.7.9): come risolvere

Cosa significa

La tua applicazione, il tuo sito, la tua stampante o il tuo server di posta ha provato ad accedere al server SMTP di Gmail (smtp.gmail.com) e Google ha rifiutato l'accesso. Non è stata inviata alcuna email. Le due risposte più comuni sono:

535-5.7.8 Username and Password not accepted. For more information, go to
535 5.7.8  https://support.google.com/mail/?p=BadCredentials

534-5.7.9 Application-specific password required. For more information, go to
534 5.7.9  https://support.google.com/mail/?p=InvalidSecondFactor

535-5.7.8 significa che la coppia nome utente e password è stata rifiutata. 534-5.7.9 è più specifico: l'account usa la verifica in due passaggi, quindi Google non accetta la normale password dell'account via SMTP e richiede invece una password per le app. Una terza variante, 534-5.7.14 "Please log in through your web browser", significa che Google ha bloccato l'accesso come sospetto finché non accedi da un browser.

Perché succede

Google non accetta più la normale password dell'account per SMTP, IMAP o POP dalle app di terze parti (le cosiddette "app meno sicure"). Questa possibilità è stata disattivata per gli account Gmail personali nel 2022 e per tutti gli account Google Workspace il 14 marzo 2025. Funzionano ancora solo due metodi:

• OAuth 2.0 (accedi con Google, poi l'app usa un token). È ciò che Google consiglia.
• Password per le app: una password di 16 caratteri generata per una sola app. Esistono solo sugli account con la verifica in due passaggi attiva.

Le cause abituali sono quindi:

• Hai inserito nell'app la tua normale password di Gmail (534-5.7.9 se la verifica in due passaggi è attiva, 535-5.7.8 altrimenti).
• La password per le app è stata revocata. Cambiare la password dell'account Google revoca tutte le password per le app.
• Il nome utente è sbagliato: deve essere l'indirizzo completo, per esempio you@gmail.com o you@yourdomain.com.
• Spazi o un errore di battitura incollando la password per le app, oppure una vecchia password ancora memorizzata dall'app.
• Le password per le app non sono disponibili per l'account: niente verifica in due passaggi, Protezione avanzata attiva o una policy dell'amministratore Google Workspace che non le consente.

Come verificare

1. Accedi a myaccount.google.com, apri Sicurezza e controlla se la verifica in due passaggi è attiva e se sono proposte le password per le app.
2. Prova l'accesso da un terminale con swaks (sostituisci i valori, usa la password per le app):

   swaks --server smtp.gmail.com:587 --tls \
     --auth LOGIN --auth-user you@gmail.com --auth-password 'abcdabcdabcdabcd' \
     --from you@gmail.com --to you@gmail.com

   Una risposta 235 2.7.0 Accepted significa che le credenziali funzionano e il problema è nelle impostazioni della tua app.
3. Quando l'invio funziona, manda un test all'indirizzo unico nella home page di Delivmail e controlla SPF, DKIM e DMARC per il tuo indirizzo From.

Come risolvere

Opzione 1: usa OAuth 2.0 (la migliore)

Se il tuo software offre "Accedi con Google" o un'opzione OAuth per Gmail (la maggior parte dei client di posta, molti plugin SMTP per WordPress, nodemailer, PHPMailer), usala. Crei le credenziali OAuth in un progetto Google Cloud, poi l'app invia con un token. Nessuna password viene memorizzata e continua a funzionare anche dopo un cambio di password.

Opzione 2: usa una password per le app

1. Attiva la verifica in due passaggi sull'account Google.
2. Crea una password per le app nelle impostazioni del tuo account Google (cerca "Password per le app" nella barra di ricerca dell'account). Dalle un nome come "Sito web".
3. Incolla i 16 caratteri nella tua app, senza spazi, come password SMTP. Lascia l'indirizzo completo come nome utente.

Esempio con nodemailer:

const transporter = nodemailer.createTransport({
  host: 'smtp.gmail.com',
  port: 465,
  secure: true,          // or port 587 with secure: false (STARTTLS)
  auth: { user: 'you@gmail.com', pass: process.env.GMAIL_APP_PASSWORD }
});

Per i siti PHP, gli stessi valori vanno in PHPMailer; gli altri errori di accesso sono trattati in PHPMailer "SMTP Error: Could not authenticate". Stampanti e scanner sono trattati in scansione verso email con Office 365 o Gmail.

Google Workspace: valuta l'SMTP relay

Per un dispositivo o un server che non supporta OAuth e non deve conservare la password di un utente, un amministratore Workspace può usare invece il servizio SMTP relay (smtp-relay.gmail.com) con autenticazione basata sull'IP. I suoi errori sono trattati in SMTP relay di Google Workspace "550 5.7.0 Mail relay denied".

534-5.7.14

Accedi all'account da un browser, se possibile dalla stessa rete, conferma l'eventuale avviso di sicurezza ("Sì, ero io"), poi riprova. Se continua a succedere, passa a OAuth o a una password per le app.

Ricorda che gli account Gmail hanno limiti di invio giornalieri; l'invio massivo tramite smtp.gmail.com finisce con "550 5.4.5 Daily user sending limit exceeded".

Verifica che sia risolto

Invia un messaggio dall'app all'indirizzo unico nella home page di Delivmail. Se arriva, l'accesso funziona. Leggi il report: quando invii tramite Gmail con il tuo dominio, DKIM dovrebbe essere firmato dal tuo dominio (configurato nella console di amministrazione di Workspace), e SPF e DMARC dovrebbero essere superati. Poi riprova l'invio originale.