<div class="markdown">
<p dir="auto">Benny,</p>

<p dir="auto">When I attempt to go through the GMail validation, I get this message after entering in my GMail credentials:</p>

<p dir="auto"><strong>You've reached this page because we have detected that Javascript is disabled in your browser. The page you attempted to load cannot display properly if scripts are disabled.</strong></p>

<p dir="auto"><strong>Please enable scripts and retry the operation or go back in your browser.</strong></p>

<p dir="auto">Any ideas? Is there an option for the embedded browser to enable Javascript that I missed?</p>

<p dir="auto">Thanks,</p>

<p dir="auto">-- <br>
Steve Mayer<br>
<a href="mailto:smayer69@me.com">smayer69@me.com</a></p>

<p dir="auto">On 21 Oct 2015, at 1:45, Benny Kjær Nielsen wrote:</p>

<blockquote>
<p dir="auto">Hi MailMate users,</p>

<p dir="auto">if you use the latest test version of MailMate (r5150) with a Gmail or an Outlook account then you should read this email.</p>

<p dir="auto">Google continues to push for the adoption of <a href="http://oauth.net/2/">OAuth2</a> via the <a href="https://developers.google.com/gmail/xoauth2_protocol">XOAUTH2</a> protocol. In my opinion, they do that using a lot of FUD as seen in <a href="https://support.google.com/accounts/answer/6010255?hl=en">this support article</a>, but that does not mean that XOAUTH2 is necessarily a bad idea. Especially not for something like Google for which a single password provides access to all kinds of services.</p>

<p dir="auto">A bit simplified, it works like this: Using an embedded web browser in MailMate, the user is sent to a hardcoded Google address (using a secure connection). The user is then asked by Google to allow MailMate to access the emails of the Gmail account. If accepted then MailMate receives a special code. Using this code MailMate can then obtain a so-called access token. This access token can then be used when authenticating via IMAP or SMTP. In other words, the real password is never known to[^1] or used by MailMate itself. It is naturally also not stored by MailMate. An access token expires, but MailMate can obtain a new one when needed. The access token only provides access to emails and the user can revoke the access at any time on <a href="https://security.google.com/settings/security/permissions">this page</a>.</p>

<p dir="auto">Now, MailMate has had experimental support for XOAUTH2, but I think I now have to make it the default behavior (at least for Gmail). This made me change a few things:</p>

<ul>
<li>Previously, MailMate used an external web browser, but this does not work well and requires the user to copy/paste a code. An embedded browser is now used instead.</li>
<li>Using OAuth2 is now an option in the IMAP account settings. It is enabled by default, but it'll only be used when the corresponding IMAP server is actually supported by MailMate.</li>
<li>MailMate also supports XOAUTH2 for Outlook email addresses.</li>
<li>Tokens are stored in the keychain similar to how OS X stores them. Previously, a token was simply saved as if it was a password.</li>
</ul>

<p dir="auto">The last item means that users of the experimental support are going to be asked to authenticate MailMate again.</p>

<p dir="auto">I'm looking for feedback on how well this works, both for Gmail and Outlook. I'm sure you'll tell me if it doesn't work at all.</p>

<p dir="auto">One known issue: I've seen the initial authentication fail for Outlook, but it seems to be a temporary problem. At least I have not been able to figure out what triggers it.</p>

<p dir="auto">Various other notes:</p>

<ul>
<li>The old hidden preference is now obsolete.</li>
<li>XOAUTH2 requires me to register MailMate with the service provider (Google/Microsoft). If the provider stops supporting other authentication schemes (which is almost true for Google) then Google has the power to decide which email clients are allowed to work with Gmail. <a href="https://en.wikipedia.org/wiki/Embrace,_extend_and_extinguish">I'm not sure</a> I'm quite comfortable with that. It reminds me of what happened to <a href="http://thenextweb.com/twitter/2012/08/17/twitter-4/">third party Twitter clients</a>.</li>
<li>Maybe this is a good time to reiterate that <a href="http://blog.freron.com/2013/alternative-email-providers/">alternatives</a> do exist.</li>
<li>iCloud appears to have a similar authentication scheme, but it's undocumented and cannot be used by third party email clients.</li>
</ul>

<p dir="auto">-- <br>
Benny</p>

<p dir="auto">[^1]: Since MailMate embeds the web browser itself then this is not strictly true. This is also why OAuth2 doesn't provide as much security for desktop applications as it does for web services.</p>

<hr>

<p dir="auto">mailmate mailing list<br>
<a href="mailto:mailmate@lists.freron.com">mailmate@lists.freron.com</a><br>
<a href="http://lists.freron.com/listinfo/mailmate">http://lists.freron.com/listinfo/mailmate</a></p>
</blockquote>

</div>