Messagerie : connecter vos comptes dans pulpInbox

pulpInbox lit et envoie vos messages depuis vos comptes habituels (Gmail, Outlook.com, Microsoft 365 ou tout autre fournisseur). Un navigateur ne peut pas joindre seul les serveurs de votre fournisseur : pulpInbox s'appuie sur la passerelle de messagerie de votre installation de pulpSuite. Sur pulpSuite en ligne, vous pouvez activer pour chaque compte le chiffrement de bout en bout (bêta) : la passerelle se contente alors de relayer une connexion chiffrée entre votre navigateur et votre messagerie (voir plus bas). Votre administrateur doit l'avoir démarrée.

Sans passerelle, vous pouvez quand même ouvrir et importer des messages enregistrés (.eml, .msg, .mbox, .pst…) et utiliser l'agenda et les contacts de l'appareil. Voir l'aide de pulpInbox.

Tant qu'aucun compte n'est relié, pulpInbox montre une boîte d'exemple, marquée Exemple : son bouton Relier un compte ouvre la même fenêtre que Ajouter un compte, et l'exemple disparaît dès que votre compte est relié. Depuis l'exemple, rien n'est jamais envoyé.

Sur pulpSuite en ligne : compte pulpSuite et limites

Quand vous utilisez pulpSuite sur un serveur en ligne, la messagerie est réservée aux personnes connectées à leur compte pulpSuite. Sans compte connecté, pulpInbox affiche « Connectez-vous à votre compte pulpSuite pour lire vos e-mails ici » et un bouton Ouvrir mon compte. Une fois connecté, revenez dans pulpInbox : la messagerie reprend toute seule. La boîte locale, l'agenda et les contacts de l'appareil n'ont pas besoin de compte.

• Votre mot de passe de messagerie ne sert qu'à ouvrir la session. Il n'est jamais enregistré, ni sur le serveur ni dans votre navigateur : il reste dans la page tant qu'elle est ouverte. Si vous la fermez ou la rechargez, il faut le retaper.
• Réception instantanée. Les nouveaux messages de la boîte de réception s'affichent dès leur arrivée, sans rien actualiser, tant que la page est ouverte. Si votre fournisseur ne le permet pas, pulpInbox relève la boîte toutes les 5 minutes. Le bouton Actualiser, en haut de la liste, reste disponible une fois par minute au plus.
• Limites d'usage, pour protéger le service et vos comptes (votre administrateur peut les ajuster) :

Quand une limite est atteinte, pulpInbox vous le dit et indique combien de temps attendre. Avec le chiffrement de bout en bout, les limites d'envoi sont appliquées par pulpInbox dans votre navigateur, puisque le serveur pulpSuite ne voit plus vos messages. Les mots de passe refusés sont alors limités par votre fournisseur lui-même.

• Serveurs joignables. Depuis un serveur en ligne, seuls les serveurs de messagerie publics sont accessibles, sur leurs ports habituels (réception 993 ou 143, envoi 465 ou 587, agendas 443). Une boîte située sur votre ordinateur ou sur votre réseau local (par exemple celle d'un logiciel de messagerie qui se connecte en local) ne peut pas être jointe.
• Installer la passerelle sur votre ordinateur. Pour une boîte de votre réseau, ou pour ne dépendre d'aucun serveur en ligne, vous pouvez faire tourner la passerelle de pulpSuite sur votre propre ordinateur (voir « Pour l'administrateur » plus bas). Elle n'impose alors ni compte pulpSuite ni limite d'usage, et vos échanges avec votre fournisseur ne passent plus par le serveur en ligne.

Chiffrement de bout en bout (bêta)

Cette fonction est en essai et désactivée par défaut. Pour l'activer, cochez Chiffrement de bout en bout (bêta) dans la fenêtre d'ajout d'un compte ou dans celle du compte (pour un compte à mot de passe, l'option s'applique à la connexion suivante ; un compte Google ou Microsoft se reconnecte aussitôt). Sans elle, la connexion passe par le serveur pulpSuite, qui voit votre mot de passe et vos messages le temps de la session, sans les enregistrer.

Avec l'option, sur pulpSuite en ligne, c'est votre navigateur qui ouvre la connexion chiffrée avec le serveur de votre fournisseur de messagerie. Le serveur pulpSuite transmet cette connexion sans pouvoir l'ouvrir : il ne voit ni votre mot de passe, ni vos messages, ni vos destinataires.

• Ce que voit le serveur pulpSuite : votre compte pulpSuite et votre adresse IP, le nom du serveur de messagerie joint, la quantité de données échangées, l'heure et la durée de la connexion. C'est tout ce que contient son journal, gardé 30 jours.
• Le certificat de sécurité du serveur de messagerie est vérifié par votre navigateur : nom du serveur, dates de validité et autorité qui l'a délivré. S'il n'est pas valable, pulpInbox refuse la connexion avant d'envoyer quoi que ce soit (« Connexion refusée : le certificat de sécurité de votre serveur de messagerie n'est pas valable »). Vérifiez alors le nom du serveur dans les réglages du compte.
• Fournisseurs essayés (octobre 2026) : Gmail, Outlook et Microsoft 365, Yahoo, iCloud, Orange, Free, Infomaniak, Gandi, Ionos, Hostinger, Zoho et GMX l'acceptent, pour la réception comme pour l'envoi ; La Poste pour l'envoi seulement, OVH pour la réception seulement ; SFR pas encore. Pour les autres, pulpInbox vous propose la connexion habituelle.
• Où le voir : la fenêtre du compte indique Chiffré de bout en bout jusqu'à votre messagerie ou Passe par le serveur pulpSuite, et un petit cadenas suit le nom des comptes chiffrés dans la liste des dossiers.

Ce qui passe encore par le serveur pulpSuite, qui le lit pour vous :

• Les agendas connectés (lien .ics et serveur d'agenda). Pour un agenda ouvert « depuis un compte de messagerie », le mot de passe de ce compte est transmis au serveur pulpSuite pour l'agenda.
• Un serveur de messagerie qui n'accepte pas ce chiffrement depuis le navigateur (serveurs anciens). pulpInbox vous le dit et vous propose Passer par le serveur pulpSuite : rien ne change sans votre accord. Le choix est retenu pour ce compte ; pour réessayer plus tard, ouvrez la fenêtre du compte, tapez votre mot de passe et cliquez sur Réessayer le chiffrement de bout en bout.
• La connexion avec Google ou Microsoft : le serveur pulpSuite garde l'autorisation (chiffrée) et remet à votre navigateur une clé d'accès temporaire, valable environ une heure. Vos messages, eux, restent chiffrés de bout en bout.

Ajouter un compte avec un mot de passe

Cette méthode convient à la plupart des fournisseurs.

1. Dans pulpInbox, cliquez sur Ajouter un compte.
2. Saisissez votre adresse électronique, votre nom affiché et votre mot de passe.
3. pulpInbox retrouve les réglages de votre fournisseur d'après l'adresse. Si la connexion échoue, vérifiez le serveur IMAP (réception), le serveur SMTP (envoi), les ports et l'identifiant indiqués par votre fournisseur.
4. Cliquez sur Se connecter.

Le mot de passe sert seulement à ouvrir la session. Il n'est jamais enregistré : la session se ferme à la déconnexion, quand vous fermez ou rechargez la page sur pulpSuite en ligne, ou après environ deux heures d'inactivité avec la passerelle installée sur votre poste ; il faut alors le retaper.

Se connecter avec Google ou Microsoft

Pour Gmail et pour les comptes Microsoft (Outlook.com, Hotmail, Microsoft 365), pulpInbox propose Se connecter avec Google et Se connecter avec Microsoft, sans saisir de mot de passe dans pulpSuite.

1. Cliquez sur le bouton de votre fournisseur. Une fenêtre de connexion s'ouvre chez lui.
2. Connectez-vous et acceptez l'accès demandé.
3. Revenez à pulpInbox : le compte y apparaît une fois la connexion terminée.

Aucun mot de passe n'est enregistré dans pulpSuite. Sur pulpSuite en ligne, vos messages restent chiffrés de bout en bout jusqu'à Google ou Microsoft (voir plus haut).

Ensuite :

• Après un rechargement de la page, la session se rouvre seule, sans rien vous demander.
• À reconnecter (icône orange) : l'autorisation a expiré ou a été retirée. Ouvrez le compte et cliquez sur Se reconnecter avec Google ou Se reconnecter avec Microsoft.

Retirer ce compte ferme la session et efface l'autorisation conservée par la passerelle. Chez Google, l'autorisation est aussi révoquée. Chez Microsoft, retirez pulpSuite des autorisations de votre compte Microsoft si vous voulez couper l'accès côté fournisseur. Les messages restent sur le serveur de votre fournisseur.

Agendas connectés

Les agendas passent par la passerelle de votre installation, qui les lit pour vous (ils ne profitent pas du chiffrement de bout en bout de la messagerie) :

• Lien .ics : abonnement en lecture seule à l'adresse d'un agenda (.ics ou webcal://), qui se rafraîchit tout seul.
• Serveur CalDAV : synchronisation dans les deux sens avec un agenda hébergé chez un fournisseur compatible.
• Google Agenda et Outlook : la synchronisation dans les deux sens n'est pas encore disponible. En attendant, abonnez-vous à l'adresse secrète de votre agenda (lecture seule).

Pour l'administrateur

Pour activer la connexion Google et Microsoft, il faut :

1. déclarer pulpSuite comme application chez Google (Google Cloud Console) et chez Microsoft (centre d'administration Microsoft Entra), avec l'adresse de retour de la passerelle ;
2. donner à la passerelle un secret (variable INBOX_BRIDGE_SECRET, 16 caractères au moins) qui protège les autorisations enregistrées, ainsi que les identifiants de ces applications.

Les étapes complètes sont dans le document docs/messagerie-oauth.md du projet.

Pour publier la passerelle sur un serveur ouvert à Internet, démarrez-la avec INBOX_BRIDGE_PUBLIC=1 : elle exige alors un jeton de compte pulpSuite sur chaque requête, refuse tout serveur du réseau interne et applique les limites ci-dessus (réglables par les variables INBOX_LIMIT_…, listées en tête de servers/inbox-bridge/server.mjs). Elle tient un journal minimal (date, adresse IP, compte, événement : jamais de mot de passe, de contenu ni d'adresse de destinataire), conservé 30 jours. Le script deploy/vps/install-inbox-bridge.sh prépare cette installation.

Dans ce mode, les comptes qui ont activé le chiffrement de bout en bout (bêta) passent par la route /api/mail/tunnel de la passerelle : le navigateur y ouvre lui-même la connexion chiffrée avec le serveur de messagerie, la passerelle ne relaie que des données chiffrées (ports 993 et 465, ou 143 et 587 si le navigateur établit le chiffrement avant tout identifiant ; sinon la connexion est coupée). Le serveur web doit laisser passer cette route sans tampon, avec des délais longs (deploy/vps/nginx-pulpsuite.conf). Les limites de ces connexions se règlent par les variables INBOX_TUNNEL_…. Si le navigateur ne peut pas établir lui-même la connexion chiffrée, pulpInbox passe par la passerelle et l'indique.

À savoir :

• Une application Google laissée en mode « Test » limite l'accès aux utilisateurs déclarés, et l'autorisation expire au bout de 7 jours : le compte passe alors en À reconnecter, un clic suffit.
• Dans Microsoft 365, l'envoi suppose que l'option « SMTP authentifié » soit autorisée pour la boîte concernée, ce qui est souvent désactivé dans les organisations : sans elle, la réception fonctionne mais l'envoi échoue.

Questions fréquentes

« Le service de connexion de la messagerie ne répond pas. »

La passerelle n'est pas démarrée, ou elle n'est pas joignable depuis pulpSuite. Prévenez votre administrateur : c'est à lui de la démarrer (voir la note pour l'administrateur ci-dessus). En attendant, la boîte locale reste utilisable.

« Identifiant ou mot de passe refusé. »

Vérifiez le mot de passe, puis l'identifiant et les serveurs. Si votre fournisseur exige un mot de passe d'application, créez-en un et utilisez-le à la place de votre mot de passe habituel.

« Votre serveur de messagerie n'accepte pas la connexion chiffrée de bout en bout depuis le navigateur. »

Votre fournisseur utilise une méthode de chiffrement trop ancienne pour le navigateur. Vous pouvez cliquer sur Passer par le serveur pulpSuite : le serveur pulpSuite ouvrira la connexion pour vous et verra votre mot de passe et vos messages le temps de la session, sans les enregistrer. Ou bien installez la passerelle sur votre ordinateur. Pour revenir plus tard au chiffrement de bout en bout : Réessayer le chiffrement de bout en bout dans la fenêtre du compte.

« Connexion refusée : le certificat de sécurité… n'est pas valable. »

Le serveur joint ne prouve pas qu'il est bien celui de votre fournisseur (nom différent, certificat expiré ou délivré par une autorité inconnue). Vérifiez le nom du serveur de réception et d'envoi dans les réglages du compte. Si le nom est juste, prévenez votre fournisseur : par sécurité, pulpInbox ne propose pas de passer outre.

« Le navigateur a bloqué la fenêtre de connexion. »

Autorisez les fenêtres surgissantes pour pulpSuite dans les réglages du navigateur, puis recommencez.

« Vous vous êtes connecté avec … au lieu de … »

Lors d'une reconnexion, connectez-vous avec le compte qui est à reconnecter, pas avec un autre compte du même fournisseur.

Puis-je lire un fichier .msg sans Outlook ?

Oui. pulpInbox ouvre les messages .msg et .eml sans passerelle ni compte : ouvrez le fichier ou déposez-le dans pulpInbox.