技術に詳しくない方向けの OAuth のより詳細な説明

銀行 の例えで、これがどのように機能するかを説明します:

• 銀行と金庫 (あなたのメールプロバイダー): Google や Microsoft などは、あなたの貴重な資産 (メール、連絡先、カレンダー) を保管する安全な銀行として機能します。
• あなたのフルアクセスのパスワード (あなたのユーザー名/パスワード): これはあなたの貸金庫全体への鍵です。あなたは認証中にこれを銀行に直接見せるだけで、無作為なサードパーティのアプリに見せることはありません。
• Thunderbird (配達人): Thunderbird は、あなたが銀行から郵便物を配達したり受け取ったりするために利用する、雇われた配達サービスです。
• OAuth トークン (一時的なバッジ): 配達人にパスワードを渡す代わりに、銀行は Thunderbird に、ラミネート加工された、有効期限付きの訪問者バッジを発行します。

プロセスの仕組み

1. アクセスの要求: Thunderbird で新しいメールを設定すると、銀行にバッジを要求します。
2. ラミネート加工されたバッジ: 銀行は一時的にあなたを安全なウェブサイト (銀行のロビー) にリダイレクトします。そこであなたはフルアクセスのパスワード (例: Google や Microsoft のアカウントパスワード) と、場合によっては二要素認証 (2FA) で本人確認を行います。
3. 制限された権限: 認証されると、銀行は Thunderbird にアクセストークンを発行します。このトークンはメールの読み取りと送信 (場合によっては連絡先やカレンダーも) の機能のみを許可し、他の目的 (例: Google フォトや Microsoft の One Drive) には使用できず、アカウントのパスワードを変更したり、あなたをロックアウトしたりすることもできません。
4. アクセスの取り消し: Thunderbird を信頼できなくなった場合や、端末を紛失した場合は、銀行に電話して (Google や Microsoft のアカウント設定にアクセスして)、「バッジをキャンセルする」ように伝えることができます。Thunderbird は即座にアクセスを失いますが、あなたのアカウント (例えば Google や Microsoft のアカウント) は影響を受けません。

技術的な説明が不十分です。OAuth を詳しく説明してください！

OAuth は、アプリケーションやサービスが、パスワードなどの個人情報を漏らすことなく、別のアプリケーションやサービスにサインインすることを許可するウェブ標準です。Google / Apple / Microsoft でサインイン は、あなたが見たことがあるかもしれない OAuth の一例です。Gmail や Outlook のような多くのメールプロバイダーは、メールプロバイダーの認証情報全体を Thunderbird と共有することなく、Thunderbird がメールサービスにサインインできるようにするために OAuth を使用しています。

OAuth は、Gmail、Outlook、Yahoo Mail、その他多くのプロバイダーの既定の認証方式です。プロバイダー (Thunderbird ではありません) は、システムのウェブブラウザーを開き、プロバイダーのブランドロゴが入った一連のダイアログを表示します。これらのダイアログでは、アカウントのユーザー名とパスワードの入力、利用規約への同意、Thunderbird がアクセスを許可されるプロバイダーのデータの種類 (メール、カレンダー、連絡先など) の承認が求められます。これらのダイアログの一部またはすべてに広告が含まれる場合があります。これらのダイアログに表示されるもの (広告を含む) はすべて、Thunderbird ではなくメールプロバイダーによって管理されています。

OAuth ダイアログのシーケンス

認証プロセスの一部として、以下の項目の一部またはすべてのダイアログが表示されます:

1. ユーザー名、メールアドレス、または携帯電話番号を入力します。ユーザー名はあなたのメールアドレスになります。
2. アカウントのパスワードを入力します (アプリパスワードは使用しないでください)。
3. 任意で、利用規約に同意します。
4. 任意で、携帯電話またはアカウントのメールアドレスにセキュリティコードを送信し、その後に表示されるダイアログに送信されたコードを入力することで、「本当にあなたですか？」を確認する方法を選択します。
5. Thunderbird に、メール、連絡先、カレンダーといったデータの一部またはすべてへのアクセス許可を与えます。

認証プロセスの最後に:

• プロバイダーからアクセストークンが送信され、Thunderbird はそれをパスワードリストに保存して、将来サーバーにアクセスできるようにします。トークンは、特定の端末の特定のクライアントからのアクセスを許可する文字列であり、パスワードではありません。トークンは、プロバイダーが決定した時期に最終的に期限切れとなり、再度ユーザー名とパスワードで認証する必要があります。パスワードがわからない場合は、ウェブブラウザーでプロバイダーのアカウントページを使用して、新しいパスワードを作成する必要があります。これはしばしばパスワードリセットと呼ばれます。
• Thunderbird は、あなたが提供した認証設定に従ってアカウントの設定を行います。