Thunderbird 158 umí přihlásit e-mail ze Seznamu přes prohlížeč bez hesla pro aplikace
Seznam 3. listopadu oznámil, že jeho e-mail a kalendář jdou v Thunderbirdu 158 připojit přes OAuth2, tedy přihlášením v prohlížeči i s dvoufázovým ověřením. Podporu do programu dopsali vývojáři Thunderbirdu na žádost Seznamu za necelých devět dní. Další poštovní programy Seznam nejmenuje a jeho nápověda dál radí heslo pro aplikace.
Kdo má u Seznam účtu zapnuté dvoufázové ověření a čte poštu v desktopovém programu, musel si dosud vytvořit zvláštní heslo pro aplikace. Seznam 3. listopadu 2026 oznámil, že v Thunderbirdu to už potřeba není. Program se k poště a kalendáři přihlásí přes standard OAuth2, a to podle Seznamu u běžných schránek i u firemního Email Profi na vlastních doménách.
Heslo pro aplikace mělo vadu, kterou Seznam ve zprávě jmenuje sám: obcházelo dvoufázové ověření. Kdo ho získal, dostal se do schránky bez potvrzení v telefonu i bez jednorázového kódu. Podle nápovědy navíc jednou nastavené heslo pro aplikace nejde zrušit, jen změnit. Platit přestane až s vypnutím celého dvoufázového ověření.
Při přihlášení přes OAuth2 Thunderbird heslo nedostane
Při ověření přes OAuth2 otevře Thunderbird výchozí prohlížeč. Uživatel se přihlásí na stránce Seznamu stejně jako na webu, včetně druhého kroku, a program pak dostane jen token, tedy oprávnění, které mu Seznam pro přístup ke schránce vydal. „Prvním klientem, který toto řešení nabízí ve výchozím nastavení, je nejnovější verze Mozilla Thunderbird 158.0,“ uvedla v oznámení produktová manažerka Email.cz Blanka Řádová.
Že jde o vestavěnou podporu, a ne o doplněk, ukazuje zdrojový kód. V souboru OAuth2Providers.sys.mjs verze 158.0 stojí Seznam vedle Googlu, Microsoftu, Yahoo, AOL, Fastmailu, Yandexu nebo Mail.ru. Zapsané má servery pro IMAP, POP3 a SMTP, pro kalendář (CalDAV) i kontakty (CardDAV), přihlašovací adresu na login.seznam.cz a návrat výsledku na místní adresu 127.0.0.1. V poznámkách k vydání verze 158.0 z 13. října 2026 Seznam zmíněný není.
Podporu dopsali za necelých devět dní
Jak se Seznam do Thunderbirdu dostal, je vidět ve veřejném hlášení 2068548 v Bugzille Mozilly. Založil ho 2. září vývojář Seznamu s tím, že firma OAuth2 pro poštu, kalendář i kontakty podporuje a chce, aby z toho měli užitek i uživatelé Thunderbirdu. Navrhoval vyzkoušet nový způsob, kdy údaje o poskytovateli dodá systémový doplněk místo zápisu natvrdo do kódu. Vývojáři Thunderbirdu nakonec Seznam do kódu zapsali, protože vzdálené aktualizace takových doplňků ještě nebyly hotové.
Cestou dvakrát narazili na tutéž chybu. Server Seznamu odmítl adresu, na kterou se má po přihlášení vrátit výsledek (Redirect uri not allowed). Thunderbird k té adrese přidává náhodně zvolený port, jak to pro aplikace v počítači popisuje RFC 8252, a Seznam s ním napoprvé nepočítal. Pokaždé to opravil do druhého dne. Při druhé opravě doplnil do odpovědi i parametr iss podle RFC 9207. Ten programu řekne, který server odpověď vydal, takže ji nejde zaměnit s odpovědí jiného serveru.
Z hlášení plyne ještě jedna věc: Thunderbird u Seznamu nemá klientské tajemství. Místo něj používá PKCE (Proof Key for Code Exchange). Program si pro každé přihlášení vytvoří jednorázový klíč a token dostane, jen když ho prokáže, takže zachycený mezikrok útočníkovi nestačí. PKCE mají podle vývojářů Seznamu automaticky zapnuté všichni klienti jejich OAuth2.
| Datum (2026) | Co se stalo |
|---|---|
| 2. září | vývojář Seznamu zakládá v Bugzille žádost o podporu OAuth2 |
| 3. září | Seznam opravuje první odmítnutou zpáteční adresu |
| 10. září | Seznam opravuje porovnání portů a doplňuje parametr iss |
| 11. září | změna jde v noci do vývojové větve Thunderbirdu, určená pro verzi 158 |
| 13. října | vychází Thunderbird 158.0 |
| 3. listopadu | Seznam novinku oznamuje na svém blogu |
Mezi vydáním programu a oznámením Seznamu tedy uběhly tři týdny.
Kde heslo pro aplikace zůstává
Z verzí Thunderbirdu má podporu 158 a novější. Verze s prodlouženou podporou (ESR) 153 Seznam v seznamu poskytovatelů nemá, takže kdo ji používá, zůstává u hesla pro aplikace. Jiný program Seznam v oznámení nejmenuje a termín pro další neslíbil.
Nápověda Seznamu ke dvoufázovému ověření o OAuth2 k 6. listopadu nepíše. Pro Outlook, Thunderbird i mobilní poštovní aplikace dál radí vytvořit heslo pro aplikace. Ověření heslem uvádí i databáze automatického nastavení, ze které si Thunderbird při zakládání účtu bere adresy serverů pro domény seznam.cz, email.cz, post.cz a spoluzaci.cz. Seznam v oznámení popisuje přihlášení „po zvolení metody ověření OAuth2“.
Přihlášení k účtu přístupovým klíčem bez hesla přidal Seznam nedávno, magazín o tom psal 9. října. Přístupový klíč umožňuje přihlásit se na webu bez zadání hesla. OAuth2 v Thunderbirdu ruší zvláštní heslo, kterým poštovní programy dvoufázové ověření obcházely.
Zdroje
- Seznam.cz: Uživatelé Seznam účtu se mohou v Thunderbirdu přihlašovat stejně bezpečně jako na webu (3. 11. 2026)
- Bugzilla Mozilly: Bug 2068548 – Add OAuth2 authentication support for Seznam.cz
- Thunderbird: změna d05f551 v zrcadle comm-central na GitHubu a OAuth2Providers.sys.mjs ve verzi 158.0
- Thunderbird: poznámky k vydání 158.0
- Nápověda Seznam Účet: Poštovní programy a CalDAV při dvoufázovém ověření
- Thunderbird: automatické nastavení pro seznam.cz
- IETF: RFC 8252 a RFC 9207
- Živě.cz: Email od Seznamu už nepotřebuje speciální hesla (4. 11. 2026)
