Cấu hình SMTP Gmail cho website gửi mail
Hướng dẫn Công cụ & ứng dụng · cập nhật 28/08/2026
Để cấu hình SMTP Gmail cho website, bạn bật xác minh 2 bước cho tài khoản Google, tạo một mật khẩu ứng dụng 16 ký tự, rồi khai máy chủ smtp.gmail.com cổng 587 vào phần gửi mail của website. Toàn bộ mất khoảng 10 phút.
Việc này cần làm khi website gửi mail liên hệ hoặc mail đơn hàng nhưng thư không tới nơi, hoặc rơi thẳng vào hộp spam. Nguyên nhân thường là hàm mail() của PHP gửi thẳng từ máy chủ hosting mà không qua bước xác thực, nên phía nhận không tin thư đó.
- Bật xác minh 2 bước cho tài khoản Google sẽ dùng để gửi.
- Tạo mật khẩu ứng dụng riêng cho website.
- Khai thông số máy chủ SMTP vào website hoặc plugin gửi mail.
- Gửi thư thử và đọc log để xác nhận đã đi đúng đường.
Đã kiểm trên giao diện Google Account tháng 11/2024. Google đổi bố cục trang bảo mật vài lần mỗi năm, nên nếu ảnh không khớp thì gõ thẳng "Mật khẩu ứng dụng" vào ô tìm kiếm trong tài khoản.
SMTP Gmail và hàm mail của PHP khác nhau chỗ nào
Hàm mail() của PHP đẩy thư ra từ chính máy chủ hosting, không đăng nhập vào hộp thư nào cả. Gmail hay Outlook nhận được thư đó thì không có gì để đối chiếu người gửi, nên xếp vào spam hoặc chặn thẳng. Gửi qua SMTP Gmail thì thư đi từ hạ tầng của Google, đã ký sẵn DKIM và có bản ghi SPF hợp lệ.
Khác biệt này thấy rõ nhất khi hosting dùng chung IP với nhiều website khác. Chỉ cần một website cùng IP phát tán thư rác là cả dải IP vào danh sách đen, thư của bạn đi chung số phận dù bạn không làm gì sai.
| Tiêu chí | Hàm mail() của PHP | SMTP Gmail |
|---|---|---|
| Xác thực người gửi | Không có | Đăng nhập bằng mật khẩu ứng dụng |
| Chữ ký DKIM | Phải tự cấu hình trên máy chủ | Google ký sẵn |
| IP gửi | IP hosting, dùng chung | Hạ tầng Google |
| Giới hạn mỗi ngày | Theo quy định nhà cung cấp hosting | 500 thư với Gmail thường, 2.000 với Workspace |
| Truy vết khi thư không tới | Chỉ có log của máy chủ | Có bản sao trong mục Thư đã gửi |
Thông số máy chủ SMTP Gmail cần khai vào website
Google cấp hai cổng cho SMTP, khác nhau ở kiểu mã hoá. Cổng 587 dùng STARTTLS, tức kết nối mở dạng thường rồi nâng lên mã hoá. Cổng 465 mã hoá ngay từ đầu bằng SSL. Cả hai đều dùng được, chọn 587 nếu phần khai báo của website có mục TLS.
| Trường | Giá trị |
|---|---|
| SMTP Server | smtp.gmail.com |
| SMTP Port | 587 (TLS) hoặc 465 (SSL) |
| Mã hoá | Bắt buộc, không để None |
| SMTP Username | Địa chỉ Gmail đầy đủ, gồm cả phần sau dấu @ |
| SMTP Password | Mật khẩu ứng dụng 16 ký tự, không phải mật khẩu đăng nhập |
| From Email | Trùng với SMTP Username |
Ô From Email phải trùng địa chỉ đăng nhập. Khai địa chỉ khác thì Google vẫn nhận thư nhưng ghi đè lại người gửi, và phía nhận thấy dòng "sent on behalf of" đứng cạnh tên bạn.
Các bước lấy mật khẩu ứng dụng và cấu hình SMTP Gmail
Bốn bước dưới đây làm trên máy tính, một nửa trong tài khoản Google và một nửa trong trang quản trị website. Bạn cần quyền đăng nhập tài khoản Google sẽ dùng để gửi, và quyền quản trị website.
1. Bật xác minh 2 bước cho tài khoản Google
Vào trang quản lý tài khoản Google, chọn thẻ Bảo mật. Tìm mục Xác minh 2 bước, nếu đang tắt thì bật lên và làm theo hướng dẫn xác nhận số điện thoại.
Bước này bắt buộc. Từ tháng 5/2022 Google đã ngắt hẳn tuỳ chọn "Ứng dụng kém an toàn", nên đường duy nhất còn lại để website đăng nhập SMTP là mật khẩu ứng dụng, mà mật khẩu ứng dụng chỉ tồn tại khi tài khoản đã bật xác minh 2 bước.
2. Tạo mật khẩu ứng dụng
Gõ Mật khẩu ứng dụng vào ô tìm kiếm ngay trên đầu trang tài khoản rồi chọn kết quả đầu tiên. Đây là đường vào nhanh nhất, vì mục này nằm sâu và Google hay đổi chỗ.
Ở ô App name, đặt tên gợi nhớ website đang cấu hình, ví dụ tên miền của bạn. Tên này chỉ để bạn phân biệt sau này, khi cần thu hồi thì biết đúng cái nào.
3. Lưu lại chuỗi 16 ký tự
Bấm Tạo. Google hiện một chuỗi 16 chữ cái chia thành bốn nhóm. Chép lại ngay, vì đóng cửa sổ đó rồi thì không xem lại được nữa, chỉ còn cách xoá đi tạo cái mới.
Khi dán vào ô mật khẩu của website, bỏ hết khoảng trắng giữa các nhóm. Google hiện ra có dấu cách cho dễ đọc, nhưng giá trị thật là 16 ký tự liền nhau.
4. Khai thông số vào website
Điền bộ thông số ở bảng trên vào phần cấu hình gửi mail. Với WordPress thì phần này nằm trong plugin gửi thư qua SMTP. Với mã nguồn tự viết, thường là file cấu hình của thư viện PHPMailer hoặc SwiftMailer.
Lưu lại rồi bấm nút gửi thư thử của chính plugin đó. Đừng dùng form liên hệ ngoài trang để thử ở lần đầu, vì form còn phụ thuộc thêm reCAPTCHA và bộ lọc riêng, hỏng chỗ nào cũng ra cùng một kết quả là không nhận được thư.
Cách kiểm tra thư đã gửi qua SMTP Gmail hay chưa
Dấu hiệu chắc chắn nhất nằm ở mục Thư đã gửi trong chính hộp Gmail đó. Thư đi qua SMTP Gmail đều để lại bản sao ở đây. Không thấy bản sao nghĩa là website chưa hề kết nối tới Google, dù trang quản trị báo gửi thành công.
Kiểm sâu hơn thì mở thư nhận được, chọn Hiển thị bản gốc. Ba dòng cần nhìn:
spf=passnghĩa là IP gửi nằm trong danh sách được phép của tên miền.dkim=passnghĩa là chữ ký số còn nguyên vẹn.- Dòng
Received: fromđầu tiên phải chứa tên máy chủ của Google, không phải tên máy chủ hosting.
Nếu bạn chưa rõ hai bản ghi này, đọc thêm bài SPF record là gì và DKIM là gì trước khi đọc kết quả.
Xử lý các lỗi thường gặp khi gửi mail qua SMTP Gmail
Bốn thông báo dưới đây chiếm phần lớn ca cấu hình hỏng. Thư viện gửi mail thường in nguyên văn phản hồi của Google, nên nhìn dòng lỗi là biết rơi vào ca nào.
Username and Password not accepted. Bạn đang điền mật khẩu đăng nhập Gmail thay vì mật khẩu ứng dụng, hoặc còn sót khoảng trắng khi chép chuỗi 16 ký tự. Tạo lại một mật khẩu ứng dụng mới rồi dán không dấu cách.
Connection timed out khi kết nối cổng 587. Nhà cung cấp hosting chặn cổng SMTP đi ra để phòng thư rác. Thử chuyển sang 465, còn nếu vẫn tắc thì gửi yêu cầu mở cổng cho nhà cung cấp. Máy chủ tại BizMaC mở sẵn cả hai cổng cho gói hosting.
Daily sending quota exceeded. Tài khoản đã chạm hạn mức trong 24 giờ. Gmail miễn phí cho 500 thư, Google Workspace cho 2.000. Hạn mức tự mở lại sau 24 giờ tính từ thư đầu tiên vượt ngưỡng.
Thư gửi được nhưng người nhận thấy tên người gửi lạ. Ô From Email khai khác địa chỉ đăng nhập SMTP. Sửa hai ô cho trùng nhau, hoặc thêm địa chỉ kia vào mục "Gửi thư bằng địa chỉ khác" trong cài đặt Gmail rồi xác nhận qua thư kích hoạt.
Câu hỏi thường gặp
Mật khẩu ứng dụng có hết hạn không?
Không có thời hạn. Nó chỉ mất hiệu lực khi bạn tự xoá trong danh sách, khi đổi mật khẩu chính của tài khoản, hoặc khi tắt xác minh 2 bước. Đổi mật khẩu Gmail xong thì website ngừng gửi được, phải tạo chuỗi mới.
Dùng Gmail cá nhân hay Google Workspace cho website?
Workspace hơn ở hai điểm: hạn mức 2.000 thư mỗi ngày thay vì 500, và địa chỉ gửi mang tên miền riêng nên người nhận nhìn chuyên nghiệp hơn. Website nhỏ ít thư liên hệ thì Gmail cá nhân đủ dùng.
Một mật khẩu ứng dụng dùng cho nhiều website được không?
Được, nhưng không nên. Khi cần thu hồi quyền của một website, bạn sẽ phải khai lại toàn bộ những website còn lại. Mỗi site một chuỗi riêng thì gỡ chỗ nào chỉ ảnh hưởng chỗ đó.
Vì sao thư vẫn vào spam dù đã gửi qua SMTP Gmail?
SMTP Gmail giải quyết phần xác thực người gửi, không giải quyết phần nội dung. Thư có nhiều link rút gọn, dòng tiêu đề viết hoa toàn bộ, hoặc chỉ có một ảnh không kèm chữ thì vẫn bị lọc. Ngoài ra tên miền mới chưa có lịch sử gửi cũng dễ bị nghi ngờ trong vài tuần đầu.
Việc nên làm sau khi thư đã gửi được
Ghi lại tên mật khẩu ứng dụng đã đặt và website tương ứng vào nơi lưu mật khẩu của bạn. Sáu tháng sau nhìn danh sách toàn tên lạ thì không ai dám xoá cái nào, và tài khoản tích tụ hàng chục chuỗi không rõ đang phục vụ cái gì.
Nếu website gửi nhiều hơn vài trăm thư mỗi ngày, hoặc gửi thư quảng bá tới danh sách khách hàng, thì SMTP Gmail không còn hợp. Hạn mức 500 hay 2.000 thư chặn cứng, và Google có thể khoá tạm tài khoản khi thấy lưu lượng bất thường. Khi tới ngưỡng đó, chuyển sang dịch vụ email theo tên miền có hạn mức riêng là hướng đi bền hơn.