Gmail Sunucularına SMTP Bağlantı Hatası

Bir PHP betiği ya da WordPress eklentisi üzerinden Gmail SMTP sunucularına bağlanmaya çalışıp “Username and Password not accepted” ya da “SMTP connect() failed” hatasıyla karşılaştıysanız yalnız değilsiniz. Yıllarca işe yarayan kullanıcı adı + şifre yöntemi artık çalışmıyor; çünkü Google, hesap güvenliğini sıkılaştırmak için temel kimlik doğrulamayı (basic auth) tamamen kaldırdı. Bu rehberde hatanın asıl nedenini, 2026 itibarıyla geçerli olan doğru çözümü ve sunucu tarafında dikkat etmeniz gereken ayrıntıları, sahadan gelen gerçek örneklerle ele alıyoruz.

Önce Şunu Bilin: “Daha Az Güvenli Uygulamalar” Devri Bitti

İnternette dolaşan eski rehberlerin neredeyse tamamı sizi “Daha az güvenli uygulamalara erişimi açın” ayarına yönlendirir. Eğer bu yazıyı 2026’da okuyorsanız, o ayarı aramayın; Google bu özelliği kaldırdı.

Tarih sırasıyla ne olduğunu görmek, neden hâlâ hata aldığınızı anlamanızı kolaylaştırır:

• 30 Mayıs 2022: Kişisel Gmail hesaplarında “Daha az güvenli uygulamalara izin ver” anahtarı kaldırıldı.
• 30 Eylül 2024: Google Workspace hesapları için yalnızca şifreyle erişen üçüncü taraf uygulamalarının desteği kademeli olarak sonlandırılmaya başlandı.
• 1 Mayıs 2025: Tüm Google Workspace hesaplarında salt kullanıcı adı + şifre ile SMTP/IMAP erişimi kalıcı olarak kapatıldı.

Yani bugün smtp.gmail.com sunucusuna gerçek Gmail şifrenizle bağlanmaya çalışmak, doğru şifreyi girseniz bile başarısız olur. Google artık iki yöntemden birini bekliyor: Uygulama Şifresi (App Password) veya OAuth 2.0.

Aldığınız Hata Tam Olarak Ne Anlama Geliyor?

SMTP betikleri genelde kriptik mesajlar döndürür. En sık karşılaşılan üç hatayı çözelim:

Görüldüğü gibi hataların büyük çoğunluğu sunucuyla değil, kimlik doğrulama yöntemiyle ilgili. O yüzden çözümün kalbi de orada.

Doğru Çözüm Yöntem 1: Uygulama Şifresi (Çoğu Senaryo İçin Yeterli)

PHPMailer, WordPress (WP Mail SMTP), bir form betiği ya da basit bir bildirim sistemi kullanıyorsanız en hızlı ve sağlam çözüm Uygulama Şifresi’dir. Şu sırayla ilerleyin:

1. Adım: 2 Adımlı Doğrulamayı açın

Uygulama Şifresi seçeneği yalnızca hesabınızda 2 Adımlı Doğrulama (2FA) açıkken görünür. myaccount.google.com > Güvenlik > 2 Adımlı Doğrulama yolunu izleyip telefonunuzla veya bir kimlik doğrulayıcı uygulamayla etkinleştirin. Bu adım atlanırsa Uygulama Şifresi menüsü hiç çıkmaz.

2. Adım: 16 haneli Uygulama Şifresi üretin

Güvenlik ayarlarına geri dönün, Uygulama şifreleri bölümüne girin. Açılan kutuya betiğinizi tanımlayacak bir ad yazın (örneğin “Sunucu SMTP”) ve Oluştur‘a tıklayın. Google size 16 karakterlik bir şifre verir.

Önemli bir ayrıntı: Şifre okunabilirlik için abcd efgh ijkl mnop biçiminde boşluklu gösterilir. Betiğinize girerken boşlukları kaldırın; yani abcdefghijklmnop olarak yazın. Sahada gördüğümüz “hâlâ çalışmıyor” vakalarının çoğu bu boşluk hatasından kaynaklanır.

3. Adım: Mailer ayarlarınızı güncelleyin

Artık gerçek şifre yerine bu 16 haneli Uygulama Şifresini kullanacaksınız. Ayarlar şöyle olmalı:

PHPMailer kullanıyorsanız ilgili satırlar pratikte şuna benzer: $mail->Host = ‘smtp.gmail.com’; $mail->SMTPAuth = true; $mail->Username = ‘ornek@gmail.com’; $mail->Password = ‘uygulamasifresi’; $mail->SMTPSecure = ‘tls’; $mail->Port = 587; Bu kadar; “less secure apps” satırı diye bir şey yok, artık olmamalı.

Doğru Çözüm Yöntem 2: OAuth 2.0 (Kurumsal ve Yüksek Hacim İçin)

Uygulama Şifresi pek çok senaryoyu çözer ama kurumsal bir uygulama geliştiriyor, çok sayıda kullanıcının hesabına onlar adına bağlanıyor ya da Google Workspace ortamında en yüksek güvenlik düzeyini istiyorsanız doğru yol OAuth 2.0‘dır.

OAuth’ta şifre paylaşımı yoktur; bunun yerine üç bilgiyle erişim belirteci (token) alınır:

• Client ID ve Client Secret (Google Cloud Console’da bir OAuth uygulaması oluşturarak alınır)
• Refresh Token (bir kez yetkilendirme yapıp uzun ömürlü belirteç üretirsiniz)

PHPMailer’ın XOAUTH2 kimlik doğrulama mekanizması ve League’in Google OAuth2 sağlayıcısı bu akışı yerleşik olarak destekler. Kurulumu Uygulama Şifresine göre daha zahmetlidir; ancak güvenlik denetimleri olan ekipler veya SaaS ürünleri için doğru tercih budur. Tek bir formdan bildirim maili atan bir site için ise gereğinden fazla karmaşık kaçar; orada Uygulama Şifresinde kalın.

Bağlantı Hâlâ Kurulamıyorsa: Sunucu Tarafını Kontrol Edin

Kimlik doğrulama doğru olduğu hâlde “Connection timed out” alıyorsanız sorun Google’da değil, sizin hosting ortamınızdadır. Şu noktaları sırayla kontrol edin:

• Giden port engeli: Bazı paylaşımlı hosting sağlayıcıları, spam’i önlemek için 587 ve 465 numaralı giden SMTP portlarını varsayılan olarak kapalı tutar. Bu durumda dışarıdaki bir SMTP’ye hiç bağlanamazsınız.
• PHP soket desteği: SSL/TLS bağlantısı için sunucuda openssl uzantısının etkin olması gerekir. PHP sürüm seçicisinden bunu doğrulayabilirsiniz.
• DNS çözümleme: Sunucu smtp.gmail.com adresini çözebiliyor mu? Komut satırından basit bir bağlantı testi (örneğin telnet ile 587 portuna) çoğu zaman sorunu hemen ortaya koyar.

Alastyr hosting paketlerinde giden SMTP bağlantıları ve openssl gibi gerekli PHP uzantıları hazır gelir; bir port engeline takılırsanız 7/24 destek ekibimiz birkaç dakika içinde teyit ederek açar. İzmir’deki kendi veri merkezimizde, düşük gecikmeli ağ üzerinde çalıştığınız için bu tür harici SMTP bağlantıları da kararlı kurulur.

Gönderim Yapsanız Da Mail Karşı Tarafa Ulaşmıyorsa

Bazen bağlantı başarılı olur, betik “gönderildi” der ama mailler gelen kutusuna düşmez. Bunun klasik nedeni, mail standartlarına aykırı bir başlık kurgusudur.

En sık yapılan hata gönderici ve yanıt adreslerinin karıştırılmasıdır. Eğer betiğiniz ornek@gmail.com hesabıyla kimlik doğruluyorsa, From (gönderici) alanına başka bir adres (örneğin müşterinin adresi) yazamazsınız. Müşterinin adresini görmek istiyorsanız onu From‘a değil Reply-To (yanıt adresi) alanına yazın. Aksi hâlde Gmail bu maili sahtecilik olarak değerlendirip teslim etmeyebilir. Çoğu arayüz bu ayrımı göstermese de, arka plandaki mailer betiklerinde Reply-To alanı mutlaka bulunur.

Gmail’in Gönderim Limitleri ve Ne Zaman Profesyonel E-postaya Geçmeli?

Gmail SMTP, küçük hacimli ve kişisel kullanım için tasarlandı; bir işletmenin işlem maillerini ya da bültenlerini taşımak için değil. Limitler bunu açıkça gösteriyor:

Bu sınırların üzerine çıkan bir e-ticaret sitesi, üyelik sistemi ya da bülten gönderimi için Gmail SMTP yanlış araçtır. Limit aşıldığında gönderim durur, betikleriniz hata vermeye başlar ve hesabınız geçici olarak kısıtlanabilir.

Böyle bir senaryoda en sağlıklı yol, kendi alan adınızdan (ornek@sirketiniz.com) çalışan profesyonel bir e-posta altyapısına geçmektir. Alastyr’in kendi geliştirdiği mail altyapısı %100 KVKK uyumludur, Türkçe arayüzlüdür ve Türkiye’nin en yüksek inbox (gelen kutusuna düşme) oranlarından birine sahiptir; gelen ve giden trafikte antivirüs ve antispam taraması yapar. Kurumsal e-posta hosting hizmetiyle hem “daha az güvenli uygulama” tarzı sürekli değişen Google politikalarından kurtulur hem de markanızı yansıtan bir adresten kararlı gönderim yaparsınız.

Hızlı Kontrol Listesi

• Gerçek Gmail şifresini değil, 16 haneli Uygulama Şifresini kullandığınızdan emin olun.
• Uygulama Şifresini boşluksuz girin.
• Hesapta 2 Adımlı Doğrulamanın açık olduğunu doğrulayın.
• Port ve şifrelemeyi eşleştirin: 587 + TLS ya da 465 + SSL.
• Sunucuda giden SMTP portu açık mı, openssl etkin mi kontrol edin.
• Yüksek hacimli gönderim için Gmail yerine kurumsal e-posta hosting kullanın.

Sıkça Sorulan Sorular

Gmail SMTP için neden artık gerçek şifrem çalışmıyor?

Google, hesap güvenliğini artırmak için salt kullanıcı adı + şifre ile SMTP erişimini kaldırdı. Kişisel hesaplarda 2022’de, tüm Workspace hesaplarında ise 1 Mayıs 2025’te bu yöntem tamamen kapatıldı. Bugün doğru şifrenizi girseniz bile bağlantı reddedilir; bunun yerine Uygulama Şifresi veya OAuth 2.0 kullanmanız gerekir.

535-5.7.8 Username and Password not accepted hatasını nasıl çözerim?

Bu hata neredeyse her zaman gerçek Gmail şifresiyle bağlanmaya çalıştığınız anlamına gelir. Hesabınızda 2 Adımlı Doğrulamayı açın, 16 haneli bir Uygulama Şifresi oluşturun ve mailer betiğinizdeki şifre alanına bu kodu boşluksuz girin. Sorun büyük olasılıkla çözülecektir.

Uygulama Şifresi (App Password) nasıl oluşturulur?

Önce myaccount.google.com adresinden Güvenlik bölümüne girip 2 Adımlı Doğrulamayı etkinleştirin. Ardından aynı bölümdeki Uygulama şifreleri kısmına gidin, betiğiniz için bir ad yazın ve Oluştur’a tıklayın. Google size 16 karakterlik bir şifre verir; bunu mailer ayarlarında normal şifre yerine kullanın.

Uygulama Şifresini girerken boşlukları yazmalı mıyım?

Hayır. Google, şifreyi okunabilirlik için dört bloka ayırıp boşluklu gösterir, ama betiğe girerken tüm boşlukları kaldırmanız gerekir. Yani gösterilen abcd efgh ijkl mnop şifresini abcdefghijklmnop olarak yazın. Boşlukları bırakmak en sık yapılan hatalardan biridir.

Gmail SMTP için hangi portu ve şifreleme yöntemini kullanmalıyım?

İki geçerli kombinasyon vardır: STARTTLS için 587 portu, SSL için 465 portu. Sunucu adresi her ikisinde de smtp.gmail.com olmalıdır. Port ile şifreleme yöntemini eşleştirmemek (örneğin 465’i TLS ile kullanmak) bağlantı hatasına yol açar.

Bağlantı zaman aşımına uğruyor, kimlik bilgilerim doğru. Sorun ne olabilir?

Connection timed out hatası genellikle kimlik doğrulamayla değil, sunucunuzun Gmail’e ulaşamamasıyla ilgilidir. Hosting ortamında 587/465 giden portlarının engellenmiş olması en yaygın nedendir. Ayrıca openssl uzantısının etkin olması ve sunucunun smtp.gmail.com adresini çözebilmesi gerekir. Hosting destek ekibinizden giden SMTP portunu teyit etmesini isteyin.

OAuth 2.0 mu yoksa Uygulama Şifresi mi kullanmalıyım?

Tek bir hesaptan bildirim veya form maili atan çoğu site için Uygulama Şifresi yeterli ve çok daha basittir. OAuth 2.0 ise çok sayıda kullanıcının hesabına onlar adına bağlanan kurumsal uygulamalar, SaaS ürünleri veya en yüksek güvenlik düzeyini gerektiren ortamlar için doğru tercihtir. PHPMailer her iki yöntemi de XOAUTH2 mekanizmasıyla destekler.

Gmail SMTP ile günde kaç e-posta gönderebilirim?

Ücretsiz Gmail hesapları SMTP üzerinden günde yaklaşık 100 e-posta gönderebilir; Google Workspace hesaplarında bu sınır günde 2.000 e-postadır. Mesaj başına alıcı sınırı 100’dür. Bu limitlerin üzerine çıkan bülten veya işlem mailleri için Gmail uygun değildir; kurumsal e-posta altyapısına geçmek gerekir.

Yüksek hacimli e-posta için Gmail yerine ne kullanmalıyım?

Kendi alan adınızdan çalışan profesyonel bir e-posta hosting hizmeti en sağlıklı çözümdür. Alastyr’in KVKK uyumlu, Türkçe arayüzlü ve yüksek inbox oranlı kurumsal e-posta altyapısı; gelen ve giden antivirüs/antispam taramasıyla hem teslim oranınızı artırır hem de Google’ın sürekli değişen erişim politikalarına bağımlılığı ortadan kaldırır.