認証

ターミナルで openemail login を実行すると、どちらを使うか尋ねられます。どちらの場合もサインインはプロファイルとして保存され、以降のコマンドはアクティブなプロファイルを使います。

• —ai compose、ai summarize、MCP コマンドを使えるのはブラウザでのサインインだけです。
• —ブラウザでのサインインは、選んだ承認の期限が切れるか、サインアウトするまで有効です。キーは取り消されるまで使えます。

1. 1openemail login はこのサインイン用に OpenEmail CLI on <your computer> という名前の新しいアプリを登録し、ブラウザで OpenEmail の承認ページを開きます。ブラウザが開かない場合は、表示されたリンクを使ってください。
2. 2必要ならサインインし、ワークスペース、CLI に与えるアクセス権（読み取り、読み取りと送信、フル、または独自の権限の組み合わせ）、届くドメインやアドレス、承認の有効期間を選びます。
3. 3承認します。ブラウザが承認を自動でターミナルに返すので、タブは閉じてかまいません。CLI は、誰としてサインインしたか、ワークスペース、承認の期限を表示します。

openemail loginopenemail login --scopes emails:send,threads:readopenemail login --profile work

• —CLI は承認を 10 分間待ちます。承認ページで「今はしない」を選ぶとサインインは取り消され、終了コードは 10 になります。
• —--scopes は承認ページで権限をあらかじめ選択します。そこで変更することもできます。
• —プロファイルにすでにサインインがある場合、ターミナルでは置き換える前に確認します。無人実行では、--force か --yes を渡さない限り拒否します。ブラウザでのサインインを置き換えると、古いものは取り消されます。

内部では MCP サーバーと同じ OAuth フローを使います。PKCE を使う公開クライアント、使い捨てのコード、1 時間有効で自動的に更新されるアクセストークンです。ブラウザはランダムなポートの 127.0.0.1 に戻り、そこではこのサインインのコードだけが受け付けられます。

このマシンでブラウザを開けない場合、CLI は代わりにリンクを表示します。SSH 経由、CI、ディスプレイのない Linux、または --no-browser を渡したときです。任意のデバイスのブラウザでリンクを開いて承認すると、ページにサインインコードが表示されるので、それをターミナルに貼り付けます。

$ openemail login --no-browserOpen this link in a browser on any device to sign in:  https://api.openemail.uk/auth/mcp/authorize?response_type=code&client_id=…Paste the code from your browser

• —コードはリンクを表示したサインインでしか使えないため、別のタブのコードは拒否されます。
• —ブラウザが最後にたどり着いたアドレス全体を貼り付けても使えます。
• —ターミナルがない場合は、コードを stdin から渡します。

API キーを使うと、スクリプトはブラウザなしでサインインでき、コードを求められることはありません。設定 → API キー（openemail open api-keys）で、スクリプトに必要なスコープだけを持つキーを作成してください。CLI は保存する前に GET /keys/self でキーを確認し、oe_live_ と oe_test_ のキーを受け付けます。テストキーで送ったメールは配信されません。

openemail login --with-token < ~/.config/openemail/keyecho "$OPENEMAIL_KEY" | openemail login --with-token --profile ciopenemail login --token oe_live_…

--token も使えますが、キーがシェルの履歴に残るため、CLI は警告して --with-token を勧めます。キーを保存せずに使う方法は 2 つあります：

• —環境変数の OPENEMAIL_API_KEY は、それが見えるすべてのコマンドで、保存済みのどのプロファイルよりも優先して使われます。
• —--api-key <key> はそのコマンド 1 回だけに使われます。

認証情報が複数ある場合は、次のうち最初のものが使われます：--api-key、OPENEMAIL_API_KEY、--profile で指定したプロファイル、OPENEMAIL_PROFILE で指定したプロファイル、そしてアクティブなプロファイル。

プロファイルは、どちらかの種類の保存済みサインインです。最初のものは default という名前です。--profile で追加のサインインを行い、切り替えて使います：

openemail login --profile workopenemail profile listopenemail profile use workopenemail inbox --profile defaultOPENEMAIL_PROFILE=work openemail statusopenemail profile currentopenemail profile remove work

• —profile list は各プロファイルを種類、ワークスペース、ユーザーまたはキーとともに表示し、アクティブなものに印を付けます。その JSON にトークンやキーが含まれることはありません。
• —profile current は stdout に名前だけを出力するので、スクリプトで $(openemail profile current) が使えます。
• —profile remove <name> は openemail logout --profile <name> と同じです。
• —プロファイル名は、英字、数字、ドット、ハイフン、アンダースコアで最大 64 文字です。
• —profile use は profile switch とも書けます。アクティブなプロファイルを削除するかサインアウトすると、アクティブなプロファイルはなくなり、サインインが必要な次のコマンドは openemail profile use <name> を案内します。

保存されたプロファイルは、サインインした API を覚えていて、その認証情報はそこにしか送られません。別のオリジンを指定する --base-url や OPENEMAIL_BASE_URL は、何も送らないうちに終了コード 2 でコマンドを止め、そのオリジンに別のプロファイルでサインインする方法を示します。

openemail login --profile other --base-url https://api.example.comopenemail inbox --profile other

• —OPENEMAIL_API_KEY や --api-key のキーは保存されたプロファイルではないため、--base-url か OPENEMAIL_BASE_URL のオリジンへ、どちらも設定されていなければ https://api.openemail.uk へ送られます。
• —認証情報を送らないコマンドは、どのプロファイルがアクティブでも --base-url と OPENEMAIL_BASE_URL に従います。使い捨て受信トレイ、キーの不要なメソッド、docs、open です。
• —暗号化されていない http は、localhost、127.0.0.1、::1 以外のすべてのオリジンで終了コード 2 で拒否されます。対象は API、Web アプリ、サインイン、トークン、取り消しのリクエスト、そして MCP サーバーです。それ以外には https を使ってください。
• —openemail api //example.com/x のように API のオリジンの外に出てしまうリクエストパスは、何も送らないうちに終了コード 2 と invalid_path で止まります。

ブラウザでのサインインはあなたとして動作しますが、どのアクセス権を選んでもアプリには決して承認されないものがあります：

• —API キーの管理。keys:write と keys:manage は決して付与されないため、キーの作成、ローテーション、取り消しには keys:manage を持つ API キーか Web アプリが必要です。openemail me rotate は呼び出しに使っているキーをローテーションするので、API キーが必要です。
• —請求とワークスペースそのもの。プラン、請求書、ワークスペースの作成、切り替え、削除は Web アプリで行います。
• —無料アドレス。アプリはビジネスワークスペースに対して承認され、無料アドレスを持つ個人ワークスペースは選択肢に出ません。API と同じルールです。
• —メンバーとロール。承認がワークスペース全体を対象にしていない限り使えません。一部のドメインやアドレスに限定した承認からは members:write と roles:write が外されます。

API キーにも独自の制限があります。ai compose、ai summarize、そして config 以外のすべての openemail mcp コマンドは、ブラウザでのサインインが必要な MCP サーバーを経由するため、キーでは終了コード 4 で停止し、理由を表示します。

ブラウザでサインインしている場合、いくつかの変更は Web アプリと同じように、まず確認コードを求めます。CLI は必要なときに尋ねます。6 桁のコードをメールで送るか、2 段階サインインが有効な場合は認証アプリのコードかバックアップコードを求めます。コードが正しければコマンドが実行され、そのサインインは 60 分間再び求められません。API キーが求められることはありません。

$ openemail webhooks create --url https://acme.com/hooks/openemailWe emailed a code to a•••@acme.com.Verification code: 482913Verified. You will not be asked again for 60 minutes.

• —プロンプトで r と入力すると、メールがもう一度送られます。間違ったコードでは、残りの試行回数が表示されます。
• —コードが受け付けられると、コマンドはもう一度だけ実行されます。2 回実行されることはありません。
• —--yes は削除を確認しますが、コードを省略することはありません。
• —無人実行（--json や --no-input、CI、ターミナルなし）ではコードを入力できる人がいないため、コマンドは終了コード 4 で停止し、何も変更しません。
• —コードは 5 回まで試せ、5 回誤ると CLI が新しいコードを提案します。各サインインは 1 時間に 5 個、1 日に 20 個までコードを求められます。
• —1 つのサインインで 24 時間以内に 10 回誤ったコードを入れると、その確認は一時停止されます。CLI はいつ再開するかを示し、別のコードを提案せずに終了コード 4 と step_up_paused で止まります。それを説明するメールにはアプリ名が記されます。

スクリプトや AI クライアントが重要な操作を行う前に openemail verify を実行してください。今すぐコードを求め、以後 60 分間はそのプロファイルのすべてのコマンドがコードなしで実行されます。openemail mcp call とローカルの MCP ブリッジも含みます。

openemail verifyopenemail verify --statusopenemail verify --status --jsonopenemail verify --force

• —ブラウザでのサインインのアクセストークンは 1 時間有効です。CLI は期限切れの前に更新して新しいものを保存するので、気付くことはありません。
• —各リフレッシュトークンは 1 回しか使えません。CLI が置き換えてから 30 秒を超えて古いトークンが使われると、たとえば別のマシンにコピーした config.json から使われると、サーバーはそのサインインを完全に取り消します。ファイルをコピーせず、マシンごとにサインインしてください。
• —承認は、承認ページで選んだ期間だけ有効です。期限が切れるか、アカウント → 接続済みアプリでアプリが削除されると、CLI はあなたとして動作できなくなり、もう一度 openemail login を実行するよう求めます。
• —openemail logout はブラウザでのサインインをサーバー側で取り消して接続済みアプリから削除し、その後このデバイスから消去します。サーバーに接続できなくても消去します。--all はすべてのプロファイルからサインアウトします。
• —API キーからのサインアウトは、ここで忘れるだけです。キーは openemail keys revoke <id> か Web アプリで取り消すまで使えます。

すべて ~/.openemail、または OPENEMAIL_CONFIG_DIR が指すフォルダーに保存されます。フォルダーはあなただけが読め（0700）、中のファイルもすべて同様です（0600）。各ファイルは一時ファイルに書き込んでから名前を変えて置き換えるので、クラッシュしても中途半端なファイルが残ることはありません。また、すべての変更はロックファイルの下で行われるため、並行して動くコマンドがプロファイルを失うことはありません。