Para que el asistente pueda leer el correo en Google Workspace y crear borradores en él, necesita acceso a través de la Gmail API. Hay dos caminos y ambos se basan en lo que la organización crea en su propio Google Cloud. draften no tiene una aplicación común a la que usted solo dé su consentimiento. Esto vale tanto para nuestro servicio como para una instalación en su propio servidor.
Contamos con Google Workspace. Las cuentas personales @gmail.com no son compatibles: con ellas no se puede iniciar sesión en draften y conectarlas requeriría que Google verificara la aplicación.
Qué camino elegir
| Para toda la organización | Con la cuenta del buzón | |
|---|---|---|
| En draften | registro (cuenta de servicio) en Organización › Integraciones | el botón Conectar Gmail del buzón |
| En Google | una cuenta de servicio con clave y domain-wide delegation | un cliente OAuth y una pantalla de consentimiento de tipo Internal |
| Quién lo crea | el administrador de Google Cloud y un superadministrador de Google Admin | el administrador de Google Cloud |
| Quién tiene que iniciar sesión | nadie | el propietario de cada buzón, una vez |
| A qué buzones llega | a todos los buzones del dominio | solo al buzón cuya cuenta inició sesión |
| Iniciar sesión en draften con una cuenta de Google | no, es un asunto aparte | el mismo cliente OAuth sirve también para iniciar sesión |
Para una organización con varios buzones es más sencillo el camino para toda la organización. Con la cuenta del buzón conviene cuando no quiere dar a una sola clave acceso a todos los buzones del dominio, o cuando de todos modos va a introducir el inicio de sesión con cuenta de Google.
Puede tener ambos caminos a la vez; cada buzón usa uno de ellos. draften solo pide el ámbito gmail.modify: leer y crear borradores; no envía nada.
Camino A: para toda la organización
En Google Cloud
Trabaja en https://console.cloud.google.com, en la organización de su dominio de Workspace.
- Elija un proyecto o cree uno nuevo (por ejemplo,
draften). - APIs & Services → Library → Gmail API → Enable.
- IAM & Admin → Service accounts → Create service account. Un nombre, por ejemplo
draften-correo. No necesita ningún rol en el proyecto: el acceso al correo se lo da la delegación en Google Admin. Haga clic en Done. - Abra la cuenta de servicio y anote su Unique ID, el Client ID numérico.
- Pestaña Keys → Add key → Create new key → JSON → Create. Se descarga un archivo con la clave.
Si Google rechaza crear la clave, su organización tiene activada la política iam.disableServiceAccountKeyCreation (las organizaciones nuevas la tienen activada de forma predeterminada). Para este proyecto la desactiva el administrador de la organización en IAM & Admin → Organization policies.
En Google Admin
Necesita un superadministrador. En https://admin.google.com abra Security → Access and data control → API controls → Manage Domain Wide Delegation → Add new. Client ID: el ID numérico del paso 4. OAuth scopes: https://www.googleapis.com/auth/gmail.modify. Haga clic en Authorize. La delegación suele aplicarse en pocos minutos y, en casos excepcionales, tarda varias horas.
En draften
- Abra Organización › Integraciones, la tarjeta Acceso al correo para toda la organización. Los registros los administran el propietario o los administradores de la organización.
- Sistema: Google Workspace. Rellene Nombre, elija el archivo descargado en Clave de la cuenta de servicio (JSON) y haga clic en Añadir registro. La clave se guarda cifrada; en la tarjeta solo se ven después el correo electrónico de la cuenta de servicio y su Client ID.
- En la página de cada buzón, en la tarjeta Acceso al correo, elija este registro en Usar, haga clic en Aplicar y después en Probar la conexión. El procedimiento con capturas lo muestra la guía «Añadir y conectar un buzón».
Después, elimine el archivo descargado con la clave. Quien lo tenga entra en cualquier buzón del dominio. Una clave nueva de la misma cuenta de servicio se sube en el registro con la opción nueva clave (JSON); la clave de otra cuenta de servicio añádala como un registro nuevo. Elimine la clave antigua en Google Cloud.
Con el buzón automático activado (Cómo inician sesión los miembros), un buzón nuevo se vincula solo al registro cuando hay exactamente uno activo para Google Workspace.
Camino B: con la cuenta del buzón (Conectar Gmail)
Aquí el propietario del buzón inicia sesión con su cuenta de Google y permite el acceso solo a su propio correo. El mismo cliente OAuth sirve también para iniciar sesión en draften con una cuenta de Google.
En Google Cloud
- Primero abra en draften Organización › Cómo inician sesión los miembros, la tarjeta Inicio de sesión con cuenta y conexión de buzones. Muestra dos redirect URI exactos para la dirección de su draften: terminan en
/auth/google/callbacky/mailboxes/connect/google/callback. Cópielos de allí; deben coincidir carácter por carácter. - En el proyecto con la Gmail API habilitada (paso 2 del camino A), abra APIs & Services → OAuth consent screen. User type: Internal: así solo puede iniciar sesión una cuenta de su dominio y Google no tiene que verificar la aplicación. Rellene el nombre de la aplicación (por ejemplo,
draften) y un correo electrónico de contacto. - En la parte de los ámbitos (Scopes / Data access), añada
openid,email,profileyhttps://www.googleapis.com/auth/gmail.modify. - APIs & Services → Credentials → Create credentials → OAuth client ID. Application type: Web application. En Authorized redirect URIs pegue las dos direcciones de la tarjeta y haga clic en Create.
- Copie el Client ID y el Client secret.
En draften
- El propietario de la organización, en la tarjeta Inicio de sesión con cuenta y conexión de buzones, rellena en Cliente OAuth de Google los valores Client ID y Client secret y hace clic en Guardar.
- El propietario del buzón abre la página del buzón y, en la tarjeta Acceso al correo, hace clic en Conectar Gmail. Inicia sesión con la cuenta de ese buzón (draften rechaza cualquier otra cuenta) y permite el acceso. El botón solo lo ve el propietario del buzón, y solo si la organización tiene el cliente OAuth.
- Después, Probar la conexión.
El inicio de sesión con cuenta de Google se activa en la misma página: en Dominios de correo de la organización escriba su dominio de Workspace, el principal, no un alias (Google no lo envía al iniciar sesión). En cuanto la organización tiene el cliente OAuth y el dominio, los miembros inician sesión con su cuenta de Google y sus contraseñas dejan de funcionar: consulte Cómo inician sesión los miembros.
Cuando un buzón se desconecta
- La cuenta se eliminó o se bloqueó, o se revocó el acceso: Google deja de emitir tokens y draften desconecta el buzón. Vuelva a conectarlo (Volver a conectar Gmail) o use el camino A.
- «El proveedor no emitió ningún token de actualización»: el propietario del buzón quita la aplicación en la configuración de su cuenta de Google (Seguridad → Aplicaciones de terceros) y vuelve a conectar el buzón.
- «Inició sesión una cuenta distinta de la dirección del buzón»: al conectar, elija la cuenta de ese mismo buzón.
Errores de la prueba de la conexión
La prueba comprueba tres pasos: Acceso, Token y permiso y Lectura de la Bandeja de entrada.
| En el mensaje | Qué significa | Qué hacer |
|---|---|---|
la delegación para el ámbito no está autorizada (unauthorized_client) | en Google Admin falta la domain-wide delegation, o tiene otro Client ID u otro ámbito | revisar la delegación en Google Admin: el ID numérico y el ámbito exacto gmail.modify |
invalid_grant con la cuenta de servicio | ese buzón no existe en el dominio de Workspace | comprobar la dirección del buzón |
| «Gmail API has not been used…» | la Gmail API no está habilitada en el proyecto | habilitar la Gmail API (paso 2) |
token sin gmail.modify | la delegación o la pantalla de consentimiento no tiene el ámbito gmail.modify | añadir el ámbito |
invalid_grant, deleted_client con una cuenta conectada | la conexión se revocó o se eliminó el cliente OAuth | Volver a conectar Gmail |
Otros errores se describen en Solución de problemas.