Un session IMAP peut se trouver dans quatre états différents. La plupart des commandes sont valides seulement dans certains états. Un client qui tente d'exécuter une commande qui n'est pas valide dans l'état actuel commet une erreur de protocole. Dans une telle situation, le serveur répondra par BAD ou NO (suivant l'implémentation).

1 Etat non-authentifié (non-authentificated)


Dans l'état non-authentifié, le client doit fournir une authentification correcte avant que la plupart des commandes ne soient permises. Le serveur entre dans cet état lorsqu'une connexion qui n'a pas été pré-authentifiée commence.

2 Etat authentifié (authentificated)


Dans l'état authentifié, le client est authentifié et doit sélectionner une boîte aux lettres à laquelle accéder avant que les commandes opérant sur les messages soient autorisées. Le serveur entre dans cet état lorsqu'une connexion pré-authentifiée est ouverte, lorsqu'une authentification correcte a été fournie ou encore lorsqu'une erreur s'est produite lors de la sélection de la boîte aux lettres.

3 Etat sélectionné (selected)


Dans l'état sélectionné, une boîte aux lettres a laquelle accéder a été sélectionnée. Le serveur entre dans cet état lorsqu'une boîte aux lettres a été correctement sélectionnée.

4 Etat déconnexion (logout)


Dans l'état déconnexion, la connexion se termine et le serveur ferme cette connexion. Le serveur entre dans cet état suite à une requête d'un client ou suite à une décision unilatérale.