Wachtwoordmanager en passkeys: zo regel je je inloggen veilig
Elk account heeft een eigen, lang wachtwoord nodig. Gebruik je hetzelfde wachtwoord op meer plekken, dan zijn ze allemaal open zodra er één lekt. Niemand onthoudt tachtig verschillende wachtwoorden. Een wachtwoordmanager doet dat voor je. Waar het kan, vervang je het wachtwoord door een passkey, die nepsites niet kunnen misbruiken.
Wat een wachtwoordmanager doet
- Hij maakt voor elke dienst een lang, willekeurig wachtwoord: minstens 15 tekens, of een wachtwoordzin van vijf of zes willekeurige woorden.
- Hij bewaart alles versleuteld in een kluis.
- Hij vult het wachtwoord in op de juiste website, en alleen daar.
- Vaak waarschuwt hij voor dubbele of gelekte wachtwoorden, en kan hij ook codes voor tweestapsverificatie en passkeys bewaren.
Jij onthoudt er nog maar één: het hoofdwachtwoord van de kluis.
Soorten
| Soort | Voordeel | Let op |
|---|---|---|
| Ingebouwd in je browser of telefoon | Al aanwezig en makkelijk | Vaak geen apart hoofdwachtwoord: wie in je computer komt, komt bij je wachtwoorden. Minder geschikt voor verschillende systemen en voor delen. |
| Losse app met synchronisatie via de leverancier | Werkt op al je apparaten, met gedeelde kluizen voor een team | Je vertrouwt de leverancier; je hoofdwachtwoord moet sterk zijn |
| Lokaal kluisbestand op je eigen computer | Alles in eigen hand | Zelf zorgen voor back-up en synchronisatie; delen is lastiger |
Bekende voorbeelden zijn Bitwarden, 1Password, KeePassXC en Proton Pass, naast de managers in browsers en telefoons. Dat is geen aanbeveling. Let bij het kiezen op: werkt hij op al je apparaten, kun je kluizen delen en iemand er weer uithalen, kun je de kluis met tweestapsverificatie beveiligen, is er noodtoegang, en kun je je gegevens exporteren als je wilt overstappen?
Het hoofdwachtwoord
- Maak er een wachtwoordzin van vijf of zes willekeurige woorden van, gekozen door de generator en niet door jezelf. Een songtekst of spreekwoord is te raden.
- Gebruik het nergens anders en typ het alleen in de app of extensie van de manager zelf.
- Zet tweestapsverificatie aan op de kluis. Dat is geen reden voor een korter hoofdwachtwoord: wordt de leverancier gehackt, dan is je hoofdwachtwoord de enige bescherming van je gestolen kluis.
- Vergeten is vaak definitief, want de leverancier kan het niet terughalen. Schrijf het op papier, zonder erbij te zetten waarvoor het is, en bewaar het thuis op een veilige plek, samen met de herstelcode van je manager.
- Zet automatisch vergrendelen aan na een paar minuten stilstand.
rn en m wel. Zie Phishing herkennen: zo lees je een link en een afzender.Delen in een team en noodtoegang
- Geef liever iedereen een eigen account. Moet je toch een inlog delen, gebruik dan een gedeelde kluis per onderwerp en geef alleen toegang aan wie het nodig heeft. Deel nooit via mail, chat of een spreadsheet.
- Vertrekt iemand, haal hem dan uit de kluis en wijzig de wachtwoorden die hij kon zien.
- Regel noodtoegang voor als jij wegvalt: veel managers laten een vertrouwd persoon na een wachttijd binnen. Of bewaar de herstelgegevens in een verzegelde envelop bij een tweede persoon.
Passkeys en beveiligingssleutels
Een passkey vervangt het wachtwoord. Het is een sleutelpaar: het geheime deel blijft op je apparaat of in je wachtwoordmanager, de website bewaart alleen het openbare deel. Je ontgrendelt de passkey met je vingerafdruk, gezicht of pincode; dat gebeurt op je eigen apparaat.
- Werkt niet op een nepsite. Een passkey hoort bij het echte domein, en dat controleert je browser. Op een lookalike is er geen passkey, dus niets om per ongeluk in te vullen of goed te keuren.
- Niets te kraken. Lekt de website, dan heeft de aanvaller alleen openbare sleutels.
- Een beveiligingssleutel is een klein apparaatje voor de usb-poort of om tegen je telefoon te houden, met passkeys die er niet af kunnen. Registreer altijd minstens twee sleutels en bewaar de reservesleutel op een andere plek.
- Staat je passkey in een wachtwoordmanager of in het account van je telefoon, dan gaat hij mee naar je andere apparaten. Bescherm dat account dan extra goed.
- Vaak blijft je wachtwoord ook gewoon werken. Houd dat dus lang en uniek.
Bij WebOké
| Dienst | Wat kan er? |
|---|---|
| Nextcloud | Inloggen met een passkey of beveiligingssleutel kan, bij Inloggen zonder wachtwoord. Je wachtwoord en je andere methoden blijven werken. Voor apps maak je een app-wachtwoord; bewaar dat ook in je manager. Zie Een authenticator-app instellen en back-upcodes bewaren. |
| Mijn WebOké | Geen passkeys. Na je wachtwoord vraagt Mijn WebOké altijd een inlogcode per e-mail (De inlogcode per e-mail), of een code uit een authenticator-app. Er zijn geen herstelcodes: ben je de app kwijt, neem dan contact met ons op. |
| DirectAdmin | Twee-Staps Authenticatie met een authenticator-app en back-upcodes, zie Twee-Staps Authenticatie instellen. |
| Mailboxen | Een mailprogramma logt in met het wachtwoord. Geef elke mailbox een eigen, lang wachtwoord uit je manager. |
Meer over sterke wachtwoorden lees je in Veilige wachtwoorden en wat je doet bij een gelekt wachtwoord, en bij het NCSC in Hoe kies ik een wachtwoordmanager? en Hoe kies je een MFA methode?