Tweestapsverificatie beschermt je online accounts met een extra controle naast je wachtwoord. Daardoor is een gestolen wachtwoord meestal niet genoeg om in te loggen. Je kunt die extra controle op verschillende manieren uitvoeren, bijvoorbeeld met een app of een beveiligingssleutel.
Het principe: iets wat je weet en iets wat je hebt
Bij tweestapsverificatie, vaak afgekort als 2FA, bevestig je je identiteit met twee verschillende soorten bewijs. Meestal is het eerste bewijs iets wat je weet: je wachtwoord. Het tweede is iets wat je hebt, zoals een telefoon met een authenticator-app of een fysieke beveiligingssleutel.
Een andere mogelijke factor is iets wat bij je hoort, zoals een vingerafdruk. Een vingerafdruk kan bijvoorbeeld worden gebruikt om een beveiligingssleutel of telefoon te ontgrendelen. Welke factoren daadwerkelijk worden gecontroleerd, hangt af van de dienst en de gebruikte methode.
De term multifactorauthenticatie, of MFA, betekent dat je minstens twee verschillende soorten bewijs gebruikt. 2FA is dus een vorm van MFA met precies twee factoren. Twee wachtwoorden achter elkaar zijn geen echte tweefactorauthenticatie: beide zijn immers iets wat je weet.
Je hoeft de tweede controle niet altijd bij iedere aanmelding te doen. Een dienst kan een apparaat tijdelijk vertrouwen en pas opnieuw om verificatie vragen als je bijvoorbeeld op een ander apparaat inlogt. Hoe dat werkt, verschilt per dienst.
Methoden voor tweestapsverificatie
Bij de beveiligingsinstellingen van een account zie je welke methoden de dienst ondersteunt. De werking verschilt, maar het doel is hetzelfde: naast je wachtwoord nog een bewijs vragen.
- Sms: je ontvangt een code op je telefoonnummer en vult die in op de inlogpagina. Dit is eenvoudig, maar afhankelijk van je mobiele verbinding en de veiligheid van je telefoonnummer.
- Authenticator-app: een app op je telefoon of ander apparaat maakt tijdelijke codes aan. Je voert de code in nadat je je wachtwoord hebt opgegeven. Voor het maken van zulke codes is doorgaans geen internetverbinding nodig.
- Pushmelding: na het invoeren van je wachtwoord verschijnt een melding in een gekoppelde app. Je bevestigt de inlogpoging op je apparaat, soms door ook een getal te vergelijken of in te voeren.
- Beveiligingssleutel: een fysieke sleutel, bijvoorbeeld via USB of draadloos, bevestigt de aanmelding. Je moet de sleutel vaak aanraken en soms ook een pincode invoeren. De dienst en je apparaat moeten de sleutel wel ondersteunen.
Een dienst kan ook andere mogelijkheden bieden, zoals een code per e-mail. Controleer dan goed hoe dat e-mailaccount zelf is beveiligd: wie toegang heeft tot je e-mail, kan mogelijk ook je verificatiecodes ontvangen.
Een passkey werkt anders dan een losse code naast een wachtwoord. Afhankelijk van de inrichting kan een passkey meerdere factoren combineren, bijvoorbeeld een geregistreerd apparaat en de ontgrendeling daarvan met een pincode of vingerafdruk. Meer achtergrond over accountbeveiliging vind je bij wachtwoorden en tweestapsverificatie.
Welke methode is het veiligst?
Een beveiligingssleutel die de identiteit van de website controleert, biedt doorgaans de sterkste bescherming tegen phishing. Daarbij probeert een aanvaller je bijvoorbeeld naar een nagemaakte inlogpagina te lokken. Een geschikte beveiligingssleutel geeft zijn bewijs niet zomaar aan zo’n verkeerde website af.
Een authenticator-app met tijdelijke codes is doorgaans veiliger dan sms. De codes zijn niet afhankelijk van je telefoonnummer, dat een aanvaller bijvoorbeeld via misbruik van een simkaart kan proberen over te nemen. Toch kan iemand je verleiden om een geldige code op een nepwebsite in te vullen en die vervolgens snel zelf gebruiken. Ook een sms-code kun je op die manier kwijtraken.
Bij pushmeldingen ligt een ander risico op de loer: een aanvaller die je wachtwoord kent, kan herhaaldelijk aanmeldverzoeken sturen in de hoop dat je er één goedkeurt. Keur daarom alleen een melding goed als je zelf net probeert in te loggen en de gegevens kloppen. Een extra controle, zoals het vergelijken van een getal, maakt een vergissing minder makkelijk.
Sms is meestal minder sterk dan de andere genoemde methoden, maar is doorgaans beter dan alleen een wachtwoord. Gebruik het als er geen geschiktere optie beschikbaar is. Welke methode je ook kiest: geef nooit een code door aan iemand die er onverwacht om vraagt en controleer waar je inlogt. Lees meer over het herkennen van phishing.
Herstelcodes en een nieuwe telefoon
Wat gebeurt er als je telefoon kapotgaat of je beveiligingssleutel zoekraakt? Veel diensten bieden herstelcodes aan. Dat zijn reservecodes waarmee je weer toegang kunt krijgen als je je normale tweede factor niet kunt gebruiken. Een code is vaak maar één keer geldig. De precieze regels verschillen per dienst.
Bewaar herstelcodes op een veilige plek die je ook kunt bereiken zonder het account dat je probeert te herstellen. Je kunt ze bijvoorbeeld op papier bewaren op een afgesloten plek. Een versleutelde digitale opslag kan ook, zolang je toegang daartoe niet afhankelijk is van dezelfde kwijtgeraakte telefoon of hetzelfde account. Behandel de codes als sleutels tot je account: deel ze niet en laat ze niet onbeveiligd rondslingeren.
Krijg je nieuwe herstelcodes, controleer dan of de oude daarmee ongeldig worden. Sommige diensten laten je ook een extra beveiligingssleutel of een andere herstelmethode registreren. Doe dat bij voorkeur voordat je je eerste middel kwijtraakt.
Ga je naar een nieuwe telefoon over, controleer dan eerst hoe je authenticator-app accounts overdraagt of herstelt. Log op de nieuwe telefoon in en test of je codes werken voordat je de oude telefoon wist of wegdoet. Bewaar je herstelcodes ook daarna: een overdracht is geen garantie dat je nooit meer een herstelmethode nodig hebt.
Voor welke accounts zet je het aan?
Zet tweestapsverificatie bij voorkeur aan voor elk belangrijk account dat het ondersteunt. Begin met accounts die toegang geven tot veel andere gegevens of diensten. Je e-mailaccount verdient extra aandacht, omdat je daarmee vaak wachtwoorden van andere accounts kunt herstellen.
Denk daarnaast aan:
- Accounts voor cloudopslag en back-ups, waar persoonlijke bestanden kunnen staan.
- Accounts voor bankzaken en andere financiële diensten.
- Je hoofdaccount voor je telefoon of computer, waarmee je apparaten en gegevens beheert.
- Sociale media, berichtenapps en andere accounts waarin iemand zich als jou kan voordoen.
- Je wachtwoordmanager, als die tweestapsverificatie ondersteunt.
Zoek bij de accountinstellingen naar beveiliging, inloggen of tweestapsverificatie. Kies een beschikbare methode, volg de aanwijzingen en sla de aangeboden herstelcodes op. Controleer daarna of je de gekozen methode en de herstelopties kunt gebruiken. Kijk ook welke andere herstelmogelijkheden actief zijn: een zwakke of verouderde hersteloptie kan de bescherming verminderen.
Tweestapsverificatie beperkt het risico, maar voorkomt niet ieder probleem. Iemand kan bijvoorbeeld misbruik maken van een apparaat waarop je al bent ingelogd. Houd je apparaten daarom bijgewerkt en vergrendeld. Vermoed je dat iemand toegang heeft gekregen tot een account, volg dan de checklist voor een gehackt account.
Veelgestelde vragen
Is tweestapsverificatie hetzelfde als MFA?
Tweestapsverificatie met twee verschillende factoren is een vorm van MFA. MFA is de bredere term voor verificatie met minstens twee verschillende factoren.
Kan ik een authenticator-app zonder internet gebruiken?
Voor tijdelijke codes uit een authenticator-app is doorgaans geen internetverbinding nodig. Voor pushmeldingen is meestal wel een verbinding nodig.
Wat doe ik als ik mijn telefoon kwijt ben?
Gebruik een herstelcode of een andere vooraf ingestelde herstelmethode. Heb je die niet, volg dan de accountherstelprocedure van de betreffende dienst.
Is tweestapsverificatie via sms veilig genoeg?
Sms is doorgaans beter dan alleen een wachtwoord, maar kwetsbaar voor onder meer misbruik van je telefoonnummer en phishing. Kies waar mogelijk een sterkere beschikbare methode.