Tweestapsverificatie is een van de goedkoopste en meest effectieve maatregelen tegen het overnemen van uw website, domein of mail, maar u hoeft niet alles tegelijk te doen.
Kort antwoord
Met tweestapsverificatie (ook wel 2FA of meervoudige verificatie) heeft een inbreker naast uw wachtwoord ook iets nodig wat alleen u heeft, meestal een code op uw telefoon. Begin met de accounts waarmee iemand de meeste schade kan doen: uw e-mail, uw domeinregistrar, uw hostingaccount en het beheer van uw website. Gebruik bij voorkeur een authenticator-app in plaats van sms, en bewaar de herstelcodes op een veilige plek.
Waarom het zoveel uitmaakt
Wachtwoorden lekken op allerlei manieren: door een datalek bij een andere dienst waar u hetzelfde wachtwoord gebruikte, door een nepmail die op een inlogpagina lijkt, of door een besmette computer. Met alleen een wachtwoord kan een aanvaller dan direct inloggen. Met tweestapsverificatie staat hij voor een tweede deur.
Het beschermt niet tegen alles. Bij geavanceerde phishing kan iemand ook de code onderscheppen. Maar het maakt het verschil tussen een makkelijk en een moeilijk doelwit, en de meeste aanvallen zijn op makkelijke doelwitten gericht.
De volgorde die ik aanraad
Uw zakelijke e-mail. Wie uw mail heeft, kan van bijna elk ander account het wachtwoord resetten. Dit is de sleutel van alles.
Uw domeinregistrar. Wie hier binnenkomt, kan uw domein verhuizen of de DNS omzetten. Dan zijn uw website en mail in één keer weg.
Uw hostingaccount en configuratiescherm. Hier staan de bestanden, databases en mailboxen.
Het beheer van uw website, zoals WordPress. Voor WordPress zijn betrouwbare plugins beschikbaar voor tweestapsverificatie. Zet het minimaal aan voor alle beheerders.
Diensten die aan uw site gekoppeld zijn: betaalprovider, Google-account met Search Console en bedrijfsprofiel, boekhoudpakket.
Uw wachtwoordmanager, als u die gebruikt.
Welke vorm van tweestapsverificatie?
Authenticator-app (zoals Microsoft Authenticator of Google Authenticator): een app die elke 30 seconden een nieuwe code maakt. Goede standaardkeuze.
Passkey of beveiligingssleutel: inloggen met uw vingerafdruk, gezicht of een fysieke sleutel. Het veiligst en bestand tegen phishing, maar nog niet overal beschikbaar.
Pushmelding: u keurt een inlog goed op uw telefoon. Handig, maar keur nooit een melding goed die u zelf niet verwachtte.
Sms-code: beter dan niets, maar het minst sterk. Sms'jes kunnen worden onderschept of een nummer kan worden overgezet.
Voorkom dat u zichzelf buitensluit
De grootste angst bij tweestapsverificatie is uw telefoon kwijtraken. Daarom:
bewaar de herstelcodes die u bij het instellen krijgt, op papier of in een wachtwoordmanager, niet alleen op dezelfde telefoon
gebruik een authenticator-app die een versleutelde back-up kan maken, of stel twee methoden in
zorg bij een bedrijf dat minstens twee mensen beheerrechten hebben op kritieke accounts, elk met eigen inloggegevens
noteer bij welke accounts u het heeft aangezet
Wat u met het team regelt
Werkt u met meerdere mensen, laat dan niet één gedeeld wachtwoord rondgaan waar één telefoon aan hangt. Geef ieder een eigen account met eigen tweestapsverificatie. In Microsoft 365 en Google Workspace kunt u het voor alle gebruikers verplicht stellen. Als iemand vertrekt, zet u alleen dat ene account uit.
Veelgestelde vragen
Moet ik elke keer een code invullen?
Meestal niet. Op een vertrouwd apparaat onthouden de meeste diensten dat u bent ingelogd, en vragen ze pas opnieuw na een tijd of op een nieuw apparaat.
Wat als mijn registrar of hoster geen tweestapsverificatie aanbiedt?
Gebruik dan in ieder geval een lang, uniek wachtwoord en een e-mailadres dat zelf goed beveiligd is. Overweeg op termijn een overstap; bij een domein is het een belangrijke beveiliging.
Is tweestapsverificatie ook nodig voor een kleine website?
Ja. Aanvallers zoeken automatisch, niet op grootte. Een kleine site wordt net zo goed geprobeerd.
Hulp nodig?
Wilt u tweestapsverificatie laten instellen voor uw team of Microsoft 365? Kijk bij Microsoft 365-support, of bij IT-support voor de rest van uw accounts.
