Je hoofdwachtwoord: maken, bewaren en nooit kwijtraken

Je hoofdwachtwoord is de sleutel van je hele kluis. Bij Proton Pass en 1Password wordt je kluis op je eigen apparaat versleuteld. De maker kent je wachtwoord niet en kan het dus ook niet voor je terugzetten zoals bij een gewone website. Vergeet je het en heb je niets geregeld, dan ben je je wachtwoorden in het ergste geval allemaal kwijt.

Welk wachtwoord is je hoofdwachtwoord?

• Proton Pass: het wachtwoord van je Proton-account. Je kunt daarnaast een extra wachtwoord alleen voor Pass instellen (zie Proton Pass beveiligen: tweestapsaanmelding, extra wachtwoord en vergrendelen).
• 1Password: je 1Password-accountwachtwoord. Daarbij hoort een geheime sleutel (Secret Key) van 34 tekens die 1Password voor je maakt. Die sleutel hoef je niet te onthouden, maar je moet hem wel bewaren (zie Een 1Password-account maken op 1password.eu).

Zo maak je een goed hoofdwachtwoord

1. Maak een wachtwoordzin van vijf of zes willekeurige woorden, bijvoorbeeld bureau-zomer-kabel-tulp-oven-plein. Gebruik dit voorbeeld niet zelf.
2. Laat de woorden kiezen door een generator (zie Sterke wachtwoorden en wachtwoordzinnen genereren), niet door jezelf. Een zin uit een liedje, een spreekwoord of de namen van je kinderen zijn te raden.
3. Gebruik dit wachtwoord nergens anders. Ook niet een beetje aangepast.

Zo raak je het nooit kwijt

• Schrijf het op papier en bewaar dat thuis op een veilige plek, bijvoorbeeld bij je paspoort. Het NCSC vindt dat prima: het hoofdwachtwoord moet je goed onthouden, noteren en veilig opbergen. Schrijf er niet bij waarvoor het is.
• Oefen het de eerste weken elke dag. Typ het in plaats van te ontgrendelen met je vingerafdruk, tot je het zeker weet.
• Bewaar je herstelgegevens bij het papier: bij Proton je herstelzin (zie Proton Pass beveiligen: tweestapsaanmelding, extra wachtwoord en vergrendelen), bij 1Password je Emergency Kit met je geheime sleutel (zie Een 1Password-account maken op 1password.eu).
• Regel noodtoegang voor als jij er niet meer bent of je wachtwoord echt kwijt is (zie Noodtoegang regelen voor als jij wegvalt).
• Maak een back-up van je kluis (zie Een back-up of export van je kluis maken).

Waar je het wel en niet intypt

• Typ je hoofdwachtwoord alleen in de app of browserextensie van je manager zelf, of op de echte website: account.proton.me of pass.proton.me bij Proton, en je eigen adres op 1password.eu bij 1Password.
• Vraagt een mail of een website je om je hoofdwachtwoord in te vullen? Doe het niet. Open de app zelf.
• Zet automatisch vergrendelen aan, bijvoorbeeld na een paar minuten niets doen. Dan moet je je kluis opnieuw openen met je wachtwoord, je pincode of je vingerafdruk.

Let op: Tweestapsaanmelding op je account is goed, maar geen reden voor een korter hoofdwachtwoord. Wordt de maker van je manager ooit gehackt en worden versleutelde kluizen gestolen, dan beschermt alleen je hoofdwachtwoord (bij 1Password samen met je geheime sleutel) je kluis. Het NCSC zegt het ook: de extra beveiligingslaag rechtvaardigt geen zwak hoofdwachtwoord.

Ben je je hoofdwachtwoord toch vergeten? Lees Hoofdwachtwoord vergeten: wat kan nog wel?.