Inloggen, sessies en veilig afsluiten

Module 1: Zo werkt je mail · Leestijd: 9 minuten

Leerdoel: Na deze les weet je met welke gegevens je inlogt op de webmail, wat een sessie is en hoe lang die duurt, en hoe je op een eigen en op een gedeelde computer veilig werkt en afsluit.

Kernbegrippen: gebruikersnaam, mailboxwachtwoord, veld Server, sessie, cookie, Ingelogd blijven, privévenster, uitloggen, IP-blokkade

Wie ben je voor de webmail?

Voor de webmail ben je een mailbox: één e-mailadres met een eigen wachtwoord en een eigen opslag. Daarom log je in met twee dingen:

• je volledige e-mailadres als gebruikersnaam, dus sanne@example.com en niet alleen sanne. Op een mailserver staan de mailboxen van veel domeinen. Pas met het hele adres weet de server welke mailbox je bedoelt;
• het wachtwoord van die mailbox.

Dat laatste gaat vaak mis. Het wachtwoord van je mailbox is iets anders dan het wachtwoord van je klantaccount bij je provider of van het beheerpaneel (bij WebOké: Mijn WebOké en DirectAdmin). Het is het wachtwoord dat gekozen is toen het e-mailadres werd aangemaakt. Heeft iemand anders je adres aangemaakt, bijvoorbeeld de beheerder van je bedrijf, dan weet die het misschien, of kan die een nieuw instellen.

Op de afbeelding zie je de inlogpagina met de velden Gebruikersnaam, Wachtwoord en Server. Het wachtwoord is hoofdlettergevoelig. Lukt inloggen niet terwijl je zeker weet dat het wachtwoord klopt, kijk dan eerst of Caps Lock aan staat.

Het veld Server: meestal leeg

De webmail van WebOké moet weten op welke server je mailbox staat. Normaal zoekt hij dat zelf uit aan de hand van je domein. Daarom laat bijna iedereen het veld Server leeg.

Je vult het alleen in als je domein niet naar WebOké wijst terwijl je mailbox daar wel staat, bijvoorbeeld tijdens een verhuizing van je domein. Je vult dan de servernaam van je pakket in. Een server van een andere partij werkt niet: deze webmail is alleen voor mailboxen bij WebOké.

Een valkuil die weinig mensen kennen: log steeds op dezelfde manier in. De webmail bewaart je instellingen, identiteiten, handtekening en adresboek bij de manier waarop je inlogt. Log je de ene keer met een leeg veld in en de andere keer met een servernaam, dan zie je wel dezelfde mail (die staat op de mailserver), maar lijken je handtekening en je adresboek ineens leeg. Ze zijn niet weg, ze horen bij de andere manier van inloggen.

In andere webmail heb je dit veld meestal niet: daar hoort de webmail bij één dienst, zoals bij Gmail of Outlook.com.

Wat is een sessie?

Na het inloggen wil je niet bij elke klik opnieuw je wachtwoord typen. Daarom maakt de webmail een sessie: de server onthoudt dat jij bent ingelogd, en je browser krijgt een cookie met een lange, willekeurige code. Bij elke klik stuurt je browser die code mee. Zo herkent de server je.

Dat heeft een belangrijk gevolg: wie die cookie heeft, is voor de webmail jou. Hij heeft je wachtwoord niet nodig. Daarom is het zo belangrijk dat een sessie op een vreemde computer echt wordt afgesloten.

Een sessie houdt op:

• als je op Uitloggen klikt: de server gooit de sessie weg, de cookie is daarna waardeloos;
• als je een tijd niets doet en de webmail niet meer open staat: de server laat de sessie verlopen. Zolang het tabblad open staat, houdt de webmail de sessie zelf in leven door af en toe naar nieuwe mail te kijken;
• als je de browser sluit, tenzij je Ingelogd blijven hebt aangezet.

Ingelogd blijven en Gebruikersnaam onthouden

Onder het wachtwoord staan twee vinkjes. Op de afbeelding zie je ze, met de uitleg die verschijnt als je Ingelogd blijven aanzet.

• Gebruikersnaam onthouden: de volgende keer staat je e-mailadres al ingevuld. Handig, en weinig risico.
• Ingelogd blijven: je blijft 30 dagen ingelogd, ook als je de browser sluit en je computer uitzet. De cookie blijft dan bewaard.

Ingelogd blijven is prettig op je eigen laptop met een schermvergrendeling. Op elk ander apparaat is het een risico: iedereen die daarna die browser opent, zit in je mailbox. Hij kan je mail lezen, mail versturen namens jou, en via "wachtwoord vergeten" van andere diensten nieuwe wachtwoorden laten mailen. Je mailbox is de sleutel tot veel van je andere accounts.

Op een gedeelde computer

Werk je op een computer van een ander, in een bibliotheek of op de pc van een klant, gebruik dan deze werkwijze:

1. Open een privévenster (in Chrome Incognito, in Firefox een Privévenster, in Safari een Privévenster). Een privévenster begint zonder cookies en gooit ze weg als je alle privévensters sluit. Het beschermt niet tegen spyware op die computer, wel tegen vergeten cookies.
2. Zet beide vinkjes uit.
3. Laat de browser je wachtwoord niet bewaren. Kies bij de vraag "Wachtwoord opslaan?" voor Nooit of Niet nu.
4. Klik op Uitloggen als je klaar bent, en sluit daarna het privévenster.

Na het uitloggen kan de knop Terug van de browser soms nog een oude pagina laten zien. Die komt uit het geheugen van de browser, niet van de server. Klik je ergens op, dan kom je op de inlogpagina terecht, omdat de sessie niet meer bestaat.

Je wachtwoord in de browser bewaren?

Op je eigen apparaat, met een schermvergrendeling, is een opgeslagen wachtwoord in een wachtwoordmanager (ook die van je browser) prima. Het helpt zelfs tegen phishing: een wachtwoordmanager vult het wachtwoord alleen in op het echte adres van de webmail, niet op een nepsite (les 2.4). Op een gedeeld apparaat of een computer zonder eigen gebruikersaccount bewaar je nooit iets.

Te vaak een fout wachtwoord

Mailservers worden de hele dag aangevallen door programma's die wachtwoorden raden. Daarom blokkeert de firewall van de server een IP-adres dat te vaak een fout wachtwoord probeert. Dat beschermt je mailbox, maar het kan jezelf ook treffen.

Het klassieke voorbeeld: Daan wijzigt zijn mailwachtwoord, maar vergeet het op zijn oude tablet in de la. Die tablet probeert elke paar minuten met het oude wachtwoord in te loggen. Na een tijd blokkeert de firewall het IP-adres van het kantoor. Dan doet de webmail het voor iedereen op kantoor niet meer, en vaak de website ook niet, terwijl het via 4G op de telefoon wel werkt. Dat laatste is de aanwijzing: het ligt aan het adres van je verbinding, niet aan je mailbox.

De oplossing is altijd tweeledig: zet op alle apparaten het juiste wachtwoord, en laat daarna de blokkade opheffen.

In de praktijk: zo werkt het in de webmail

Je opent de webmail van WebOké op webmail.weboke.nl. Uitloggen doe je met de knop Uitloggen linksonder in het menu. De stappen staan in de Roundcube-handleiding bij Inloggen op de webmail, Het veld Server en Ingelogd blijven en uitloggen. Lukt inloggen niet, kijk dan bij Inloggen lukt niet. Met tweestapsverificatie (les 8.1) vraagt de webmail na je wachtwoord nog om een code. In andere webmail, zoals Gmail of Outlook.com, werkt het vergelijkbaar: ook daar heet het vinkje bijvoorbeeld Ingelogd blijven en gelden dezelfde regels voor een gedeelde computer.

Samenvatting

• Je logt in met je volledige e-mailadres en het wachtwoord van de mailbox, niet met je klant- of paneelwachtwoord.
• Laat het veld Server leeg, tenzij je domein elders staat, en log steeds op dezelfde manier in.
• Een sessie is een cookie waarmee de server je herkent; wie de cookie heeft, is voor de webmail jou.
• Ingelogd blijven (30 dagen) alleen op je eigen apparaat; op een gedeelde computer: privévenster, vinkjes uit, uitloggen.
• Een apparaat met een oud wachtwoord kan je IP-adres laten blokkeren.

Quiz

Opdracht

Opdracht D1.3: Inloggen en afsluiten oefenen. Open een privévenster in je browser en log in op de webmail. Kijk welke vinkjes er onder het wachtwoord staan en wat er verschijnt als je Ingelogd blijven aanzet (zet het daarna weer uit voordat je inlogt). Log in, open een bericht, en klik op Uitloggen. Druk dan op de knop Terug van je browser en klik op iets in de pagina die je ziet. Beantwoord daarna deze vragen: Wat gebeurde er toen je na het uitloggen op Terug drukte en daarna klikte, en waarom? Bij welke apparaten die je gebruikt zou je Ingelogd blijven wel aanzetten, en bij welke niet? Heb je ergens een apparaat waarop een oud mailwachtwoord kan staan?

Verder lezen

Waar stappen in de webmail staan, gelden ze voor de webmail van WebOké; in andere webmail werkt het vergelijkbaar.

• Roundcube Webmail 1.2: Inloggen op de webmail
• Roundcube Webmail 1.3: Het veld Server: wanneer vul je het in?
• Roundcube Webmail 1.4: Ingelogd blijven en uitloggen
• Roundcube Webmail 13.1: Inloggen lukt niet
• Naar de webmail gaan en wat te doen als inloggen niet lukt
• Wachtwoord of limieten van een e-mailadres wijzigen
• Wachtwoordmanager en passkeys: zo regel je je inloggen veilig
• Gratis cursus Veilig online voor ondernemers 5.2: Laptop en telefoon veilig gebruiken