Wachtwoord en tweestapsverificatie

Module 8: Veilig en zonder zorgen · Leestijd: 10 minuten

Leerdoel: Na deze les kun je uitleggen wat een sterk wachtwoord voor je mailbox is, wat je na een wijziging op je apparaten moet doen, hoe een code uit een authenticator-app ontstaat en wat tweestapsverificatie in de webmail wel en niet beschermt.

Kernbegrippen: mailboxwachtwoord, wachtwoordmanager, tweestapsverificatie, TOTP, gedeeld geheim, QR-code, herstelcode, klokafwijking, IMAP en SMTP zonder tweede stap

Waarom je mailbox het belangrijkste account is

Je mailbox is de sleutelbos van je online leven. Bijna elke dienst stuurt een link om je wachtwoord opnieuw in te stellen naar je mail. Wie je mailbox heeft, kan dus ook je webshop, je boekhouding en je sociale media overnemen. En hij kan mailen uit jouw naam, aan klanten die jou vertrouwen. Een gestolen mailbox wordt daarom vaak gebruikt voor factuurfraude of om spam te versturen. Dat laatste brengt je hele domein in de problemen: andere servers gaan je mail weigeren.

Twee dingen houden een indringer buiten: een goed wachtwoord en een tweede stap bij het inloggen.

Een sterk wachtwoord is vooral lang en uniek

Je mailboxwachtwoord hoort bij één e-mailadres. Het is niet hetzelfde als het wachtwoord van je klantaccount of van het beheerpaneel van je pakket (les 1.3).

Wat maakt een wachtwoord sterk? Niet een uitroepteken achter een woord, maar lengte en toeval. Aanvallers proberen gelekte wachtwoorden en lijsten met veelgebruikte woorden en patronen. "Zomer2026!" staat in zo'n lijst; een reeks van vier willekeurige woorden of twintig willekeurige tekens niet. Even belangrijk is dat het wachtwoord uniek is. Lekt een webwinkel waar je hetzelfde wachtwoord gebruikte, dan proberen criminelen dat ook op je mailbox.

De praktische oplossing is een wachtwoordmanager: een programma dat voor elke dienst een lang willekeurig wachtwoord maakt en onthoudt. Jij onthoudt dan nog één sterk hoofdwachtwoord.

Na het wijzigen: alle apparaten bijwerken

Je wijzigt het wachtwoord in de webmail bij Instellingen > Wachtwoord, of in het beheerpaneel van je pakket als je het oude niet meer weet. Vanaf dat moment geldt het nieuwe wachtwoord overal: in de webmail, op je telefoon, in je mailprogramma.

Hier gaat het vaak mis. Sanne de Vries wijzigt op maandag het wachtwoord van sanne@example.com. Haar laptop werkt ze meteen bij. Haar oude tablet in de keuken vergeet ze. Die tablet blijft elke paar minuten inloggen met het oude wachtwoord. Na een aantal mislukte pogingen ziet de firewall van de server een verbinding die steeds een fout wachtwoord probeert, en blokkeert het IP-adres. Omdat de tablet en de laptop thuis hetzelfde IP-adres delen, kan Sanne ineens ook op haar laptop niet meer bij haar mail, en soms ook niet bij haar website.

Werk daarom na een wijziging meteen alle apparaten bij: telefoon, tablet, mailprogramma op je computer, en een eventuele printer of scanner die mail verstuurt.

Tweestapsverificatie: iets wat je weet en iets wat je hebt

Met tweestapsverificatie (in de webmail heet het 2-staps verificatie) heb je bij het inloggen twee dingen nodig: je wachtwoord (iets wat je weet) en een code van je telefoon (iets wat je hebt). Iemand die je wachtwoord via phishing of een lek in handen krijgt, komt dan nog niet binnen.

De code komt uit een authenticator-app, zoals de app van je wachtwoordmanager of een losse app voor zulke codes. De methode heet TOTP, time-based one-time password, en staat beschreven in RFC 6238. Zo werkt hij:

1. Bij het aanzetten maakt de webmail een gedeeld geheim: een willekeurige reeks tekens. Je ziet die als geheime sleutel en als QR-code.
2. Je scant de QR-code met de app. Vanaf nu kennen de server en je telefoon allebei hetzelfde geheim.
3. Elke 30 seconden rekenen beide het geheim samen met de huidige tijd om tot een code van zes cijfers.
4. Bij het inloggen vergelijkt de server jouw code met zijn eigen uitkomst.

Twee dingen volgen hieruit. De app heeft geen internet nodig: hij rekent alleen met het geheim en de klok. En de klok moet kloppen. Loopt je telefoon een paar minuten voor of achter, dan rekent hij met een ander tijdvak en klopt de code niet. Zet de tijd op je telefoon op automatisch.

Een derde gevolg: de QR-code ís het geheim. Wie een foto of schermafbeelding ervan heeft, kan dezelfde codes maken. Deel hem dus nooit en bewaar hem niet als plaatje.

Op de afbeelding zie je het scherm waarin je tweestapsverificatie aanzet, met de geheime sleutel, de herstelcodes en de QR-code.

Herstelcodes en een telefoon die kwijt is

Bij het aanzetten krijg je ook vier herstelcodes. Elk werkt één keer, in plaats van een code uit de app. Ze zijn je reservesleutel als je telefoon kapot, gestolen of vervangen is. Bewaar ze op een andere plek dan je telefoon: in je wachtwoordmanager of op papier in een la.

Gebruik je een herstelcode, zet tweestapsverificatie dan meteen opnieuw op met je nieuwe telefoon. Dan krijg je ook nieuwe herstelcodes. Heb je geen herstelcodes meer, dan kan je mailaanbieder de tweede stap voor je mailbox uitzetten, na controle wie je bent.

Op je eigen computer kun je bij het inloggen kiezen dat de webmail 30 dagen niet opnieuw om een code vraagt. Op een gedeelde computer doe je dat nooit.

Wat tweestapsverificatie niet beschermt

Dit is de belangrijkste valkuil, en veel mensen kennen hem niet. Tweestapsverificatie in de webmail geldt alleen voor de webmail. Je mailprogramma en de mail-app op je telefoon loggen in via IMAP (ophalen) en SMTP (versturen), en die vragen alleen je wachtwoord. Een aanvaller met je wachtwoord kan dus via een mailprogramma nog steeds je mail lezen en uit jouw naam versturen.

Daarom is tweestapsverificatie een aanvulling, geen vervanging. Je wachtwoord moet nog steeds lang en uniek zijn. Tweestapsverificatie voor je klantaccount stel je los in; het is een ander account met een eigen beveiliging.

Bij grote diensten zoals Gmail of Outlook.com werkt het iets anders: daar geldt de tweede stap vaak voor het hele account, en heeft een mailprogramma een apart app-wachtwoord of een eigen inlogmethode nodig. Het idee is hetzelfde: wachtwoord plus iets wat je hebt.

In de praktijk: zo werkt het in de webmail

Het wachtwoord wijzig je bij Instellingen > Wachtwoord, tweestapsverificatie zet je aan bij Instellingen > 2-staps verificatie. Daar zet je het vinkje Activeren aan, laat je de webmail de velden invullen, scan je de QR-code, controleer je een code en sla je op. De stappen staan in de Roundcube-handleiding (10.3, 10.4 en 10.5). Andere webmail heeft vergelijkbare instellingen, vaak onder Beveiliging.

Samenvatting

• Je mailbox is de sleutel tot je andere accounts: bescherm hem met een lang, uniek wachtwoord uit een wachtwoordmanager.
• Na een wachtwoordwijziging werk je alle apparaten bij; een apparaat met het oude wachtwoord kan je IP-adres laten blokkeren.
• TOTP maakt elke 30 seconden een code uit een gedeeld geheim en de tijd; de klok van je telefoon moet kloppen en de QR-code is het geheim.
• Bewaar de vier herstelcodes buiten je telefoon; elke code werkt één keer.
• Tweestapsverificatie in de webmail beschermt alleen de webmail, niet IMAP en SMTP in je mailprogramma.

Quiz

Opdracht

Opdracht A8.1: Oefen met een authenticator-app. Klik op de knop voor een oefengeheim. Je krijgt een QR-code van een oefenaccount. Scan hem met een authenticator-app naar keuze (of typ de getoonde sleutel over) en vul de zescijferige code in die de app laat zien. Het programma rekent met hetzelfde oefengeheim en de tijd na of jouw code klopt; een code uit het vorige of volgende tijdvak telt ook goed, zodat een kleine klokafwijking geen probleem is. Groen: de code klopt. Rood: de code klopt niet; controleer dan de klok van je telefoon en of je de juiste regel in de app gebruikt. Het oefengeheim hoort niet bij je mailbox, heeft geen waarde en verdwijnt binnen 24 uur. Verwijder het oefenaccount daarna uit je app.

Verder lezen

Waar stappen in de webmail staan, gelden ze voor de webmail van WebOké; in andere webmail werkt het vergelijkbaar.

• Roundcube Webmail 10.3: Tweestapsverificatie aanzetten
• Roundcube Webmail 10.4: Inloggen met tweestapsverificatie
• Roundcube Webmail 10.5: Het wachtwoord van je mailbox wijzigen
• Wachtwoord of limieten van een e-mailadres wijzigen
• Wachtwoordmanager en passkeys: zo regel je je inloggen veilig
• Gratis cursus Veilig online voor ondernemers 2.1: Wat een sterk wachtwoord echt is
• Gratis cursus Veilig online voor ondernemers 2.3: Tweestapsverificatie: codes, apps en sms
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (Engels): https://www.rfc-editor.org/rfc/rfc6238