Een wachtwoord alleen is niet genoeg. Ook een sterk wachtwoord kan worden geraden, gestolen of gekraakt. Wie je wachtwoord kent, komt in je account. Tweestapsverificatie (2FA) is de beveiligingslaag die dit stopt. Je moet naast het wachtwoord een tweede stap doorlopen. Zo bewijs je dat jij het bent, ook als je wachtwoord in verkeerde handen is gevallen.
Dit artikel legt uit hoe 2FA werkt, waar je het op je formulieren inzet, welke 2FA-methoden het veiligst zijn en hoe je het invoert zonder dat echte gebruikers erdoor afhaken.
Wat je leert: wat tweestapsverificatie is en waarom het ertoe doet, welke soorten 2FA er zijn, hoe elke methode werkt, welke formulieren 2FA nodig hebben en hoe je de juiste methode kiest voor jouw situatie.
Wat is tweestapsverificatie?
Bij tweestapsverificatie heb je twee aparte bewijzen nodig voordat je toegang krijgt. Die bewijzen worden meestal zo ingedeeld:
- Iets wat je weet: een wachtwoord of pincode
- Iets wat je hebt: een telefoon, beveiligingssleutel of authenticator-app
- Iets wat je bent: een biometrisch kenmerk, zoals een vingerafdruk of gezichtsscan
Een inlogproces met 2FA ziet er meestal zo uit:
- De gebruiker vult gebruikersnaam en wachtwoord in
- Het systeem controleert of het wachtwoord klopt
- Het systeem vraagt om een tweede factor (bijvoorbeeld: "Vul de code van je telefoon in")
- De gebruiker geeft de tweede factor door (bijvoorbeeld door "123456" in te vullen)
- Het systeem controleert de tweede factor
- De gebruiker krijgt toegang
Als iemand het wachtwoord steelt, komt die persoon zonder de tweede factor nog steeds niet in het account. Dat maakt 2FA zo effectief.
Waarom 2FA onmisbaar is voor formulierbeveiliging
Wachtwoorden worden voortdurend gestolen
Datalekken brengen elk jaar miljoenen wachtwoorden naar buiten. Stond jouw wachtwoord ooit in een gelekte database, dan hebben aanvallers het. Een sterk wachtwoord helpt, maar het blijft een wachtwoord.
Aanvallen op wachtwoorden komen vaak voor
Aanvallers gebruiken brute force (miljoenen combinaties proberen), woordenboekaanvallen (veelgebruikte wachtwoorden proberen) en credential stuffing (wachtwoorden uit andere lekken hergebruiken). Die aanvallen werken zolang er niets is naast het wachtwoord.
Phishing richt zich op wachtwoorden
Aanvallers sturen nepinlogpagina's die op jouw site lijken. Gebruikers voeren hun gegevens in op de nepsite. Vraagt jouw site alleen om een wachtwoord, dan heeft de aanvaller nu toegang. Is 2FA verplicht, dan kan hij met het wachtwoord alleen niets.
Overgenomen accounts kosten geld
Krijgt iemand toegang tot een klantaccount, dan kan die persoon het wachtwoord wijzigen, het account resetten, ongeautoriseerd bestellen of gegevens stelen. Met 2FA wordt ongeautoriseerde toegang veel moeilijker.
Soorten tweestapsverificatie
Sms-codes
Zo werkt het: de gebruiker vult gebruikersnaam en wachtwoord in. Het systeem stuurt een code van 6 cijfers per sms naar de telefoon. De gebruiker voert die code in.
Voordelen: eenvoudig voor gebruikers. Werkt op elke telefoon (geen app nodig).
Nadelen: een sms kan worden onderschept of omgeleid. Niet de veiligste methode. Het versturen van sms'jes kost geld.
Geschikt voor: toepassingen voor klanten, waar gemak zwaarder weegt dan maximale beveiliging.
Authenticator-apps
Zo werkt het: de gebruiker installeert een app zoals Google Authenticator, Microsoft Authenticator of Authy. Bij het inloggen maakt de app een code die in de tijd verandert (meestal 6 cijfers, elke 30 seconden nieuw). De gebruiker voert die code in.
Voordelen: zeer veilig. Kan niet worden onderschept. Gratis voor gebruikers.
Nadelen: gebruikers moeten een app installeren. Raken ze hun telefoon kwijt, dan raken ze hun toegang kwijt, tenzij ze back-upcodes hebben.
Geschikt voor: toepassingen met hoge beveiligingseisen (beheerpanelen, financiële accounts, gevoelige gegevens). Wat extra gedoe is hier acceptabel.
Hardware-beveiligingssleutels
Zo werkt het: de gebruiker heeft een fysieke sleutel (zoals een USB-stick). Bij het inloggen vraagt het systeem om die sleutel. De gebruiker steekt de sleutel in het apparaat of houdt hem ertegenaan. De sleutel bewijst dat hij van de gebruiker is.
Voordelen: extreem veilig. Kan niet op afstand worden gehackt. Werkt op veel websites.
Nadelen: gebruikers moeten sleutels kopen (30 tot 50 dollar). Ze kunnen zoekraken of worden vergeten. Wordt nog niet overal ondersteund.
Geschikt voor: situaties met maximale beveiliging (overheid, defensie, accounts met veel waarde). Wordt gebruikt door technisch onderlegde gebruikers.
Pushmeldingen
Zo werkt het: de gebruiker probeert in te loggen. Het systeem stuurt een pushmelding naar de telefoon: "Wil je deze login goedkeuren?" De gebruiker tikt in de melding op "Goedkeuren".
Voordelen: zeer gebruiksvriendelijk. Geen code om in te typen. Bestand tegen phishing (de gebruiker ziet waar de login vandaan komt).
Nadelen: vraagt een specifieke app of een specifiek systeem. Werkt niet als de telefoon er niet is.
Geschikt voor: mobile-first toepassingen en consumentenapps waar de gebruikerservaring cruciaal is.
E-mailcodes
Zo werkt het: de gebruiker vult gebruikersnaam en wachtwoord in. Het systeem stuurt een code naar het e-mailadres. De gebruiker voert de code uit de e-mail in.
Voordelen: werkt zonder telefoon. Toegankelijk voor alle gebruikers.
Nadelen: e-mail kan gehackt worden. De gebruiker moet zijn mail checken, en dat gaat trager dan bij andere methoden. Minder veilig dan authenticator-apps.
Geschikt voor: toepassingen met lage beveiligingseisen, of als terugvaloptie als andere methoden niet beschikbaar zijn.
Biometrie (vingerafdruk, gezicht)
Zo werkt het: het apparaat van de gebruiker (telefoon of computer) gebruikt ingebouwde biometrische sensoren. De gebruiker scant een vingerafdruk of gezicht om de login of actie goed te keuren.
Voordelen: erg handig. Erg veilig. Uniek voor elk persoon.
Nadelen: vraagt een apparaat met biometrische sensor. Het opslaan van biometrische gegevens roept vragen op over privacy.
Geschikt voor: mobiele apps en moderne apparaten. Wordt steeds gewoner naarmate biometrische hardware standaard wordt.
Welke formulieren hebben 2FA nodig?
Formulieren met hoge waarde (2FA is een must)
- Inlogformulieren (beheerpanel, klantaccount, e-mail)
- Formulieren om een wachtwoord te resetten
- Wijzigingen in accountinstellingen (vooral e-mailadres of wachtwoord)
- Betaal- of financiële formulieren
- Gegevens verwijderen of andere gevoelige handelingen
Formulieren met gemiddelde waarde (2FA is aan te raden)
- Account aanmaken (om overname van het account meteen te voorkomen)
- Formulieren die gebruikersgegevens of voorkeuren wijzigen
- Formulieren alleen voor beheerders
Formulieren met lage waarde (2FA is optioneel)
- Contactformulieren (die alleen openbare gegevens verzamelen)
- Aanmelden voor een nieuwsbrief (formulier zonder account)
- Enquêteformulieren
De vuistregel: kan het formulier het account van de gebruiker wijzigen, toegang geven tot gevoelige gegevens of onomkeerbare acties uitvoeren, gebruik dan 2FA.
2FA invoeren zonder onnodig gedoe
Maak 2FA eerst optioneel en daarna verplicht voor gevoelige acties
Laat gebruikers zich aanmelden zonder 2FA. Maar eis 2FA zodra ze gevoelige onderdelen openen, betaalgegevens wijzigen of hun wachtwoord veranderen.
Bied meerdere 2FA-methoden aan
Sommige gebruikers hebben een telefoon, anderen niet. Sommigen kiezen liever een authenticator-app, anderen een hardwaresleutel. Met meerdere methoden kan iedereen 2FA gebruiken.
Geef back-upcodes mee
Is 2FA verplicht en raken gebruikers hun telefoon of authenticator-app kwijt, dan komen ze niet meer in hun account. Geef back-upcodes mee (codes voor eenmalig gebruik die je bij het instellen aanmaakt). Dan kunnen gebruikers toch inloggen als hun hoofdmethode wegvalt.
Onthoud vertrouwde apparaten
Heeft een gebruiker 2FA eenmaal op een apparaat doorlopen, dan kun je dat apparaat optioneel "onthouden". Dan hoeft 2FA niet elke keer opnieuw. Dat scheelt gedoe, terwijl verdachte logins vanaf onbekende apparaten beveiligd blijven.
Gebruik risicogestuurde 2FA
Logt een gebruiker in vanaf de gewone plek, op het gewone tijdstip en met het gewone apparaat, dan is 2FA misschien niet nodig. Logt iemand om 3 uur 's nachts in vanuit een ander land met een nieuw apparaat, eis dan 2FA. Zo houd je veiligheid en gebruiksgemak in balans.
Herstel en back-upplannen
Gebruikers raken hun telefoon kwijt, vergeten apps en sluiten zichzelf buiten. Zorg voor een plan:
- Back-upcodes: maak bij het instellen van 2FA 10 codes voor eenmalig gebruik aan, voor als de hoofdmethode niet beschikbaar is
- Accountherstel: laat gebruikers hun identiteit bevestigen met beveiligingsvragen of e-mail om weer toegang te krijgen
- Supportproces: leer je supportmedewerkers hoe ze identiteit controleren en buitengesloten gebruikers helpen
Aanvalsmethoden tegen 2FA en hoe je ze voorkomt
SIM-swapping
Een aanvaller haalt een telefoonprovider over om het telefoonnummer van het slachtoffer over te zetten naar een nieuwe simkaart. Daarna ontvangt de aanvaller de sms-codes voor 2FA op zijn eigen telefoon.
Voorkomen: gebruik authenticator-apps of hardwaresleutels in plaats van sms. Sms is kwetsbaar voor SIM-swapping.
Phishing van 2FA-codes
Een aanvaller maakt een nepinlogpagina die om een 2FA-code vraagt. De gebruiker voert de code in. De aanvaller gebruikt de code direct om in te loggen op het echte account.
Voorkomen: gebruik methoden die context tonen (pushmeldingen laten zien: "login op www.example.com") of hardwaresleutels (die het domein van de website controleren). Methoden met een code zijn hier kwetsbaar voor.
Verloren of gestolen apparaten
Raakt het apparaat met de 2FA-app kwijt of wordt het gestolen, dan kan een aanvaller het misschien gebruiken om in accounts te komen.
Voorkomen: eis een pincode of biometrie om het apparaat te ontgrendelen. Eis een pincode om de authenticator-app te openen. Gebruik back-upcodes en opties voor accountherstel.
Wat WEMASY doet voor 2FA
WEMASY ondersteunt meerdere 2FA-methoden voor beheeraccounts en klantaccounts. Je kunt 2FA verplicht stellen bij het inloggen, bij het resetten van wachtwoorden en bij gevoelige acties. WEMASY biedt koppeling met authenticator-apps, sms-codes en e-mailcodes. Gebruikers kunnen back-upcodes aanzetten voor herstel. Je kunt optioneel vertrouwde apparaten onthouden, zodat veiligheid en gemak in balans blijven.
Lees meer over beveiligingsfuncties en 2FA-opties in je accountinstellingen of op de prijspagina.