Inloggen en tweestapsverificatie bepalen voor een groot deel hoe veilig je webapplicatie is. Bij tweestapsverificatie (ook wel 2FA of tweefactorauthenticatie) bewijst iemand op twee manieren wie hij is: met iets wat hij weet, zoals een wachtwoord, en met iets wat hij heeft, zoals zijn telefoon. Lekt een wachtwoord uit, dan komt een inbreker toch niet binnen.
Maar veiligheid is maar de helft van het verhaal. Een inlogscherm dat lastig is, kost je klanten en collega's tijd en ergernis. In dit artikel lees je welke inlogmethodes er zijn, wanneer 2FA nodig is en hoe je het zo inricht dat mensen het niet als een drempel voelen.
Waarom inloggen het belangrijkste slot op je software is
Bij een klantportaal, een planningstool of een intern dashboard zit achter het inlogscherm vaak gevoelige informatie. Denk aan klantgegevens, facturen, offertes of medewerkersdata. Het inlogscherm is de voordeur. Is die zwak, dan helpt de rest van je beveiliging weinig.
De meeste inbraken gaan niet via ingewikkelde hacks. Ze gaan via gestolen of geraden wachtwoorden. Mensen gebruiken hetzelfde wachtwoord op meerdere plekken. Lekt het bij een andere dienst uit, dan proberen criminelen het automatisch overal. Daarom is alleen een wachtwoord voor zakelijke software meestal niet genoeg.
Welke inlogmethodes zijn er?
Er is niet één beste manier van inloggen. Welke past, hangt af van wie je gebruikers zijn en hoe vaak ze inloggen. De meest gebruikte opties:
- E-mail en wachtwoord: bekend en overal toepasbaar. Wel kwetsbaar als mensen zwakke of hergebruikte wachtwoorden kiezen.
- Magic link: de gebruiker vult zijn e-mailadres in en krijgt een link om in te loggen. Geen wachtwoord om te vergeten. Handig voor klanten die maar af en toe inloggen.
- Passkeys: inloggen met vingerafdruk, gezichtsherkenning of de pincode van je telefoon of laptop. Er is geen wachtwoord dat kan uitlekken, en het werkt snel.
- Single sign-on (SSO): inloggen met een bestaand zakelijk account, zoals Microsoft of Google. Ideaal voor interne tools, omdat medewerkers geen extra wachtwoord nodig hebben.
- Inloggen met een code per sms of e-mail: eenvoudig, maar minder sterk dan een app of passkey.
Je kunt methodes combineren. Een veelgebruikte opzet: medewerkers loggen in via SSO, klanten met e-mail en wachtwoord plus tweestapsverificatie, en wie wil kan een passkey toevoegen.
Tweestapsverificatie: welke vorm kies je?
Tweestapsverificatie bestaat in verschillende vormen. Ze zijn niet allemaal even sterk of even prettig in gebruik.
- Authenticator app: een app zoals Google Authenticator of Microsoft Authenticator maakt elke 30 seconden een nieuwe code. Sterk en gratis voor de gebruiker. Wel moet iemand eenmalig een QR-code scannen.
- Sms-code: makkelijk, iedereen snapt het. Maar sms is minder veilig, onder meer omdat telefoonnummers soms worden overgenomen. Bovendien kost elke sms je een klein bedrag.
- Code per e-mail: laagdrempelig, maar als iemands mailbox gehackt is, valt de tweede stap weg.
- Passkey of beveiligingssleutel: de sterkste optie. De telefoon of een fysieke sleutel bewijst wie je bent, zonder codes over te typen.
Voor de meeste mkb-toepassingen is een authenticator app een goede standaard. Bied sms eventueel als terugvaloptie aan voor mensen die geen app willen installeren.
Wanneer is tweestapsverificatie instellen echt nodig?
Niet elke applicatie vraagt om dezelfde strengheid. Een handige vuistregel: hoe gevoeliger de gegevens en hoe meer rechten iemand heeft, hoe strenger het inloggen.
- Altijd 2FA voor beheerders en iedereen die gegevens van anderen kan inzien of aanpassen.
- Sterk aan te raden bij persoonsgegevens, financiële gegevens of medische informatie.
- Optioneel, maar wel aangeboden, voor klanten die alleen hun eigen bestellingen of afspraken bekijken.
- Extra controle bij risicovolle acties, zoals een bankrekeningnummer wijzigen of een export van alle klanten maken.
De AVG (de Europese privacywet) schrijft geen specifieke inlogmethode voor. Wel moet je passende maatregelen nemen om persoonsgegevens te beschermen. Bij gevoelige gegevens wordt 2FA steeds vaker gezien als normaal niveau. Twijfel je wat in jouw situatie verplicht is, vraag het dan na bij een jurist of kijk bij de Autoriteit Persoonsgegevens.
Veilig inloggen zonder dat klanten afhaken
Een strenge inlog die niemand gebruikt, helpt niet. Mensen zoeken dan omwegen, zoals een gedeeld account of een wachtwoord op een briefje. Zo houd je het veilig én prettig:
- Onthoud vertrouwde apparaten een tijdje, zodat iemand niet elke dag opnieuw een code hoeft in te typen.
- Leg in één zin uit waarom je om 2FA vraagt. Mensen accepteren een extra stap beter als ze snappen waarom.
- Maak de herstelroute duidelijk. Geef bij het instellen herstelcodes mee voor als iemand zijn telefoon kwijtraakt.
- Laat wachtwoordmanagers gewoon werken. Blokkeer geen plakken in het wachtwoordveld.
- Vraag geen ingewikkelde wachtwoordregels met verplichte tekens. Een lange zin werkt beter dan een kort wachtwoord met een uitroepteken.
- Geef duidelijke foutmeldingen, maar verklap niet of een e-mailadres wel of niet bestaat.
Goede UX design voor je webapplicatie maakt hier echt verschil. Het inlogscherm is vaak het eerste wat iemand van je software ziet.
Checklist: wat hoort er bij een goed inlogsysteem?
Laat je software bouwen? Loop dan deze punten na met je ontwikkelaar:
- Wachtwoorden worden versleuteld opgeslagen met een moderne methode, nooit leesbaar.
- Na een aantal mislukte pogingen volgt een vertraging of tijdelijke blokkade.
- Een veilige 'wachtwoord vergeten'-flow met een link die snel verloopt.
- Tweestapsverificatie, verplicht voor beheerders.
- Rollen en rechten: iedereen ziet alleen wat hij nodig heeft.
- Automatisch uitloggen na een periode zonder activiteit, zeker op gedeelde computers.
- Een logboek van inlogpogingen, zodat je verdachte activiteit kunt zien.
- Een melding per e-mail bij inloggen vanaf een nieuw apparaat.
- Een snelle manier om een account te blokkeren als een medewerker vertrekt.
Veelgemaakte fouten bij inloggen en tweestapsverificatie
- Zelf een inlogsysteem in elkaar zetten zonder bewezen bouwstenen. Gebruik beproefde technieken in plaats van zelf iets te verzinnen.
- Eén gedeeld account voor het hele team. Je weet dan nooit wie wat heeft gedaan, en een vertrekkende collega houdt toegang.
- 2FA alleen aanbieden en nooit verplichten voor beheerders.
- Geen herstelroute, waardoor je bij elke verloren telefoon handmatig moet ingrijpen.
- Sessies die nooit verlopen, zodat iemand op een openbare computer ingelogd blijft.
- Inloggen pas aan het eind van het project regelen. Het raakt rollen, rechten en schermen, dus neem het vanaf het begin mee.
Meer over beveiliging in de breedte lees je in ons artikel over veilige software voor het mkb.
Inloggen en tweestapsverificatie in een webapplicatie van Violexa
Bij Violexa nemen we inloggen vanaf het eerste gesprek mee in het ontwerp. We kijken wie je gebruikers zijn, welke gegevens ze zien en hoe vaak ze inloggen. Daarop kiezen we de inlogmethode en het niveau van tweestapsverificatie. Een portaal voor klanten vraagt iets anders dan een tool voor je eigen team.
Een webapplicatie op maat bouwen we vanaf €1.799 excl. btw (€2.177 incl. btw) per project. Bij grotere projecten krijg je vooraf een vaste prijs op papier, zodat je weet waar je aan toe bent.
Wil je weten welke inlogopzet past bij jouw software? Plan een gratis quickscan. In een gesprek van 30 minuten, online of op locatie, kijken we naar je plannen. Daarna krijg je kort schriftelijk advies met een prijsindicatie, zonder verplichting.
Veelgestelde vragen
Wat is het verschil tussen tweestapsverificatie en tweefactorauthenticatie?
In de praktijk bedoelen mensen hetzelfde. Bij beide log je in met twee verschillende bewijzen, bijvoorbeeld een wachtwoord en een code op je telefoon. Strikt genomen gaat tweefactorauthenticatie over twee soorten bewijs, maar in het dagelijks gebruik worden de termen door elkaar gebruikt.
Is inloggen en tweestapsverificatie verplicht volgens de AVG?
De AVG noemt geen specifieke inlogmethode. Wel moet je passende beveiliging regelen voor persoonsgegevens. Bij gevoelige gegevens geldt tweestapsverificatie vaak als redelijk niveau. Voor een oordeel over jouw situatie kun je het beste een jurist raadplegen.
Is sms als tweede stap veilig genoeg?
Sms is beter dan alleen een wachtwoord, maar minder sterk dan een authenticator app of passkey. Telefoonnummers kunnen soms worden overgenomen. Gebruik sms daarom liever als terugvaloptie dan als standaard.
Wat zijn passkeys en vervangen ze wachtwoorden?
Een passkey laat je inloggen met je vingerafdruk, gezicht of de pincode van je apparaat. Er is geen wachtwoord dat kan uitlekken of geraden worden. Steeds meer diensten bieden ze aan, vaak naast een wachtwoord als overgangsoplossing.
