Tweestapsverificatie instellen in je CMS

De meeste inbraken op websites beginnen niet met geavanceerde technieken, maar met een gestolen of geraden wachtwoord. Tweestapsverificatie (2FA, ook wel MFA genoemd) voegt een tweede controle toe: zelfs met het juiste wachtwoord komt een aanvaller er niet in zonder jouw telefoon of beveiligingssleutel. Het is een van de meest effectieve beveiligingsmaatregelen die er is.

Soorten tweede stap

• Beveiligingssleutel of passkey — Veiligheid: zeer hoog; Opmerking: fysieke sleutel of ingebouwd in je apparaat
• Authenticator-app — Veiligheid: hoog; Opmerking: codes die elke 30 seconden veranderen
• Pushmelding — Veiligheid: hoog, mits zorgvuldig gebruikt; Opmerking: keur niet zomaar meldingen goed die je niet verwacht
• Sms-code — Veiligheid: basis; Opmerking: kwetsbaar voor onderschepping en simkaartfraude
• E-mailcode — Veiligheid: basis; Opmerking: zo veilig als je e-mailaccount

Per platform

WordPressWordPress heeft standaard geen 2FA; je voegt het toe met een beveiligings- of 2FA-plugin. Verplicht het voor alle beheerders en redacteuren. Zie WordPress beveiligen en WordPress-gebruikers en rechten beheren.

WebflowZet tweestapsverificatie aan in je accountinstellingen. Werk je met een team, controleer dan of alle leden het hebben ingeschakeld; afhankelijk van je abonnement kun je het verplichten.

ShopifyZet tweestapsverificatie aan in de beveiligingsinstellingen van je account. Laat ook medewerkers met toegang tot de winkel het inschakelen.

Menu's en namen kunnen veranderen; volg de actuele helpinformatie van je platform.

Niet alleen je CMS

Denk ook aan:

• hostingpaneel en serverbeheer;
• domeinnaamregistratie en DNS-beheer;
• e-mail (bijvoorbeeld Microsoft 365). Zie MFA instellen in Microsoft 365;
• Google-accounts (Analytics, Search Console, Ads);
• betaalproviders en boekhouding.

Een aanvaller die je e-mail overneemt, kan vaak de wachtwoorden van al je andere accounts resetten.

Herstelcodes

Bij het instellen krijg je herstelcodes voor als je je telefoon kwijtraakt. Bewaar die veilig, bijvoorbeeld in een wachtwoordmanager. Zie Wachtwoordbeleid en een wachtwoordmanager.

Teams en bureaus

• Geef iedereen een eigen account; deel geen accounts.
• Verplicht 2FA voor iedereen met beheerrechten.
• Trek toegang in bij vertrek. Zie Toegang intrekken bij vertrek.

Passkeys

Steeds meer diensten ondersteunen passkeys: inloggen met je vingerafdruk, gezicht of pincode van je eigen apparaat, zonder wachtwoord. Een passkey is gekoppeld aan de echte website en daardoor moeilijk te misbruiken via een nagemaakte inlogpagina. Biedt een dienst passkeys aan, dan zijn ze een goede keuze naast of in plaats van een code uit een app. Zorg wel dat er een tweede apparaat of herstelmogelijkheid is.

Een controle per account

• CMS (beheerders)
• Domeinregistratie en DNS
• Hosting
• Mail (Microsoft 365 of Google)
• Google-account (Search Console, Ads, Bedrijfsprofiel)

Domein, DNS en mail zijn minstens zo belangrijk als je CMS: wie daar binnenkomt, kan je website omleiden of wachtwoorden resetten.

Voorbeeld

Stel: een webshop op WordPress ontdekt een onbekende beheerder in de gebruikerslijst. Uit onderzoek blijkt dat het wachtwoord van een redacteur was uitgelekt bij een andere dienst. Na het opruimen wordt een 2FA-plugin geïnstalleerd en verplicht voor alle gebruikers met schrijfrechten. Ook het hostingpaneel en de domeinregistratie krijgen 2FA.

Veelgestelde vragen

Is tweestapsverificatie lastig in gebruik?

Het kost een paar seconden per inlog; veel systemen onthouden een vertrouwd apparaat een tijd.

Wat als ik mijn telefoon kwijtraak?

Gebruik je herstelcodes, of laat een andere beheerder je 2FA resetten.

Is sms veilig genoeg?

Beter dan niets, maar een authenticator-app of beveiligingssleutel is veiliger.

Moeten alle gebruikers 2FA hebben?

In elk geval iedereen met beheer- of schrijfrechten.

Wat zijn passkeys?

Een inlogmethode zonder wachtwoord, gebaseerd op je apparaat of een beveiligingssleutel. Steeds meer diensten ondersteunen het.

Hulp nodig?

Wil je de toegang tot je website en accounts goed beveiligen? Bekijk onze dienst security en monitoring.

Gebruik een authenticator-app of beveiligingssleutel in plaats van sms. Sms-codes zijn beter dan niets, maar kwetsbaarder voor onderschepping en simkaartfraude.