Een sterk wachtwoord maken
Wachtwoordsterkte komt voort uit lang en onvoorspelbaar zijn. Elk extra teken vermenigvuldigt het aantal combinaties dat een aanvaller moet proberen, dus lengte is de krachtigste hendel die je hebt. Gebruik minstens 12 tekens voor alledaagse accounts en 16 of meer voor e-mail, bankzaken en je wachtwoordmanager.
Het mengen van hoofdletters, kleine letters, cijfers en symbolen vergroot de mogelijke tekenset en verhoogt de entropie per positie. Willekeurigheid telt net zo zwaar: door mensen gekozen wachtwoorden volgen patronen — een naam plus een jaartal, een woord met @ in plaats van a, of een toetsenbordreeks zoals qwerty. Een generator die op de Web Crypto API is gebaseerd heeft die vertekening niet.
- Vermijd woordenboekwoorden, namen, geboortedata en opeenvolgende tekens.
- Vertrouw niet op voorspelbare vervangingen zoals W@chtwoord1.
- Hergebruik nooit een wachtwoord op meer dan één site.
Wachtwoordentropie en kraaktijd
Entropie, gemeten in bits, drukt uit hoe moeilijk een wachtwoord te raden is. Het is ruwweg de lengte van het wachtwoord vermenigvuldigd met de logaritme met grondtal 2 van de tekensetgrootte. Elke extra bit verdubbelt de moeite die nodig is om het wachtwoord met brute kracht te kraken.
- Onder 40 bits — zwak; kan binnen seconden tot uren vallen.
- Rond 60 bits — acceptabel voor accounts van lage waarde.
- 75 tot 100 bits — sterk; onpraktisch te kraken met huidige hardware.
- Boven 100 bits — uitstekend; geschikt voor hoofdwachtwoorden en encryptiesleutels.
De kraaktijd die de tester toont, gaat uit van ongeveer 10 miljard pogingen per seconde, ongeveer wat een moderne GPU-opstelling haalt tegen een snelle hash. Werkelijke cijfers hangen af van het hash-algoritme en de middelen van de aanvaller, dus behandel dit als een relatieve richtlijn, geen garantie.
Hoe wachtwoorden worden gekraakt
Een sterk, uniek wachtwoord verslaat op raden gebaseerde aanvallen — maar niet elke aanval werkt zo:
- Brute-force- en maskeraanvallen proberen elke combinatie, of elke combinatie die bij een bekend patroon past.
- Woordenboekaanvallen doorzoeken woordenlijsten en databases van wachtwoorden die bij eerdere datalekken zijn blootgesteld.
- Credential stuffing neemt gestolen inloggegevens van de ene site en probeert ze overal — daarom is wachtwoordhergebruik zo gevaarlijk.
- Phishing verleidt je om je wachtwoord op een nepinlogpagina in te typen.
- Malware en keyloggers onderscheppen wat je typt, ongeacht de wachtwoordsterkte.
Lengte en willekeurigheid pakken de eerste twee aan. Voor de rest helpen tweestapsverificatie en gezond wantrouwen tegenover onverwachte inlogverzoeken.
Goede gewoontes voor wachtwoordbeheer
- Een uniek wachtwoord per account. Zo opent een lek bij één dienst niet de rest.
- Gebruik een wachtwoordmanager, zoals Bitwarden, KeePassXC of 1Password. Je onthoudt maar één sterk hoofdwachtwoord en hij bewaart de rest.
- Schakel tweestapsverificatie in waar beschikbaar, met voorkeur voor een authenticator-app of hardware-beveiligingssleutel boven sms-codes.
- Verander een wachtwoord als daar reden toe is — na een lekmelding of een vermoeden dat een account is overgenomen. Huidige richtlijnen (NIST) raden gedwongen periodieke wijzigingen af, omdat die mensen ertoe aanzetten zwakkere, patroonmatige wachtwoorden te kiezen.
- Deel een wachtwoord nooit via e-mail of chat, en bewaar het nooit in een tekstbestand of spreadsheet.
Wachtwoordzinnen en willekeurige tekenreeksen
Een wachtwoordzin bestaat uit meerdere ongerelateerde, willekeurig gekozen woorden, zoals viool haven nikkel drift. Met vier tot zes echt willekeurige woorden is dit zeer sterk en veel makkelijker te typen en te onthouden dan een willekeurige tekenreeks. Een willekeurig-teken-wachtwoord bevat meer entropie per teken en is de betere keuze wanneer een manager het voor je invult en je het nooit handmatig hoeft te typen.
Praktische verdeling: gebruik een lange wachtwoordzin voor het ene hoofdwachtwoord dat je moet onthouden, en laat deze generator de rest doen door voor elk afzonderlijk account willekeurige tekenreeksen te maken.
Is deze generator privé en veilig?
Alles gebeurt in je browser. Deze site heeft geen backend: wachtwoorden worden lokaal in JavaScript aangemaakt en nooit over het netwerk verzonden. De willekeurigheid komt van crypto.getRandomValues(), de cryptografisch veilige generator van de browser, niet van het voorspelbare Math.random().
Er zijn hier geen cookies, analytics of logs. Je kunt de pagina openen, de internetverbinding verbreken, en hij werkt nog steeds — en je kunt verifiëren dat er niets wordt verzonden door het Netwerk-tabblad van de ontwikkelaarstools van je browser te bekijken.
Verder lezen
- NIST SP 800-63B — Digital Identity Guidelines
- OWASP — Password Storage Cheat Sheet
- Have I Been Pwned — gecompromitteerde accounts controleren
Een sterk wachtwoord gegenereerd? Je hebt een veilige plek nodig om het te bewaren →
Gerelateerde termen: Entropie · Brute kracht · Wachtwoordzin · Wachtwoordmanager · CSPRNG