Tweestapsverificatie (2FA) vraagt bij het inloggen om iets naast je wachtwoord — een code, een tik, of een fysieke sleutel — zodat een gestolen wachtwoord alleen niet genoeg is om je account binnen te dringen. Niet alle 2FA is echter even sterk. Zo verhouden de drie veelvoorkomende methoden zich echt tot elkaar.
SMS-tekstcodes
Een code die per sms naar je telefoon wordt gestuurd. Beter dan helemaal geen 2FA, maar het is de zwakste optie: SIM-swapping (een aanvaller overtuigt je provider om je nummer naar hun simkaart te verplaatsen) en SS7-netwerkonderschepping kunnen beide dit verslaan zonder je apparaat aan te raken. Gebruik het alleen als een dienst niets beters biedt.
Authenticator-apps (TOTP)
Apps zoals Google Authenticator, Authy of de ingebouwde versies in Proton Pass, Bitwarden en 1Password genereren een 6-cijferige code die elke 30 seconden verandert, lokaal berekend op je apparaat vanuit een gedeeld geheim — er wordt niets verzonden om hem te ontvangen, wat SIM-swapping al verslaat. Het zwakke punt is phishing: een nepinlogpagina kan je nog steeds verleiden om de code in realtime op de site van de aanvaller in te typen.
Hardware-beveiligingssleutels (FIDO2 / WebAuthn)
Een fysieke sleutel (YubiKey, Google Titan, en andere) die je aantikt of insteekt om het inloggen te bevestigen. In tegenstelling tot een code controleert deze cryptografisch of je op de echte site bent voordat hij reageert — een nepPagina krijgt gewoon geen geldig antwoord, wat dit de enige veelvoorkomende methode maakt die echt phishing-bestendig is. De kosten: een sleutel kopen en bij je dragen.
Passkeys — het nieuwere alternatief
Passkeys gebruiken dezelfde FIDO2-technologie als hardwaresleutels, maar slaan de inloggegevens op je telefoon of computer op in plaats van op een apart apparaat, ontgrendeld met je vingerafdruk, gezicht of pincode. Ze zijn phishing-bestendig zoals hardwaresleutels en vereisen geen aankoop, maar ondersteuning verschilt per site en per manier waarop je ze back-upt tussen apparaten — zie onze woordenlijst-invoer voor details.
Wat moet je nou echt gebruiken?
In volgorde van voorkeur: een hardwaresleutel of passkey voor je belangrijkste accounts (primaire e-mail, je wachtwoordmanager, bankzaken, werk); een authenticator-app voor de rest; sms alleen als een dienst echt niets beters biedt. De meeste wachtwoordmanagers — inclusief die in onze wachtwoordmanager-vergelijking — kunnen nu zelf authenticatorcodes opslaan en genereren, dus je hebt geen aparte app nodig.
Gerelateerde termen: Tweestapsverificatie (2FA) · Passkey (FIDO2) · Hoofdwachtwoord