Een passkey instellen is meestal in een paar minuten gebeurd. De lastiger vraag komt later: hoe log je nog in wanneer je telefoon stukgaat, je laptop wordt vervangen of je synchronisatie niet werkt? Een veilige overstap begint daarom niet bij de knop passkey toevoegen, maar bij een kort herstelplan.
Passkeys gebruiken een cryptografische sleutel in plaats van een wachtwoord dat je overtypt. Je bevestigt de aanmelding met bijvoorbeeld een schermvergrendeling, biometrie of een hardware-sleutel. Dat kan phishing moeilijker maken, omdat de sleutel aan de echte website of dienst wordt gekoppeld. De precieze werking en herstelmogelijkheden verschillen echter per account, apparaat en aanbieder. Zie een passkey dus als een sterke manier van aanmelden, niet als een automatische garantie dat je nooit buitengesloten raakt.
Begin met een toegangskaart
Maak voordat je iets wijzigt een lijst van de accounts die je wilt beveiligen. Noteer per account welke apparaten toegang hebben, waar passkeys worden opgeslagen, welke herstelmethode beschikbaar is en wie het account beheert. Zet geen wachtwoorden of herstelcodes in deze lijst. Het doel is overzicht, niet een tweede geheimenkluis.
Noteer de echte afhankelijkheden
Een telefoon kan passkeys synchroniseren via een account dat op zijn beurt weer een herstelnummer of tweede apparaat nodig heeft. Een bedrijfsaccount kan daarnaast afhankelijk zijn van een beheerder. Schrijf daarom ook op welk apparaat je nodig hebt om een nieuw apparaat toe te voegen en wie kan helpen als de organisatie de toegang beheert.
- Account en doel van het account.
- Huidige apparaten waarop je kunt inloggen.
- Passkey-opslag: apparaat, synchronisatie of hardware-sleutel.
- Beschikbare herstelroute en verantwoordelijke persoon.
Kies een reserve zonder een nieuw zwak punt te maken
Een reserveoptie kan een tweede passkey op een ander apparaat zijn, een hardware-sleutel of een herstelproces van de dienst. Kies bij voorkeur twee onafhankelijke routes. Twee apparaten die alleen via hetzelfde verloren account worden gesynchroniseerd, zijn niet volledig onafhankelijk. Bewaar een hardware-sleutel op een plek waar je hem kunt terugvinden maar niet dagelijks hoeft mee te nemen.
Herstelcodes horen niet in een screenshot, mailconcept of onbeveiligd document. Print ze of bewaar ze in een betrouwbare kluis en controleer of je begrijpt of een code eenmalig is. Deel codes nooit met iemand die je onverwacht belt of mailt. Een echte helpdesk hoort je niet te vragen een herstelcode voor te lezen.
Laat het wachtwoord niet te vroeg verdwijnen
Veel diensten houden een bestaande aanmeldmethode tijdelijk beschikbaar. Gebruik die overgang bewust. Verwijder je oude methode pas nadat je op een tweede apparaat hebt getest, je herstelgegevens kloppen en je weet hoe je een verloren apparaat intrekt. Een reservewachtwoord is alleen nuttig als het uniek is, in een wachtwoordmanager staat en niet via dezelfde verdachte link wordt ingevuld.
Stel passkeys gecontroleerd in
Werk account voor account. Open de dienst via een eigen bladwijzer of handmatig ingetypte adresregel, controleer de accountnaam en voeg daarna de passkey toe. Geef hem een herkenbare naam als de dienst dat ondersteunt. Maak niet op hetzelfde moment allerlei herstelgegevens ongedaan; dan wordt het bij een fout onduidelijk welke wijziging het probleem veroorzaakte.
- Werk het apparaat bij en vergrendel het met een sterke schermcode.
- Log in via de bekende route, niet via een onverwachte mailknop.
- Voeg de passkey toe en controleer waar hij wordt opgeslagen.
- Voeg de reserveoptie toe en noteer alleen dat die bestaat.
- Test uitloggen en opnieuw aanmelden in een privévenster of tweede browser.
Oefen het herstel voordat je het nodig hebt
Een herstelplan is pas bruikbaar wanneer je het kunt uitvoeren. Test eerst met een account waarvoor de gevolgen beperkt zijn. Gebruik een tweede apparaat of reserve-sleutel, maar verwijder je werkende toegang niet. Meet niet alleen of het lukt; noteer waar je vastloopt, welke melding je ziet en welke informatie je nodig hebt.
Controleer daarna of je een verloren apparaat kunt afmelden, of synchronisatie opnieuw kan worden ingesteld en of een beheerder bereikbaar is. Bij een zakelijk account hoort ook een duidelijke afspraak te bestaan over wie een apparaat mag blokkeren. Bewaar geen echte testgegevens in screenshots of voorbeelden.
Beslisregels voor herstel
- Werkt een ander geregistreerd apparaat? Gebruik dat eerst.
- Is alleen een apparaat kwijt? Blokkeer of verwijder het zodra je een veilige route hebt.
- Is ook je hoofdaccount ontoegankelijk? Volg uitsluitend de officiële herstelpagina van de dienst.
- Vraagt iemand om codes of goedkeuring buiten die route? Stop en verifieer via een bekend kanaal.
Onderhoud je toegangskaart
Plan ieder halfjaar een korte controle en altijd na een telefoonwissel, vertrek van een medewerker of wijziging van een herstelnummer. Verwijder oude apparaten, controleer of reserve-sleutels nog werken en kijk of een synchronisatie-account zelf goed beveiligd is. Houd de lijst actueel, maar zet er geen geheime waarden in.
De beste passkey-opstelling is niet de opstelling met de meeste opties. Het is de opstelling waarin je weet welke sleutel waar zit, welke route je gebruikt bij verlies en welke stap je nooit via een onverwachte boodschap uitvoert. Zo combineer je gebruiksgemak met een herstelpad dat je al eens hebt doorlopen.
Maak ten slotte onderscheid tussen herstel en dagelijkse toegang. Een herstelroute hoort zelden nodig te zijn en mag daarom extra controle vragen. Dagelijkse toegang moet juist voorspelbaar blijven. Schrijf de volgorde op in gewone taal, bespreek haar met een collega of huisgenoot die eventueel moet helpen en kijk na een wijziging opnieuw of de beschrijving klopt. Dat kleine onderhoud voorkomt dat een goed idee alleen op papier bestaat.