Ieder thuisnetwerk zit achter een router. De router zorgt ervoor dat alle pc's van het thuisnetwerk toegang hebben tot internet. Wil je een apparaat in je huis benaderen vanaf het internet, dan voorkomt de router dat juist. Je zult poorten moeten openen en toegang moeten verlenen. Hoe doe je dat?

In elk thuisnetwerk zit minimaal één router. Vaak is deze gecombineerd met het modem, maar noodzakelijk is dat niet. De belangrijkste taak van een router is het routeren, dat wil zeggen het door een netwerk loodsen van een netwerkbericht of datapakketje om het van de ene plek op de andere te krijgen. Routers gebruiken daarvoor het IP-adres van de bestemming dat in elk netwerkpakketje staat. Ze beslissen dan heel snel of dat IP-adres op het thuisnetwerk hoort. Zo niet, dan stuurt de router het pakketje het netwerk van de provider op. De router doet echter nog veel meer. Een tweede belangrijke functie van een router is NAT (Network Address Translation): dit is het vervangen van het IP-adres van een netwerkpakketje door een ander IP-adres binnen het thuisnetwerk. Dit is noodzakelijk omdat een deel van alle bestaande IP-adressen alleen op het thuisnetwerk kan worden gebruikt en niet op internet.

De derde belangrijke functie van de router is de firewall. De router zal standaard elk bericht dat van het internet komt beoordelen en het enkel doorlaten als het een antwoord is op een bericht van een computer op het thuisnetwerk. Alle andere berichten worden geblokkeerd, zo beveiligt de firewall het thuisnetwerk tegen indringers. Samen zorgen deze functies voor een prima verbinding met internet, maar maken ze het benaderen van het thuisnetwerk vanaf het internet een stuk lastiger. Toch wil je sommige apparaten binnen je thuisnetwerk wel vanaf internet benaderen, bijvoorbeeld een NAS of een webcam.

01 Het eigen netwerk

Mogelijk weet je al het een en ander over je netwerk, maar voor portforwarding moet je in elk geval de IP-configuratie kennen van zowel de router als van het apparaat dat je wilt ontsluiten via internet. Om het netwerk te verkennen open je in Windows een opdrachtprompt: klik op de startknop, tik een deel van het woord opdrachtprompt en klik op de optie Opdrachtprompt. In het opdrachtpromptvenster voer je het commando ipconfig uit. Zo achterhaal je het eigen IP-adres, het subnetmasker, maar ook het IP-adres van de standaardgateway (dat is het adres van de router). Het IP-adres van de NAS of IP-camera zit in hetzelfde netwerk als de pc en de router. Je kunt ook een netwerkscanner als Angry IP Scanner gebruiken. Op je smartphone kun je een app als Fing (ook voor Android) gebruiken om deze informatie te verkrijgen.

©PXimport

Om het netwerk te leren kennen gebruik je de opdrachtprompt.

©PXimport

Ook met smartphone en een app als Fing kun je eenvoudig het IP-adres van de router vinden.

02 Inloggen op de router

Beheer van de router gaat altijd via de browser. Start de browser en typ in de adresbalk het IP-adres van de standaardgateway, bijvoorbeeld http://192.168.1.1. Log in met je gebruikersnaam en wachtwoord. Anders dan de apparaten in het thuisnetwerk, heeft een router niet één, maar twee IP-adressen. Het IP-adres aan de kant van het thuisnetwerk is het IP-adres van de router als standaardgateway. Daarnaast heeft de router nog een IP-adres aan de kant van het internet, vaak de WAN-poort geheten. Beide IP-adressen zijn te vinden in de configuratie van de router. Noteer de IP-adressen, later heb je allebei nodig. Als je alles goed hebt ingesteld, gebruik je het externe IP-adres (van de WAN-poort) om vanaf internet verbinding te maken met bijvoorbeeld je NAS of IP-camera.

©PXimport

De router heeft twee IP-adressen, een voor het interne netwerk (LAN) en een voor op internet (WAN).

03 Vast IP-adres

Voor portforwarding is het belangrijk dat het apparaat dat je via internet wilt gebruiken, zoals een NAS of IP-camera, altijd op hetzelfde IP-adres in het thuisnetwerk te vinden is. Het apparaat mag dus niet via DHCP zijn IP-adres krijgen, maar een vast IP-adres hebben. Dit wordt ook wel een 'static' IP-adres genoemd. In de configuratie van de NAS of IP-camera kun je zo'n vast IP-adres instellen. Log daarvoor in op de webinterface van het apparaat en open de netwerkconfiguratie.

©PXimport

Geef alle apparaten die je wilt kunnen bereiken vanaf internet een vast IP-adres op het thuisnetwerk.

04 De theorie van portforwarding

Om alles zo in te stellen dat iemand via internet de beelden van de IP-camera in het thuisnetwerk kan zien, moet je een aantal gegevens weten. Gezien vanaf het internet zijn dat: het IP-adres aan de WAN-kant van de router, het IP-adres op het thuisnetwerk van de IP-camera en het poortnummer waarop de webcamsoftware actief is op de IP-camera. Bij portforwarding open je dan een poort in de firewall van de router (dat kan poort 80 zijn of poort 5000) en die koppel je aan het IP-adres van de IP-camera en het poortnummer op de IP-camera.

Wanneer je vervolgens een browser opent en zorgt dat deze echt via internet verbinding maakt (dus niet via het interne netwerk) en het adres van de router in de adresbalk typt met het juiste poortnummer, dan zal de firewall die verbinding accepteren en doorzetten naar het IP-adres en het poortnummer dat je hebt opgegeven in de regel voor portforwarding. Vanaf stap 6 laten we je voor een aantal populaire merken routers zien hoe je portforwarding instelt.

©PXimport

De iPhone en notebook maken beide verbinding met een apparaat op het thuisnetwerk, via een verzoek aan de router met verschillende poortnummers.

IP-adressen

TCP/IP is het communicatieprotocol op je thuisnetwerk én internet. Wanneer je bijvoorbeeld een webpagina opent, dan gaat er een groot aantal netwerkpakketjes van de computer naar de webserver en terug. De basis daarvan is de IP-adressering. Elke computer, NAS of IP-camera heeft een IP-adres. Elk adres bestaat uit vier blokken van elk maximaal 3 cijfers, van 0 tot 255.

Alle adressen zitten dus tussen 0.0.0.0 en 255.255.255.255, in totaal 4.294.967.296 IP-adressen (2^32). Van al die adressen zijn een paar blokken alleen voor gebruik op privénetwerken, deze kunnen niet op internet worden gebruikt. Dit zijn 10.0.0.0 tot 10.255.255.255, 127.0.0.0 tot 127.255.255.255 en 192.168.0.0 tot 192.168.255.255. Dit geldt overigens voor IPv4. Er is inmiddels een opvolger in de vorm van IPv6, waarbij er genoeg IP-adressen beschikbaar zijn om ieder apparaat een uniek adres te geven. IPv6 wordt echter nog nauwelijks gebruikt.

05 Meerdere routers in het thuisnetwerk

In veel huizen hangt de eigen router achter een router van de internetprovider. Je hebt dan dus twee routers tussen de IP-camera en het internet en je moet dan ook op beide de portforwarding regelen. Je kunt dat heel precies doen door op Router1 een portforwarding-regel maken naar Router2 en van daar nog weer naar de IP-camera. Je kunt Router2 ook in de DMZ (demilitarized zone) van Router1 zetten, dan worden alle verbindingen die binnenkomen naar de tweede router doorgezet.

©PXimport

Zitten er twee routers in het netwerk, dan is op beide portforwarding noodzakelijk.

TCP/IP-poorten

Om een NAS of IP-camera te ontsluiten moet je behalve het IP-adres ook het poortnummer weten waarop de service van dat apparaat bereikbaar is. Een webserver draait bijvoorbeeld standaard op poortnummer 80 en een beveiligde webserver op poortnummer 443. Een apparaat in het netwerk heeft doorgaans één IP-adres met 65.536 mogelijke poortnummers. Zijn op een NAS meerdere diensten actief, bijvoorbeeld een webserver en een ftp-server, dan zal de webserver doorgaans op poort 80 werken en de ftp-server op poort 21. Je kunt echter in de configuratie van de NAS of IP-camera zelf met het poortnummer schuiven en de webserver bijvoorbeeld op poort 2000 draaien als je dat wilt. Tevens kun je aan de internetkant kiezen voor een andere poort dan binnen je netwerk.

Draait de webserver op de NAS bijvoorbeeld op poort 80, kun je die aan de buitenkant koppelen aan poort 5000. Daarom moet je bij elke regel voor portforwarding altijd een externe poort opgeven en een interne. De eerste is de poort op de router, de tweede die op de NAS. De poorten tot en met 1023 zijn gereserveerd voor standaardservices, de poorten boven de 1024 kun je altijd vrij gebruiken.

06 Portforwarding bij ASUS

ASUS behoort inmiddels tot de populairste routermerken. We gebruiken de RT-N66U, maar de firmware komt overeen met die van de meeste ASUS-routers. Log in op de webinterface van de router en blader naar WAN. Klik op Virtual Server/Port Forwarding. Kies bij Enable Port Forwarding voor Yes. Bij Famous Server List kun je nu een veelvoorkomende service kiezen zoals ftp of http (website) waarna de router al het goede poortnummer invult. Je kunt dit ook handmatig doen, dat is zelfs noodzakelijk bij niet-standaard poorten die niet in de lijst met voorgedefinieerde services zitten. Klik in de regel onder Port Forwarding List en type bij Service Name een naam voor deze dienst zodat die later duidelijk te herkennen is.

©PXimport

Toegang tot de webinterface van de NAS op poort 8080 is nu opengezet vanaf internet voor alle browsers op poort 80.

Bij Portrange zet je het poortnummer of de poortnummers waarmee je aan de WAN-kant aanklopt. Selecteer bij Local IP het juiste IP-adres uit de lijst of typ dit IP-adres zelf in. Vul bij Local Port het poortnummer in van de betreffende netwerkdienst op de NAS of IP-camera. Selecteer het protocol (TCP, UDP of BOTH) en bevestig met een klik op Add en Apply.

©PXimport

De ASUS-router weet welke apparaten op zijn interne netwerk zitten en deze kun je ook selecteren bij het configureren van de portforwarding.

TCP, UDP of beide

Bij elke regel voor portforwarding wordt gevraagd of het TCP, UDP of beide (Engels: both) is. TCP en UDP zijn allebei protocollen die het transport van netwerkpakketjes regelen. Het verschil tussen de twee is dat TCP zekerder is, van elk pakketje dat het verstuurt vraagt het om een bevestiging van ontvangst. UDP doet dat niet. Bovenliggende protocollen als http en ftp kunnen vaak met beide overweg. TCP heeft daarbij vaak de voorkeur. Welke je moet gebruiken is afhankelijk van het protocol. Bij twijfel, kies beide. Werkt het niet, wissel dan tussen de drie opties.

07 Portforwarding bij TP-Link

De webinterface van de TP-Link Archer C2 AC750 is gelijk aan die van veel andere routers van TP-Link. Log in op de router en open het menu NAT. Belangrijk is dat bij beide NAT-opties in dat venster de optie Enabled is geselecteerd. Is dat niet het geval, pas dat dan aan en klik op de knop Save. Klik dan op Forwarding / Virtual Server. TP-Link noemt elke machine die op het thuisnetwerk services aanbiedt op het internet een virtual server. Klik op Add new. Je moet nu een regel maken voor de firewall. Deze begint met de Service Port, dat is het externe poortnummer waarmee je vanaf internet aanklopt op de WAN-kant van de router. Bij IP Address komt het IP-adres van de NAS of IP-camera, bij Internal Port het poortnummer op de NAS of IP-camera waar de dienst op te bereiken is die je wilt kunnen gebruiken. Selecteer bij Protocol de juiste instelling (TCP of UDP) en bevestig met Save. De regel is meteen actief.

©PXimport

Twee portforwarding-regels op de TP-Link. Eenmaal binnenkomend poort 5000 naar poort 80 op de NAS en eenmaal binnenkomend poort 80 naar poort 80 op de IP-camera.

©PXimport

TP-Link biedt meerdere NAT-opties, maar de standaardinstelling werkt het beste voor portforwarding.

08 Portforwarding bij Sitecom

Sitecom is één van de populairste routermerken in Nederland. De interface van de door ons gebruikte X8 AC1750 is hetzelfde als veel andere Sitecom-routers. Log in op de beheerpagina van de router en schakel eerst over naar het Nederlands via het menu rechtsboven. De Sitecom heeft een tabblad genaamd Firewall, maar voor portforwarding moet je bij het tabblad Geavanceerd zijn. Klik op Virtuele Server en zet een vinkje voor de optie Virtuele Server aan.

Typ nu bij Lokaal IP het IP-adres van de NAS of de IP-camera op het thuisnetwerk. Bij Lokale poort zet je het poortnummer van de service op de NAS of IP-camera, bij Type kies je weer TCP, UDP of Beide, en bij Publieke poort zet je het poortnummer waarmee je vanaf internet verbinding maakt. Geef de regel een naam in het vak Commentaar en bevestig via Toevoegen en daarna Toepassen. Je kunt meerdere regels toevoegen, en via Selecteren later ook verwijderen.

©PXimport

Sitecom gebruikt de Virtuele Server-functie voor het toegang geven aan een systeem op het LAN vanaf het internet.

09 Portforwarding bij Netgear

We hebben voor Netgear de Nighthawk R7000 gebruikt, maar de interface komt overeen met andere Netgear-routers. Kies in de webinterface Geavanceerd / Geavanceerde instellingen. Klik op Poort doorsturen / poort activeren. Gaat het om een standaard poort, dan kun je die in het menu Servicenaam selecteren en daarna het IP-adres compleet maken. Klik dan op Toevoegen. Wil je meer maatwerk, bijvoorbeeld een niet-standaard poort of een andere poort aan de buitenkant van de router dan waar je naar doorzet op het LAN, klik dan op de wat minder goed zichtbare knop Aangepast service toevoegen. Typ een Servicenaam voor de herkenbaarheid en kies TCP, UDP of TCP/UDP. Je kunt één poort gebruiken door bij Externe beginpoort en Externe eindpoort hetzelfde poortnummer in te vullen, maar je kunt ook meerdere poorten ineens configureren door een reeks te maken met begin- en eindpoortnummers die niet gelijk zijn.

©PXimport

Netgear biedt veel configuratieopties voor de portforwarding op één overzichtelijke pagina.

Als je een andere poort op het LAN wilt gebruiken, haal je het vinkje weg bij Gebruik hetzelfde poortbereik voor interne poort en typ je de poortnummers in. Voer het IP-adres in of selecteer het apparaat in de lijst met Aangesloten apparaten en bevestig met Toepassen.

©PXimport

Wil je een standaard poortnummer één op één doorzetten van WAN naar LAN, dan kun je die selecteren uit het menu met standaard services.

10 Portforwarding met Linksys

Linksys is tegenwoordig onderdeel van Belkin, maar heel veel routers draaien nog software met vooral verwijzingen naar Cisco. Deze verschillen tussen de oudere en nieuwere modellen zijn vooral cosmetisch. Kies in de webinterface Beveiligingsconfiguratie weergeven en wijzigen. Voor portforwarding open je het derde tabblad Toepassingen en games. Linksys biedt de mogelijkheid een poortbereik door te sturen, maar kies voor Enkele poort doorsturen. Klik dan op Doorsturen één poort toevoegen. Geef de regel een naam bij Naam toepassing, voeg een Externe poort toe voor het poortnummer waarmee je vanaf het internet bij de router aanklopt, en een Interne poort, waarop de service actief is op de NAS of IP-camera.

©PXimport

Let er op dat je het vinkje Waar aan vinkt.

Selecteer bij Protocol de optie TCP, UDP of Beide en voeg het IP-adres toe. Let erop dat er een vinkje staat in de kolom Ingeschakeld en klik dan op Opslaan. Bevestig met Toepassen of OK onderop de pagina.

©PXimport

Gemiste kans: het overzicht van aangesloten apparaten kan niet gebruikt worden om eenvoudig een port te forwarden.

Verbinden met alternatieve poort

Wanneer je een website opent, maakt de browser contact met poort 80 van de webserver. Als je 'https' voor de naam van de site zet, dan is dat poort 443. Je kunt de browser echter ook forceren om met een andere poort contact te maken. Dat is noodzakelijk wanneer je zelf op de router als externe poort voor een service bijvoorbeeld poort 5000 hebt geconfigureerd. Om met een browser op een andere poort te verbinden dan de standaardpoort 80, zet je achter het IP-adres of de domeinnaam een dubbele punt en dan het poortnummer. In het geval van poort 5000 wordt dat bijvoorbeeld http://123.12.34.23:5000. Als IP-adres gebruik je het WAN-IP-adres van je router.

Bij ID.nl zijn we dol op kwaliteitsproducten waar je niet de hoofdprijs voor betaalt. Een paar keer per week speuren we binnen een bepaald thema naar zulke deals. Gek op Italiaans eten? Kijk dan eens naar een pizzarette: een elektrische tafeloven waarbij iedereen aan tafel zijn eigen mini-pizza's kan beleggen en bakken. Wij vonden er vijf voor je.

Een pizzarette is een elektrische tafeloven met een terracotta koepel, vergelijkbaar met gourmetten. Iedereen aan tafel belegt zijn eigen mini-pizza en schuift deze via openingen in de oven. Binnen enkele minuten heb je een versgebakken, krokante pizza. Het is een gezellige, sociale manier om samen te eten. Wij vonden vijf mooie modellen voor een gezellige avond voor minder dan 100 euro.

Emerio PO‑115848 Pizzarette

Dit model van Emerio is geschikt voor zes personen maar heeft een iets ander ontwerp. De terracottadom is gecombineerd met een stevige kunststof basis met antislipvoetjes. Het apparaat gebruikt ongeveer 1200 watt, wat betekent dat de pizzarette snel op temperatuur komt. De bakplaat is voorzien van een antiaanbaklaag waardoor deeg niet blijft plakken en je weinig tot geen olie nodig hebt. Je kunt de pizzarette niet alleen voor pizza gebruiken; met de zes bijgeleverde spatels maak je ook minipannenkoekjes of wraps. Bovenop de dom bevinden zich kleine openingen zodat stoom kan ontsnappen, wat een knapperige korst bevordert. Een controlelampje laat zien wanneer de oven klaar is voor gebruik.

Review.nlis hét testpanel-platform van Kieskeurig.nl waar je als consument de unieke kans krijgt om de nieuwste producten, zoals elektronica en huishoudelijke apparaten, uitgebreid thuis te proberen. Het concept is eenvoudig: je meldt je aan voor specifieke testacties die jou aanspreken. Word je geselecteerd, dan ontvang je het product om het enkele weken in je eigen omgeving te gebruiken.

In ruil voor deze ervaring deel je jouw ongezouten, eerlijke mening in een review om andere kopers te helpen. Na de testperiode is het zelfs soms mogelijk om het product met een mooie korting over te nemen.

Ariete 919 pizzaoven

Wat deze pizzarette uniek maakt, is de speciale 'Pre-Bake' functie op de platte bovenkant van de handgemaakte terracotta koepel. Hiermee bak je het deeg kort voor voordat je het belegt, wat garandeert dat je pizza’s een perfecte, krokante bodem krijgen en niet zompig worden door de tomatensaus. De poreuze terracotta koepel absorbeert bovendien vocht tijdens het bakken, wat bijdraagt aan die authentieke steenoven-smaak. Dankzij het krachtige vermogen van 1500 Watt zijn de creaties in slechts enkele minuten gaar en knapperig. De set is compleet uitgevoerd met acht geïsoleerde bakspatels en een handige deeguitsteker, zodat je direct aan de slag kunt. Of het nu voor een kinderfeestje is of een uitgebreid diner, met deze Emerio Pizzarette wordt samen eten een culinair feestje zonder gedoe.

Emerio PO‑115985 Pizzarette

Voor kleinere gezelschappen is er de Emerio PO‑115985. Deze compacte pizzarette is ontworpen voor vier personen en heeft een vermogen van 900 watt. Net als bij de andere modellen zorgt een terracottadom voor een gelijkmatige warmteverdeling. De bakplaat is voorzien van een antiaanbaklaag waardoor je deeg of andere ingrediënten eenvoudig omdraait. Het apparaat wordt geleverd met vier hittebestendige spatels en heeft ventilatieopeningen om overtollige stoom af te voeren. Met dit toestel bak je niet alleen pizza’s; je kunt er ook kleine broodjes of taartjes mee maken. Doordat het model compacter is, neemt het minder ruimte in op tafel.

Tristar PZ‑9160 Pizza Festa Gourmet

De Tristar PZ‑9160 onderscheidt zich doordat hij drie functies combineert: pizza’s bakken, raclette en gourmetten. Dit tafeltoestel van 1800 watt heeft een grote ronde bakplaat waarboven je een terracottadom plaatst voor pizza’s. Onder dezelfde kap kun je ook kleine pannetjes gebruiken voor kaas of vlees; ze zijn voorzien van een antiaanbaklaag en worden verlicht door een indicatielampje. De temperatuur stel je handmatig in via een draaiknop en een controlelampje geeft aan wanneer het toestel warm is. De set wordt geleverd met zes spatels, zodat je met zes personen kunt koken. Dankzij de antislipvoetjes blijft de unit stabiel op tafel. De PZ‑9160 is sinds 2021 verkrijgbaar.

Emerio Pizzarette PO‑1158471

De Emerio PO‑1158471 is de vierpersoonsversie van de bekende pizzarette. Dit apparaat verbruikt ongeveer 1100 watt en heeft een keramische bakplaat met een antiaanbaklaag, zodat pizza’s niet vastplakken. De terracottadom zorgt voor een gelijkmatige warmte en een knapperige korst. Openingen aan de bovenkant laten stoom ontsnappen en voorkomen dat de pizza te vochtig wordt. Bij de set krijg je vier spatels met geïsoleerde handvatten. Omdat dit model kleiner is, neemt het niet veel plaats in op tafel en is het ook geschikt voor kleinere huishoudens. De pizzarette is geschikt voor gebruik met kant‑en‑klare pizzabodems of zelfgemaakt deeg.

Hoewel wachtwoordloze technieken als toegangssleutels snel terrein winnen, doe je er voorlopig goed aan slim om te gaan met je huidige wachtwoorden. De tips en (gratis) tools in dit artikel helpen je bij het opzetten van degelijk wachtwoordbeheer.

Cloudbeheer

Telkens hetzelfde wachtwoord gebruiken voor meerdere apps en diensten is sterk af te raden, maar verschillende complexe wachtwoorden onthouden lukt haast niet zonder een wachtwoordbeheerder. Een degelijke, gratis optie is het opensource Bitwarden. Kies eerst een hoofdwachtwoord en installeer daarna de desktop-app, browserextensies (voor automatisch invullen) en/of de mobiele app. Je wachtwoordkluis wordt end-to-end versleuteld in de cloud bewaard en wordt via je account gesynchroniseerd. Kies bij voorkeur bitwarden.eu als serverlocatie. Je kunt ook creditcards en andere gevoelige gegevens in je kluis bewaren.

Lokaal beheer

Bitwarden is een uitstekende wachtwoordmanager, maar functies als TOTP-authenticatie (Time-based One-Time Password) zijn alleen beschikbaar in de betaalde versie. Misschien stoort het je ook dat je wachtwoordkluis in de cloud wordt opgeslagen. Een gratis, opensource-alternatief is KeePassXC. Deze bewaart alles lokaal in een versleuteld bestand, van wachtwoorden en creditcards tot notities. De app werkt volledig offline, ondersteunt ook TOTP-authenticatie en vult inloggegevens automatisch in via een browserextensie. Wil je toch synchronisatie, dan kun je de database delen via een cloudopslagdienst als Google Drive of Dropbox, of met Syncthing.

Algoritme

Bij wachtwoordbeheerders als Bitwarden en KeePassXC worden je wachtwoorden opgeslagen. LessPass pakt het anders aan. Deze bewaart niets, maar genereert je wachtwoorden telkens opnieuw via een algoritme op basis van je hoofdwachtwoord, gebruikersnaam en sitenaam. Uit veiligheidsoverwegingen gebruik je hiervoor liefst de browserextensie of mobiele app, zodat alles lokaal gebeurt. Omdat nergens iets wordt opgeslagen, is dit systeem veilig, maar je moet bij elke herberekening wel exact dezelfde gegevens ingeven. Automatisch invullen of ondersteuning voor notities ontbreekt helaas.

Browsers

Gebruik je bijna uitsluitend je browser voor allerlei aanmeldingen, dan kun je ook de ingebouwde wachtwoordbeheerfunctie gebruiken. Deze zit in de meeste Chromium-browsers en in Firefox. In Chrome ga je naar Instellingen / Jij en Google / Synchronisatie en Google-services. Schakel de functie in en zorg dat bij Beheren wat je synchroniseert ook Wachtwoorden en toegangssleutels is aangevinkt. Wil je liever niet synchroniseren, dan kun je wachtwoorden ook handmatig exporteren en importeren via Instellingen / Automatisch invullen en wachtwoorden / Google Wachtwoordmanager. Kies daar Instellingen en Wachtwoorden exporteren. Je kunt het opnieuw inladen via Wachtwoorden importeren. Verwijder eventueel het csv-bestand na gebruik. Firefox biedt vergelijkbare opties.

2FA

Zelfs met een degelijke wachtwoordbeheerder blijven wachtwoorden een zwakke schakel: ze zijn te eenvoudig, je vergeet of verliest ze, je geeft ze in op phishing-sites of malware onderschept ze. Daarom is het aangeraden om 2FA, oftewel tweestapsverificatie, te activeren. Daarbij is naast je wachtwoord een extra factor nodig, zoals een pincode, TOTP, sms, pushmelding, biometrie of een beveiligingssleutel. Een handig overzicht van sites en diensten die 2FA ondersteunen, met info over de gebruikte methoden en links naar de instelinstructies, vind je op https://2fawebsites.github.io en op de thematische https://2fa.directory.

Authenticator

Er bestaan meerdere verificatiemethoden voor 2FA, maar vrijwel alle diensten ondersteunen verificatie zowel via sms als via TOTP. Bij TOTP is geen internet of gsm-netwerk nodig, wat het minder kwetsbaar maakt voor onderschepping of sim-swapping. Om zulke codes te genereren heb je een TOTP-authenticator-app nodig. Goede gratis opties zijn Google Authenticator, Microsoft Authenticator (ondersteunt geen wachtwoordbeheer en autofill meer), Aegis Authenticator en Authy. Alle vier ondersteunen TOTP en bieden een back-upfunctie. Wil je je codes exporteren, dan lukt dit het best met Google of Aegis. Deze laatste is ook opensource, maar is enkel beschikbaar voor Android. Authy is veelzijdigst, want bruikbaar op Android, iOS, macOS en Windows.

Herstelcodes

De meeste diensten met 2FA laten je ook herstelcodes gebruiken. Deze bieden een uitweg als je tijdelijk geen toegang hebt tot andere aanmeldopties, bijvoorbeeld bij verlies van je smartphone. Bewaar deze herstelcodes tevens digitaal, zoals in het notitiegedeelte van je favoriete wachtwoordmanager, in een versleutelde VeraCrypt-container of in een versleuteld cloudbestand. Bij Google vind je tot 10 herstelcodes via https://myaccount.google.com/security, bij Back-upcodes. Bij Microsoft is dit beperkt tot één code: ga naar https://account.microsoft.com/security, klik op Beheren hoe ik me aanmeld en kies Een nieuwe code genereren.

Gehackt?

Het is verstandig om regelmatig te controleren of een van je login-id's al in een online datalek voorkomt. Dit kan via Have I Been Pwned. Hier vul je e-mailadres in en je ziet meteen hoeveel en welke datalekken er zijn. Klik bovenaan op Notify Me voor een gratis melding zodra je adres in een nieuw lek opduikt. Klik op Passwords om te controleren of een wachtwoord reeds voorkomt in een datalek.

In Chrome kun je via chrome://password-manager/checkup?start=true eveneens een wachtwoordcheck uitvoeren. Je ziet ook hoeveel wachtwoorden zwak zijn of worden hergebruikt.

Anti-phishing

Wachtwoorden bieden weinig bescherming tegen phishing-sites, dus zorg ervoor dat je hiertegen zo goed mogelijk beveiligd bent. In je browser, zoals Chrome, ga je naar Instellingen, kies Privacy en beveiliging / Beveiliging en activeer bij voorkeur Geoptimaliseerde beveiliging bij Safe Browsing, of anders Standaardbeveiliging. Daarnaast kun je via DNS phishing-sites al blokkeren voor ze laden. Een optie is het gebruik van de nieuwe Europese publieke DNS4EU-resolvers. Kies hier voor Protective resolution (86.54.11.1 en 86.54.11.201), eventueel aangevuld met kinderbescherming en/of advertentieblokkering. Op de site vind je stap-voor-stap-instructies.

E-mailadres

Veel diensten laten je een e-mailadres opgeven ingeval je je wachtwoord vergeet of je account wordt geblokkeerd. Je ontvangt dan een mail om je identiteit te bevestigen en een herstellink te krijgen. Gebruik hiervoor liefst niet je hoofdadres, want als iemand dat via een datalek bemachtigt, kan die herstelmails onderscheppen en je accounts via wachtwoordherstel overnemen. Je kiest dus beter een apart e-mailadres dat je nergens anders voor gebruikt. Bij Google kun je dit instellen op https://myaccount.google.com/security, bij Herstelmailadres.

Lees ook: Zo meld je phishing in Outlook en Gmail

Browserprofiel

Voor gevoelige accounts zoals online bankieren of je wachtwoordkluis kun je overwegen een apart browserprofiel te gebruiken. Malafide scripts of extensies uit je standaardprofiel worden zo niet geactiveerd. Zo beperk je ook tracering en fingerprinting, en voorkom je dat je per ongeluk ingelogd blijft, aangezien je in dat profiel geen andere sites bezoekt.

In Chrome maak je een nieuw profiel aan via het profielicoon rechtsboven. Kies Chrome-profiel toevoegen. Je kunt inloggen met een Google-account of klikken op Doorgaan zonder account. Kies een zoekmachine, vul een profielnaam in, selecteer een opvallend thema en klik op Klaar.

Aanmeldpogingen

Bij sommige diensten, zoals Google en Microsoft, ontvang je automatisch een e-mail of pushmelding zodra een nieuw apparaat of een nieuwe browser inlogt. Zo kun je snel ingrijpen, bijvoorbeeld door je wachtwoord aan te passen of verdachte sessies uit te loggen. Bij Google ga je naar https://myaccount.google.com/security. Scrol naar Je apparaten en klik op Apparaten beheren. Selecteer een sessie en kies Uitloggen. Bij Microsoft ga je naar https://account.microsoft.com/security en klik je op Mijn aanmeldactiviteiten weergeven.

Beveiligingssleutel

Je kunt een fysieke beveiligingssleutel (zoals de meeste YubiKeys) ook gebruiken om je wachtwoordkluis te openen in combinatie met je hoofdwachtwoord.

Installeer eerst Yubikey Manager en start dit programma. Ga naar Applications/OTP en klik op Configure bij een vrij slot. Kies Challenge-response en klik op Generate voor een geheime sleutel. Vink Require touch aan voor extra veiligheid. Bevestig met Finish.

Open vervolgens je database in KeePassXC en ga naar Database / Databasebeveiliging. Kies Aanvullende bescherming toevoegen / Challenge-Response toevoegen. Selecteer het juiste slot van je ingeplugde beveiligingssleutel en bevestig met OK.

Browserwachtwoorden

Gebruik je meerdere browsers en zoek je het wachtwoord van een specifieke site, wil je alle wachtwoorden exporteren voor import in een andere browser, of is je systeem gecrasht en wil je de wachtwoorden uit je browserprofielen halen? Dan kan het gratis WebBrowserPassView handig van pas komen (let op: je virusscanner kan een foutpositief geven). Pak het zip-bestand uit met het wachtwoord wbpv28821@ en start de portable app. Je krijgt een overzicht van alle gevonden sites en log-ins. Via Bestand / Geselecteerde items opslaan kun je exporteren naar diverse csv-formaten, zoals voor Chrome, KeePass en Firefox.

Toegangssleutels

Een mooie afsluiter lijkt ons een tip rond passkeys, oftewel toegangssleutels. Immers, steeds meer diensten (en wachtwoordmanagers) ondersteunen deze aanmeldmethode waarbij je geen wachtwoord meer hoeft in te voeren. Een passkey is een cryptografisch sleutelpaar: de publieke sleutel wordt bewaard bij de onlinedienst, terwijl de (afgeleide) private sleutel veilig op je toestel blijft, zoals je pc, smartphone of een fysieke beveiligingssleutel zoals een Yubikey.

Zo maak je een toegangssleutel aan bij Google. Ga naar https://g.co/passkeys en meld je aan. Klik twee keer op Toegangssleutel maken. Je toestel stelt nu een methode voor, zoals gezichtsherkenning, vingerafdruk of pincode. Bevestig de koppeling. Vanaf nu kun je je bij Google aanmelden vanaf dit toestel, zonder wachtwoord.