Passkeys: inloggen op WordPress zonder wachtwoord

Misschien heeft u het al gezien bij Google, Microsoft of uw bank: de vraag of u een “passkey” wilt aanmaken. Daarna logt u in met uw vingerafdruk, uw gezicht of de pincode van uw telefoon of laptop, zonder wachtwoord te typen. Ook voor WordPress-sites is dat mogelijk. In dit artikel leest u wat een passkey is, waarom het veiliger is dan een wachtwoord en hoe u het op uw eigen site gebruikt.

Wat is een passkey?

Een passkey is een digitale sleutel die op uw apparaat wordt opgeslagen, bijvoorbeeld op uw telefoon, uw laptop of in uw wachtwoordmanager. Bij het aanmaken krijgt de website alleen het “publieke” deel van die sleutel. Het geheime deel verlaat uw apparaat nooit. Als u inlogt, bewijst uw apparaat dat het de bijbehorende geheime sleutel heeft, en u bevestigt dat met uw vingerafdruk, gezicht of pincode.

Het is gebaseerd op een open standaard (FIDO2 en WebAuthn) die alle grote browsers en besturingssystemen ondersteunen. U heeft er dus geen speciaal apparaat voor nodig.

Waarom is het veiliger dan een wachtwoord?

• Phishing werkt niet. Een passkey is gekoppeld aan het echte adres van uw website. Een nagemaakte inlogpagina op een ander adres kan de passkey niet gebruiken, hoe echt die pagina er ook uitziet.
• Er valt niets te lekken. Wordt de database van een website buitgemaakt, dan staat daar alleen het publieke deel van de sleutel in. Daar kan een aanvaller niets mee.
• Geen hergebruik. Elke passkey hoort bij één website. Het klassieke probleem van hetzelfde wachtwoord op tien plekken bestaat niet.
• Raden is onmogelijk. De pogingen van bots om wachtwoorden te raden, die u in uw logboeken ziet, lopen bij een passkey nergens op uit. Over die aanvallen leest u meer in ons artikel over brute-force-aanvallen.

Kan WordPress dit?

WordPress zelf ondersteunt passkeys nog niet standaard. U voegt het toe met een plugin. Een aantal bekende beveiligingsplugins heeft passkeys inmiddels ingebouwd, en er zijn losse plugins die alleen deze functie toevoegen. Let bij het kiezen op:

• dat de plugin actief wordt onderhouden en recent is bijgewerkt;
• dat u per gebruiker meerdere passkeys kunt registreren, bijvoorbeeld voor uw telefoon én uw laptop;
• dat er een veilige terugvaloptie is als u uw apparaat kwijtraakt, zoals een tweede passkey of herstelcodes;
• dat de plugin samenwerkt met uw bestaande tweestapsverificatie, als u die al gebruikt.

Zo pakt u het verstandig aan

1. Begin bij de beheerders. De accounts met de meeste rechten zijn het interessantst voor aanvallers. Begin daar en breid daarna uit naar redacteuren.
2. Registreer minstens twee passkeys per persoon. Bijvoorbeeld één op de telefoon en één op de laptop of in de wachtwoordmanager. Zo sluit een kapotte telefoon u niet buiten.
3. Bewaar herstelcodes op een veilige plek. Niet in een mail aan uzelf, wel in een wachtwoordmanager of op papier in een kluis.
4. Zet het wachtwoord niet meteen uit. Gebruik passkeys eerst een tijd naast het wachtwoord met tweestapsverificatie, totdat iedereen eraan gewend is. Hoe die tweede stap werkt, staat in ons artikel over tweestapsverificatie.
5. Test eerst op een kopie. Een fout in een inlogplugin kan iedereen buitensluiten. Hoe u dan weer binnenkomt, leest u in een plugin uitschakelen via FTP.

Voor wie is dit de moeite waard?

Voor elke site met meer dan één beheerder, voor webshops en voor sites met een klantportaal is het een duidelijke verbetering. Werkt u alleen en gebruikt u al een wachtwoordmanager met tweestapsverificatie, dan bent u al goed beschermd; een passkey maakt het dan vooral makkelijker.

Wat u zelf doet en wanneer u hulp inschakelt

Een passkey aanmaken voor uw eigen account is een kwestie van een paar klikken als de plugin eenmaal draait. Het kiezen en testen van die plugin, het inrichten voor alle gebruikers en het regelen van een veilige terugvaloptie doen wij in onze websitebeveiliging, zodat niemand zichzelf per ongeluk buitensluit.