Vraag een willekeurige ondernemer waar de inloggegevens van zijn website staan, en u krijgt grofweg drie antwoorden. In een Excel-bestand op de laptop van de eigenaar. In een WhatsApp-gesprek uit 2022 met de webbouwer. Of: “dat weet Marloes.” Alle drie werken ze prima, totdat de laptop stuk gaat, de webbouwer stopt of Marloes een andere baan neemt.

Een wachtwoordmanager voor uw bedrijf lost dat op, en het is een van de weinige beveiligingsmaatregelen die tegelijk het werk makkelijker maakt. Geen wachtwoorden meer overtypen, geen “welke was het ook alweer”, en bij vertrek van een medewerker trekt u toegang in met één klik. In dit artikel leest u hoe u dat praktisch inricht voor de gegevens rond uw website: hosting, domein, WordPress, mail en alle koppelingen die daaraan hangen.

Waarom Excel, browser en WhatsApp geen oplossing zijn

Alle drie de gangbare methodes hebben hetzelfde probleem: er is geen scheiding tussen bewaren en delen, en er is geen manier om iets terug te draaien.

Een Excel- of Word-bestand staat vrijwel altijd onversleuteld op een schijf of in een gedeelde map. Wie toegang heeft tot de map, heeft toegang tot alles. Wordt de laptop besmet met malware die naar bestanden zoekt, dan ligt uw hele bedrijf op straat. En u weet nooit wie er een kopie heeft gemaakt.

De wachtwoordopslag van uw browser is beter dan niets en tegenwoordig redelijk versleuteld, maar hij zit vast aan één persoon en één profiel. Delen kan niet netjes, en op de dag dat de eigenaar van dat profiel wegvalt of zijn Google-account kwijtraakt, is alles weg.

WhatsApp, e-mail en Teams-berichten zijn het lastigst. Een wachtwoord dat u ooit hebt geappt, staat op minstens twee telefoons, in twee back-ups en mogelijk in de cloud van twee mensen. Dat bericht is er over vijf jaar nog. Bij een gestolen telefoon zonder pincode is het meteen leesbaar.

Daar komt bij dat mensen die hun wachtwoorden zelf moeten onthouden, ze hergebruiken. En hergebruik is de belangrijkste reden dat WordPress-sites worden overgenomen: het beheerderswachtwoord lekt bij een webshop of forum waar u ooit een account maakte, en verschijnt maanden later in een lijst die aanvallers geautomatiseerd uitproberen. Hoe u een wachtwoord opbouwt dat dat overleeft, leest u in het artikel over sterke wachtwoorden in WordPress.

Wat een wachtwoordmanager voor uw bedrijf oplevert

Een wachtwoordmanager is een versleutelde kluis met een app of browserextensie ervoor. U onthoudt één hoofdwachtwoord; de rest wordt automatisch ingevuld. Voor een bedrijf zijn vooral vier dingen van belang, en die vindt u niet in de gratis persoonlijke varianten.

  • Gedeelde kluizen. U maakt een map “Website” waar de mensen in zitten die er iets mee moeten. Nieuwe medewerker: toevoegen aan de map, klaar. Vertrek: verwijderen uit de map, en het toegangsrecht is weg.
  • Delen zonder tonen. Bij de meeste zakelijke pakketten kan iemand inloggen zonder het wachtwoord te zien. Handig voor een tijdelijke kracht of een extern bureau.
  • Een logboek. U ziet wie wat wanneer heeft geopend. Bij een incident is dat het verschil tussen weten en gissen.
  • Noodtoegang. Een tweede persoon die na een wachttermijn bij de kluis kan als de beheerder wegvalt. Onmisbaar in een eenmanszaak of een klein bedrijf waar alles bij één iemand ligt.

Bekende zakelijke opties zijn Bitwarden, 1Password, Keeper en Dashlane. De verschillen zitten vooral in de interface en de prijs; qua versleuteling doen ze allemaal hetzelfde principe, waarbij het ontsleutelen op uw eigen apparaat gebeurt en de aanbieder uw gegevens niet kan lezen. Reken op ruwweg drie tot acht euro per gebruiker per maand. Bitwarden heeft een variant die u zelf kunt hosten, wat sommige organisaties prettig vinden; in de praktijk vraagt dat wel weer onderhoud van uzelf.

Welke gegevens horen erin

Bijna iedereen zet het WordPress-wachtwoord in de kluis en vergeet de rest. Juist de rest is bij een storing het lastigst terug te vinden. Neem deze lijst als basis.

  1. Domeinregistrar — waar de domeinnaam staat, met het contact-e-mailadres dat eronder hangt.
  2. Hosting — het klantpaneel, plus eventueel FTP/SFTP en de databasegegevens.
  3. WordPress-beheerder — met vermelding van het inlogadres, want dat is niet altijd het standaardadres.
  4. DNS-beheer, als dat ergens anders zit dan de hosting.
  5. E-mail — Microsoft 365 of Google Workspace, inclusief het beheerdersaccount.
  6. Licenties van betaalde plugins en thema’s, met de licentiesleutel en de verloopdatum.
  7. Koppelingen: betaaldienst, verzendpartij, boekhouding, nieuwsbrief, Analytics, Search Console.
  8. Herstelcodes van tweestapsverificatie. Die krijgt u één keer te zien en bewaart bijna niemand.

Zet bij elk item een notitie: waar het voor dient en wie de eigenaar is. Uw toekomstige zelf, of degene die het van u overneemt, is daar erg blij mee.

Zo richt u het in, in ongeveer een uur

  1. Kies een pakket en maak accounts voor de mensen die toegang moeten hebben. Houd die groep klein: drie mensen die alles kunnen is veiliger dan tien.
  2. Maak twee kluizen. Eén “Kritiek” met domein, hosting en e-mail, alleen voor de eigenaar en één plaatsvervanger. Eén “Website” met WordPress en de koppelingen, voor het bredere team.
  3. Zet tweestapsverificatie op de kluis zelf. Dit is het slot op het slot; sla deze stap niet over.
  4. Voer de gegevens in en test elk item meteen. Klopt het wachtwoord nog? U zult verbaasd zijn hoeveel er niet meer werkt.
  5. Vervang direct alles wat hergebruikt of te kort is door een gegenereerd wachtwoord van twintig tekens. Nu de manager het onthoudt, mag het onleesbaar zijn.
  6. Print de herstelcodes van de kluis en leg ze fysiek op een veilige plek, bijvoorbeeld bij de bedrijfspapieren. Digitaal ergens opslaan is een cirkelredenering.
  7. Verwijder de oude bronnen. Gooi het Excel-bestand weg, ook de kopieën, en wis de wachtwoordberichten uit uw appgeschiedenis.

Een installatiebedrijf uit Apeldoorn deed dit na een vervelende ervaring: de vaste ICT-man vertrok en niemand kwam nog bij het hostingpaneel. Twee weken bellen, mailen en een verklaring op briefpapier later was de toegang hersteld. Sindsdien staat alles in een gedeelde kluis met twee beheerders en een jaarlijkse controle. De invoering kostte een middag.

Delen met een extern bureau

Een externe partij hoort geen wachtwoord per mail te krijgen, ook niet “even tijdelijk”. Werk in plaats daarvan met een eigen account op naam van die partij, met precies de rechten die nodig zijn en een einddatum in uw agenda. Voor WordPress betekent dat een eigen beheerdersaccount in plaats van het uwe; voor hosting een subgebruiker als het paneel dat ondersteunt. De volledige werkwijze staat in het stappenplan om een bureau veilig toegang te geven.

Serieuze partijen vragen hier zelf om, en ze leveren de toegang ook weer netjes in. Loopt de samenwerking af, dan verwijdert u het account en draait u de wachtwoorden die gedeeld zijn. Dat laatste vergeet vrijwel iedereen. Wie doorlopend WordPress-support en beheer uitbesteedt, doet er goed aan die intrekprocedure één keer op papier te zetten, zodat het niet van iemands geheugen afhangt.

Volgende stap

Begin klein: maak vandaag een kluis aan en zet er drie dingen in — domein, hosting en uw WordPress-beheerdersaccount. Dat is het deel waar u bij een storing binnen vijf minuten bij moet kunnen. De rest vult u aan wanneer u het tegenkomt. Zet daarna één afspraak in uw agenda: een jaarlijkse controle waarin u nakijkt of alle gegevens nog kloppen en of er niemand toegang heeft die er niet meer hoort te zijn.