[Password Managers] Discussie- en reviewtopic

[Hippe Lip]

RobbyTown schreef op dinsdag 24 februari 2026 @ 19:05:
@Bastien Ik heb destijds EU prijs weergave gepakt + https://start.1password.eu/sign-up/ mijn account aangemaakt ipv de .com (anders zou de data nog in de VS staan ipv EU).

Waar die data staat lijkt me minder uitmaken dan wie de data opslaat. Volgens de VS-wetgeving kan de overheid bij Amerikaanse bedrijven opvragen, ongeacht of die in de VS staan of in de EU.

Dat is precies een van de redenen dat ik weg wil bij LastPass.

[Bastien]

RobbyTown schreef op dinsdag 24 februari 2026 @ 19:05:
@Bastien Ik heb destijds EU prijs weergave gepakt + https://start.1password.eu/sign-up/ mijn account aangemaakt ipv de .com (anders zou de data nog in de VS staan ipv EU). 1 van 2 de reden zou dat kunnen zijn. Heb je op .com aangemaakt helaas kun je dan niet zo 123 naar .eu migratie doen, dat word geheel een nieuw account optuigen.

Ach ja, het bedrijf is hetzelfde, maakt mij niet zoveel uit. Wel fijn trouwens dat als je naar www.1password.eu gaat je automatisch naar www.1password.com doorgestuurd wordt. Via jouw link of my.1password.eu blijf je er wel.

[Imre Himmelbauer]

Hey guys,

Is er iemand die een maandelijks abonnement heeft bij 1Password? Ik vermoed dat het bedrijf al eerder een prijsverhoging heeft doorgevoerd bij maandelijkse abonnees en wil kijken of mensen daarover zijn geïnformeerd.

[Miki]

Bastien schreef op dinsdag 24 februari 2026 @ 20:08:
[...]

Ach ja, het bedrijf is hetzelfde, maakt mij niet zoveel uit. Wel fijn trouwens dat als je naar www.1password.eu gaat je automatisch naar www.1password.com doorgestuurd wordt. Via jouw link of my.1password.eu blijf je er wel.

Het bedrijf is hetzelfde, de diensten ook maar je data wordt echt ergens anders ondergebracht, namelijk in Duitsland ipv een Amerikaanse server. Als je een dienst als NextDNS gebruikt kun je tracken waar je passwords worden opgehaald.

[bram91]

Hippe Lip schreef op dinsdag 24 februari 2026 @ 19:38:
[...]

Waar die data staat lijkt me minder uitmaken dan wie de data opslaat. Volgens de VS-wetgeving kan de overheid bij Amerikaanse bedrijven opvragen, ongeacht of die in de VS staan of in de EU.

Dat is precies een van de redenen dat ik weg wil bij LastPass.

1Password is niet Amerikaans, maar Canadees.

[Unknown Alien]

Hier zakelijk en prive ook een betaalde pwd mgr.

Leuk dat hij niet te raden wachtwoorden voor je verzint, maar wat heb je daaraan als de website slecht beveiligd is en je credentials zijn gehacked?? Juist heb je geen klap aan dat je wachtwoord 30 karakters is

Maar goed het is iig een stuk veiliger en het risico om je account kwijt te raken is een stuk kleiner, dan wanneer je pwd = Liefje2012

[ZeRoC00L]

Unknown Alien schreef op woensdag 25 februari 2026 @ 09:13:

Leuk dat hij niet te raden wachtwoorden voor je verzint, maar wat heb je daaraan als de website slecht beveiligd is en je credentials zijn gehacked?? Juist heb je geen klap aan dat je wachtwoord 30 karakters is

Jawel, met een password manager maakt je (over het algemeen) unieke wachtwoorden per site. Ipv dat de meeste mensen hun standaard wachtwoord (P@ssword1) gebruiken op alle sites.

[Room42]

Wat een nare sales-praktijken op die site van 1password, zeg! Prijzen Excl. BTW, ook bij jaarprijzen enkel de maandprijs noemen (geen totaal per jaar), etc. Voor mij een afknapper om erover na te denken.

[Unknown Alien]

ZeRoC00L schreef op woensdag 25 februari 2026 @ 09:21:
[...]

Jawel, met een password manager maakt je (over het algemeen) unieke wachtwoorden per site. Ipv dat de meeste mensen hun standaard wachtwoord (P@ssword1) gebruiken op alle sites.

Je begrijpt me verkeerd. Als een webshop waar die je inlog gegevens opslaat en die webshop wordt gehacked, waardoor de hacker je credentials kan zien, dan maakt het niet uit hoe lastig je wachtwoord\passphrase is.

Ik ben ook van mening dat ze het wettelijk moeten maken, dat wanneer je ergens een account aanmaakt, dat ze je de mogelijkheid moeten bieden om MFA te activeren en gebruiken.

Heb al meerdere websites gehad die bv een passphrase van 20 karakters zien als onveilig O_o ..ik maak daar dan geen account aan.

[Hippe Lip]

Unknown Alien schreef op woensdag 25 februari 2026 @ 10:01:
[...]
Heb al meerdere websites gehad die bv een passphrase van 20 karakters zien als onveilig O_o ..ik maak daar dan geen account aan.

Wat is daaraan mis dan? Dan maak je toch een wachtwoord van meer dan 20 karakters?
Mijn standaard zit op 30.

[Unknown Alien]

Hippe Lip schreef op woensdag 25 februari 2026 @ 10:30:
[...]

Wat is daaraan mis dan? Dan maak je toch een wachtwoord van meer dan 20 karakters?
Mijn standaard zit op 30.

Het feit dat hun systeem een passphrase als onveilig zien, terwijl een passphrase van 20 karakters een heel stuk veiliger is dan een wachtwoord van 8 karakters, wat wel geaccepteerd wordt.

[Hippe Lip]

Unknown Alien schreef op woensdag 25 februari 2026 @ 10:35:
[...]
Het feit dat hun systeem een passphrase als onveilig zien, terwijl een passphrase van 20 karakters een heel stuk veiliger is dan een wachtwoord van 8 karakters, wat wel geaccepteerd wordt.

Wat zie jij als verschil tussen een password en een passphrase? Beide zijn een groep karakters, waarbij een phrase door een mens makkelijker gelezen kan worden, maar voor de automatisering nix anders is?

[Unknown Alien]

Hippe Lip schreef op woensdag 25 februari 2026 @ 10:39:
[...]

Wat zie jij als verschil tussen een password en een passphrase? Beide zijn een groep karakters, waarbij een phrase door een mens makkelijker gelezen kan worden, maar voor de automatisering nix anders is?

Technisch gezien hetzelfde, aaneenschakeling van cijfers\symbolen\karakters, maar in de praktijk zijn passwords makkelijker te raden. Hoe vaak ik wel niet medewerkers heb gehad die
Vakantie2025 en het jaar erop Vakantie2026 hebben gebruikt. Of naam kind+geboorte jaar. Bestaande woorden die ze gebruiken met een jaartal erbij. Allemaal sneller te raden door bruteforce of dictonairy passwords hack programa's oid.
Laat staan de gemiddelde webshop gebruiker, die verzinnen al helemaal geen ingewikkelde wachtwoorden, want dan vergeten ze het zelf.

Onderstaande Passphrase wordt factor heull veulll minder snel geraden dan wat er standard gebruikt wordt.
Fragrant-Prognosis-Jogger8-Handcart

Bij mijn vorige opdrachtgever, hadden we zelfs soms een wedstrijdje in het team..We hebben een account die makkelijk te raden is wie hem raad krijgt gratis lunch

[whahas]

Ik kom ook geregeld plekken tegen waarbij ik niet meer dan x aantal tekens mag gebruiken en ik de hele tijd mijn wachtzin aan het inkorten ben totdat het geaccepteerd wordt...

Hoe staat het ervoor met de implementatie van passkeys tegenwoordig? Ik vond dat veelbelovend, maar in de praktijk kom ik het niet veel tegen.

[RoRoNL]

whahas schreef op woensdag 25 februari 2026 @ 14:02:
Ik kom ook geregeld plekken tegen waarbij ik niet meer dan x aantal tekens mag gebruiken en ik de hele tijd mijn wachtzin aan het inkorten ben totdat het geaccepteerd wordt...

Hoe staat het ervoor met de implementatie van passkeys tegenwoordig? Ik vond dat veelbelovend, maar in de praktijk kom ik het niet veel tegen.

Het is inderdaad een wat langzaam begin, maar logisch gezien toch wel een succesvolle toekomst hopelijk. -Hier een lijstje: https://www.passkeys.io/who-supports-passkeys

[Hippe Lip]

Unknown Alien schreef op woensdag 25 februari 2026 @ 12:09:
[...]

Technisch gezien hetzelfde, aaneenschakeling van cijfers\symbolen\karakters, maar in de praktijk zijn passwords makkelijker te raden. Hoe vaak ik wel niet medewerkers heb gehad die
Vakantie2025 en het jaar erop Vakantie2026 hebben gebruikt. Of naam kind+geboorte jaar. Bestaande woorden die ze gebruiken met een jaartal erbij. Allemaal sneller te raden door bruteforce of dictonairy passwords hack programa's oid.
Laat staan de gemiddelde webshop gebruiker, die verzinnen al helemaal geen ingewikkelde wachtwoorden, want dan vergeten ze het zelf.

Onderstaande Passphrase wordt factor heull veulll minder snel geraden dan wat er standard gebruikt wordt.
Fragrant-Prognosis-Jogger8-Handcart

Bij mijn vorige opdrachtgever, hadden we zelfs soms een wedstrijdje in het team..We hebben een account die makkelijk te raden is wie hem raad krijgt gratis lunch

Ah, daar zit dan je verborgen (omdat je dat er niet bij vertelde) probleem. Als je het over een password hebt denk jij kennelijk meteen aan eel leesbaar iets dat een mens verzint. Dat gebruik ik al heel veel jaren niet meer. Mijn passwords zijn (bijna) overal uniek en worden door een generator gemaakt. Zoiets als e1nj*qdsR%%9xEUr5qD1G41uwDY%DV. Dat is dus een stuk sterker dan een human readable passphrase.

[grun93]

Hippe Lip schreef op donderdag 26 februari 2026 @ 00:24:
Mijn passwords zijn (bijna) overal uniek en worden door een generator gemaakt. Zoiets als e1nj*qdsR%%9xEUr5qD1G41uwDY%DV. Dat is dus een stuk sterker dan een human readable passphrase.

Dat zijn maar 30 karakters en tekens. Het duurt niet lang meer of de krachtigste computers kunnen dat ook kraken.
Er zal vast een reden zijn waarom een bitcoin wallet bijvoorbeeld een passphrase seed van 12 willekeurige normale woorden genereert. Voor mij is dat makkelijker te onthouden, voor een computer moeilijker te raden. Denk ik tenminste.

[Ramon]

grun93 schreef op donderdag 26 februari 2026 @ 05:34:
[...]

Dat zijn maar 30 karakters en tekens. Het duurt niet lang meer of de krachtigste computers kunnen dat ook kraken.

Heb je enige onderbouwing hiervoor? Anders is het gewoon ongefundeerde bangmakerij. Bij mijn weten kost een 30 random tekens lang wachtwoord kraken nog altijd miljoenen jaren. Zie ook de grafiek op deze link: https://www.keepersecurit...nal-to-crack-my-password/

Overigens is het doel niet een onkraakbaar wachtwoord maken, maar eentje die langer duurt om te kraken dan de andere wachtwoorden in de database.

Er zal vast een reden zijn waarom een bitcoin wallet bijvoorbeeld een passphrase seed van 12 willekeurige normale woorden genereert. Voor mij is dat makkelijker te onthouden, voor een computer moeilijker te raden. Denk ik tenminste.

hoe langer hoe beter, maar als je toch een password manager gebruikt maakt onthoudbaarheid niet uit natuurlijk. En je hebt kans dat je tegen de limiet van het password veld aanloopt op sommige websites.

En P.S. de bitcoinwereld gebruiken als toonbeeld van veiligheid helpt je argument niet perse: hoevaak daar wel niet hacks worden gemeld...

[dutchgio]

Als je alleen maar woorden en dus letters gebruikt zijn dat veel minder tekens, en dan zijn het ook nog eens gewone woorden. Dat lijkt mij juist makkelijker te kraken.

Enige risico van zo'n gegenereerd wachtwoord is als er logica in het genereren zit en het niet volledig willekeurig is, zoals meerdere AI's doen.
Maar dat lijkt bij password managers niet het geval.

[Hippe Lip]

dutchgio schreef op donderdag 26 februari 2026 @ 08:10:
Als je alleen maar woorden en dus letters gebruikt zijn dat veel minder tekens, en dan zijn het ook nog eens gewone woorden. Dat lijkt mij juist makkelijker te kraken.

Enige risico van zo'n gegenereerd wachtwoord is als er logica in het genereren zit en het niet volledig willekeurig is, zoals meerdere AI's doen.
Maar dat lijkt bij password managers niet het geval.

En áls je al bang bent dat er logica zit in een gegenereerd password, dan laat je er eentje genereren en wijzigt middenin één teken (of laat er eentje weg). Dan is ook die logica verdwenen.

[Domino]

Ramon schreef op donderdag 26 februari 2026 @ 07:15:
En P.S. de bitcoinwereld gebruiken als toonbeeld van veiligheid helpt je argument niet perse: hoevaak daar wel niet hacks worden gemeld...

Enige nuance is hier wel op zijn plaats, al die hacks zijn het gevolg van kwestbaarheden in protocollen en/of gebruikersfouten (phising ed). Ik ken er niet eentje waarbij de seed (lees: het wachtwoord) is gekraakt.

[Meg]

Ik maak zelf gebruik van Bitwarden maar ben aan het denken om over te stappen op Vaultwarden die je zelf kan hosten.

Heeft iemand hier ervaring mee en hoe lastig is het?

[whahas]

Volgens mij kan je daarachter komen door te zoeken in dit onderwerp, @Meg , want volgens mij is dat eens besproken in dit onderwerp. Nee, ik heb er zelf geen ervaring mee.

[elsinga]

Hier ervaring, als je wat bekend bent met Docker is het echt niet lastig. En ben je dat niet, dan zijn er voldoende how-to's hiervoor. In de app is het alleen niet voor Bitwarden maar self-hosted kiezen.

Belangrijkste is dat je de database buiten Docker houdt en die regelmatig back-upt. Standaard is dat die /v in Docker. Ook dat staat bijna altijd in de how-to.

[nafofella]

Kreeg net een berichtje dat mijn jaarlijkse 1password weer verlengt word en dat het dan 57,93 pj is.
dat vind ik vrij prijzig en dus maar gecancelled.

Synology heeft ook een passwordmanager (c2), die had ik eerst maar is helaas nog echt heel basic.
Ik ben nu dus een beetje aan rondkijken:

-niet amerikaans
-normale prijs
-of makkelijk te hosten op een synology nas

Maar voor nog geen 7 euro jaarlijks is C2 ook een koopje.

[groggy]

nafofella schreef op maandag 6 april 2026 @ 18:31:
Kreeg net een berichtje dat mijn jaarlijkse 1password weer verlengt word en dat het dan 57,93 pj is.
dat vind ik vrij prijzig en dus maar gecancelled.

Synology heeft ook een passwordmanager (c2), die had ik eerst maar is helaas nog echt heel basic.
Ik ben nu dus een beetje aan rondkijken:

-niet amerikaans
-normale prijs
-of makkelijk te hosten op een synology nas

Maar voor nog geen 7 euro jaarlijks is C2 ook een koopje.
[Afbeelding]

Proton pass

[edwin2021]

Aliasvault?
Nl product kan zowel self hosted als hosted. Wel wat technische kennis nodig.

[ Voor 78% gewijzigd door edwin2021 op 06-04-2026 21:59 ]

[elsinga]

Vaultwarden werkt hier al jaren prima. Is een Bitwarden variant, die werkt met de Bitwarden client.

[Kreekje]

Heb even de laatste pagina's doorgelezen en in de hele topic gezocht maar niets gevonden voor mijn use-case. Ik zoek een password manager die betaalbaar moet zijn voor een non-profit. Liefst eentje dat niet te complex is voor de gebuikers. Ik was vooral aan het kijken naar 1Password, deze kwam hier in de topic ook aan bod. Voor non-profits hebben ze 25% korting op de business accounts. Dus per user zou dat dan op 62,91 EUR uitkomen per jaar.

Is dit een goede deal of kan ik beter nog verder zoeken? Zal eerst ook maar eens 14 dagen de trial proberen.

[Wild Chocolate]

Kreekje schreef op donderdag 9 april 2026 @ 22:38:
Heb even de laatste pagina's doorgelezen en in de hele topic gezocht maar niets gevonden voor mijn use-case. Ik zoek een password manager die betaalbaar moet zijn voor een non-profit. Liefst eentje dat niet te complex is voor de gebuikers. Ik was vooral aan het kijken naar 1Password, deze kwam hier in de topic ook aan bod. Voor non-profits hebben ze 25% korting op de business accounts. Dus per user zou dat dan op 62,91 EUR uitkomen per jaar.

Is dit een goede deal of kan ik beter nog verder zoeken? Zal eerst ook maar eens 14 dagen de trial proberen.

Ik gebruik zelf Enpass, ik zie dat die €1,95 ex BTW per user per maand rekenen. Je moet dan wel zelf de kluizen ergens opslaan. Dat kan op zo'n beetje iedere cloudopslag. Ik weet alleen niet hoe makkelijk hij te beheren is voor meerdere gebruikers.

[swhnld]

Kreekje schreef op donderdag 9 april 2026 @ 22:38:
Heb even de laatste pagina's doorgelezen en in de hele topic gezocht maar niets gevonden voor mijn use-case. Ik zoek een password manager die betaalbaar moet zijn voor een non-profit. Liefst eentje dat niet te complex is voor de gebuikers. Ik was vooral aan het kijken naar 1Password, deze kwam hier in de topic ook aan bod. Voor non-profits hebben ze 25% korting op de business accounts. Dus per user zou dat dan op 62,91 EUR uitkomen per jaar.

Is dit een goede deal of kan ik beter nog verder zoeken? Zal eerst ook maar eens 14 dagen de trial proberen.

Je kunt Bitwarden business overwegen. Standaard 4 Euro per gebruiker per maand, 48 per jaar, maar ze geven korting voor non-profits, moet je wel contact met hun sales afdeling opnemen:
https://bitwarden.com/pricing/business/

[elsinga]

EN Bitwarden is ook zelf te hosten (zoek op Vaultwarden), dan zijn er geen kosten per user meer (alleen zorgen dat de Docker container blijft draaien, wat vrijwel geen werk is) en zelf backups maken.

[edwin2021]

En dus óf een server huren voor de docker óf een vpn naar huis als extra werk/kosten.
Btw poort openzetten is geen oplossing.

[Ramon]

Kreekje schreef op donderdag 9 april 2026 @ 22:38:
Heb even de laatste pagina's doorgelezen en in de hele topic gezocht maar niets gevonden voor mijn use-case. Ik zoek een password manager die betaalbaar moet zijn voor een non-profit. Liefst eentje dat niet te complex is voor de gebuikers. Ik was vooral aan het kijken naar 1Password, deze kwam hier in de topic ook aan bod. Voor non-profits hebben ze 25% korting op de business accounts. Dus per user zou dat dan op 62,91 EUR uitkomen per jaar.

Is dit een goede deal of kan ik beter nog verder zoeken? Zal eerst ook maar eens 14 dagen de trial proberen.

Proton Pass heeft ook een gratis variant.

[RoRoNL]

@Ramon Ja voor particulieren inderdaad, maar als je als instelling dit wil beheren en wil aanbieden dan kom je uit op https://proton.me/nl/business/pass/pricing
@Kreekje

[whahas]

2 euro per gebruiker per maand, dat tikt behoorlijk door - en dat is dan nog eens de goedkoopste optie...

[edwin2021]

RoRoNL schreef op vrijdag 10 april 2026 @ 22:50:
@Ramon Ja voor particulieren inderdaad, maar als je als instelling dit wil beheren en wil aanbieden dan kom je uit op https://proton.me/nl/business/pass/pricing
@Kreekje

Werp een blik op aliasvault. Nl product.
Ontwikkelaar is zeer goed benaderbaar via discord.

[ Voor 6% gewijzigd door edwin2021 op 11-04-2026 07:03 ]

[eynickey]

Kreekje schreef op donderdag 9 april 2026 @ 22:38:
Heb even de laatste pagina's doorgelezen en in de hele topic gezocht maar niets gevonden voor mijn use-case. Ik zoek een password manager die betaalbaar moet zijn voor een non-profit. Liefst eentje dat niet te complex is voor de gebuikers. Ik was vooral aan het kijken naar 1Password, deze kwam hier in de topic ook aan bod. Voor non-profits hebben ze 25% korting op de business accounts. Dus per user zou dat dan op 62,91 EUR uitkomen per jaar.

Is dit een goede deal of kan ik beter nog verder zoeken? Zal eerst ook maar eens 14 dagen de trial proberen.

Misschien Passbolt? Je kunt een aanvraag indienen die ze dan beoordelen.
https://www.passbolt.com/contact/non-profit

[nafofella]

groggy schreef op maandag 6 april 2026 @ 21:41:
[...]

Proton pass

Ik heb idd maar proton pass genomen.
voor een jaar goedkoper dan 1password en ik wil zoveel mogelijk af van amerikaanse dienstverleners (ook als ze servers in europa hebben).

Zelf iets gaan hosten of klooien met dockers heb ik nu even geen zin in en dit is gewoon plug en play.
Net geïnstalleerd dus zal over tijdje wel ff posten hoe dat bevalt (in vergelijking met 1 password)

[Hippe Lip]

nafofella schreef op donderdag 16 april 2026 @ 18:04:
[...]

Ik heb idd maar proton pass genomen.
voor een jaar goedkoper dan 1password en ik wil zoveel mogelijk af van amerikaanse dienstverleners (ook als ze servers in europa hebben).

Zelf iets gaan hosten of klooien met dockers heb ik nu even geen zin in en dit is gewoon plug en play.
Net geïnstalleerd dus zal over tijdje wel ff posten hoe dat bevalt (in vergelijking met 1 password)

Daar wilde ik ook vanaf (had Lastpass) en twijfelde lang tussen Proton en Nordpass. Uiteindelijk heb ik voor Nordpass gekozen vanwege de gebruikersinterface. Ik heb een volkomen a-technische wederhelft en dan helpt elk beetje.

[nafofella]

Hippe Lip schreef op donderdag 16 april 2026 @ 18:50:
[...]

Daar wilde ik ook vanaf (had Lastpass) en twijfelde lang tussen Proton en Nordpass. Uiteindelijk heb ik voor Nordpass gekozen vanwege de gebruikersinterface. Ik heb een volkomen a-technische wederhelft en dan helpt elk beetje.

Bijna een weekje proton pass nu in gebruik en ik vind hem fijner en overzichtelijker dan 1password.
ook was 1password aan het klooien als ik een recover password op een site deed. ik moest 1password uitzetten omdat het nieuwe wachtwoord steeds anders was. (dat was ook de reden dat ik direct maar proton pass heb genomen)

ik gebruik het op mijn iphone en windows pc's. werkt fijn en intuïtief. Voor mij dus beter en fijner dan 1password.

Ik ga na dit jaarabbo ook eens nordpass proberen. Ik zag dat die een stuk voordeliger geprijsd zijn.

[nafofella]

Helemaal tevreden met proton pass nu ik het een tijdje gebruik. Werkt echt super.

Om toch de beveiliging helemaal optimaal te krijgen heb ik nu twee yubikeys en een token2 aan mijn accounts gehangen icm met Synology secure signin app op mijn iPhone.

Een yubikey aan de bos. Een in een bankkluis met backup hd nas en codes. En een doosje met de token2 naar een vriend.

Volgensmij kan ik qua online veiligheid niet veel meer doen 😜

[streamnl]

Ik had vandaag bij het aanmaken van een alias de optie van .may517
Dit is de eerste keer dat ik dat zie. Maar dat wil ik wel vaker dat ik iets van een datum/jaar zie. Dat ziet er toch net wat minder raar uit dan .underpaid123 ofzo

Ik begrijp dat je minder opties hebt dan random woorden en getallen, en dat de keuzes waaruit je dan kan kiezen snel op zijn als men wereldwijd hieruit kan kiezen.

Maar toch… ik zou het wel prettig vinden als je in de naam ook iets van een datum terug kan zien ipv bij de opties.

[BytePhantomX]

BytePhantomX schreef op woensdag 9 november 2022 @ 14:55:
Ik heb net trouwens eens getest wat de ervaring is. Die laat nog wat te wensen over, maar goed jullie zijn nog aan het bouwen.

...

Ik kreeg vandaag een like op deze comment en daarnaast zie ik MindYourPass nog regelmatig voorbij komen op mijn LinkedIn. Sinds deze post hebben we LLM's gekregen en leek het mij leuk om eens een analyse te doen van hoe het nu werkt.
Disclaimers: ik zal vast niet alles begrijpen en dit is getest op basis van de cosumentenversie.

Consumenten kunnen een gratis versie gebruiken. Je kunt naar: https://site.mindyourpass.io/nl/get-started om daar mee te beginnen. Bij de onboarding moet je een hoofdwachtwoord maken van 12 tekens (ps MindYourPass wordt gezien als goed wachtwoord) en krijg je een email met de recovery code, met daarin o.a. deze tekst:

Important notice!

In case you ever forget your master password of MindYourPass, you will need the code below to set up a new master password:

78babd18-89d4-46ab-8a61-45d1b3e39d71

Please keep this code in a safe place!

Persoonlijk zou ik een advies verwachten om deze code veilig op te bergen (op papier o.i.d.) en de mail daarna te verwijderen, en ook te verwijderen uit de prullenbak. Iemand die toegang krijgt tot je mailbox zou namelijk ook bij je wachtwoordmanager kunnen.

Je krijgt dan een video te zien met een uitleg waarbij je ook een eenvoudig te onthouden wachtwoord moet maken, naast je hoofdwachtwoord. Dat bleek in mijn geval niet nodig te zijn / niet te kunnen.

Voor de app op je telefoon moet je inloggen met je email adres en je hoofdwachtwoord. Daarna volgt een autorisatiecode per email en kun je inloggen. Voor consumenten is het niet mogelijk om MFA in te stellen (anders dan de email verificatiecode).

Je kunt daarna een record / site toevoegen aan MindYourPass. Daarna heb ik met AI de extensie geanalyseerd en de API calls om uit te vogelen hoe het nu werkt om een wachtwoord op te vragen:

1. Je opent het record in MindYourPass en vult je (hoofd of eenvoudig te onthouden) wachtwoord in.
2. Er wordt een call gedaan naar InputVector/GetWithSession om de user input vector voor deze sessie op te halen.
3. Je wachtwoord (uit stap 1) wordt samen met een salt gehashed. De salt wordt serverside in de JWT (json web token) geplaatst en lokaar er uit gehaald.
4. De hash uit stap 3 wordt samen met de Vector uit stap twee samengevoegd om een locale secret (mappedUserPassword) te maken.
5. Er wordt een call gemaakt naar /Generate waarbij data terugkomt met een passwordVector en een adjustmentVector.
6. Er wordt een call gemaakt naar /GetByUrl om de wachtwoord eisen voor de website op te halen (lengte, lowercasse, upercase etc)
7. De mappedUserPassword, passwordVector, adjustmentfactor en de regels uit 6 worden gebruikt om vervolgens is drie stappen het wachtwoord te berekenen. Deze berekening is volledig clientside en in javascript.

Calls naar de API zijn beveiligd met een bearer token. Ik weet niet zeker wat er server side voor checks plaatsvinden (bv op IP Adres), maar normaal gesproken zou je als je de bearer token hebt calls kunnen maken naar de API.

Dat maakt dat een paar aanvalspaden mogelijk zijn:

• Toegang tot de mailbox van de gebruiker geeft volledige toegang tot de wachtwoord manager. Hier is niet omheen te werken, aangezien je geen andere vormen van MFA kan instellen voor de consumenten versie.
• Als je geen toegang hebt tot de email van een slachtoffer, dan is het wat complexer, maar m.i. niet onmogelijk:
  • Je moet de token stelen, wat een vrij veel voorkomende aanval is. Het maakt wel dat je aanval mogelijk tijdelijk werkt vanwege de levensduur van de token.
  • Je moet het (hoofd of eenvoudig te onthouden) wachtwoord hebben. Kan gephist worden, of mogelijk staat het op het dark web als een gebruiker wachtwoorden hergebruikt.
  • Je moet de url hebben zoals die ingevoerd is in MindYourPass. Dat lijkt me in de basis realistisch.
  • Je moet de logica voor het maken van wachtwoorden hebben, maar die is uit de browser extensie te halen.

Mogelijk wordt optie 2 lastig of onmogelijk gemaakt door maatregelen aan de server kant, maar daar is niets over bekend, anders dan deze zin in de FAQ:

Detectie verdacht gedrag. Voor elk wachtwoord dat MindYourPass genereert, vindt een interactie met onze servers plaats. Dit maakt het mogelijk om verdacht gedrag te detecteren en te blokkeren.

Aan de ene kant gaaf dat we een Nederlands bedrijf hebben dat iets nieuws op de markt brengt. Aan de andere kant maak ik me een beetje zorgen over de veiligheid van deze tool en dat het bij veel gemeentes wordt gebruikt.

Ik ben eigenlijk wel benieuwd of iemand het gebruikt. Zakelijk of de consumenten versie.

[kevchenko]

Recent maakte ik op Cybersec Europe kennis met heylogin, een password manager waarbij je inlogt via een app op je smartphone (of met een security key) en niet met een master password.
De eerste testen zijn veelbelovend. Het privégebruik is beperkt, maar via een business account (31-day trial) kan je heel wat beheren.
Ze geven aan dat alles op Europese servers staat en dat ze 100% GDPR-compliant zijn.
Als ze doen wat ze beloven, is dit natuurlijk the way to go.
Heeft iemand dit product al eens onder de loep genomen?

[Hippe Lip]

kevchenko schreef op woensdag 27 mei 2026 @ 20:41:
Recent maakte ik op Cybersec Europe kennis met heylogin, een password manager waarbij je inlogt via een app op je smartphone (of met een security key) en niet met een master password.

Als de boel niet beveiligd is met een master password, hoe dan wel, @kevchenko?

Het zal toch hoop ik niet zo zijn dat iedereen die jouw telefoon te pakken heeft overal bij kan? Want dan is de beveiliging van die passwordmanager niet sterker dan de beveiliging van je telefoon?
Dan is:

1. óf de beveiliging van de PW-mngr heel beroerd (de beveiliging van de meeste telefoons is maar vrij beperkt vergeleken met een goed master password),
2. óf de beveiliging van je telefoon is heel zwaar, wat je niet leuk gaat vinden elke keer als je je telefoon moet ontgrendelen.

[ Voor 42% gewijzigd door Hippe Lip op 27-05-2026 22:57 ]

[kevchenko]

Hippe Lip schreef op woensdag 27 mei 2026 @ 22:41:
[...]

Als de boel niet beveiligd is met een master password, hoe dan wel, @kevchenko?

Het zal toch hoop ik niet zo zijn dat iedereen die jouw telefoon te pakken heeft overal bij kan? Want dan is de beveiliging van die passwordmanager niet sterker dan de beveiliging van je telefoon?
Dan is:

1. óf de beveiliging van de PW-mngr heel beroerd (de beveiliging van de meeste telefoons is maar vrij beperkt vergeleken met een goed master password),
2. óf de beveiliging van je telefoon is heel zwaar, wat je niet leuk gaat vinden elke keer als je je telefoon moet ontgrendelen.

Je installeert de Heylogin app, die dient als authenticatie. Daarnaast kan je gebruik maken van een browser plug-in.
Wanneer ik wil inloggen op een website krijg ik volgend scherm.

Bij het selecteren van je account, krijg je een melding op je smartphone. Daar dien je deze aanmelding te verifiëren. In geval van MFA, krijg je ook nog via je authenticator app een melding.
Volgens je settings kan je bepalen hoe lang je sessie geldt, zodat je niet telkens moet bevestigen bij een volgende login. Per browser kan je ook meteen je sessie verbreken.

Telefoon niet bij de hand? Dan kan je ook gewoon het kader wegklikken en je credentials manueel ingeven.

Wat je hierboven aanhaalt, geldt ook voor de native password managers van iOS en Android. Dus daar zie ik niet echt een probleem.
Zopas heb ik hun Security architecture whitepaper gedownload. 57 Pagina's, dus het zal wel even duren vooraleer ik deze heb doorgrond.

[kevchenko]

Om het even in hun woorden te zeggen:

We completely remove the need for a Master Password. Instead, we generate a cryptographic seed directly in the security chips of the respective user devices to derive the specific keys for end-to-end encryption. In contrast to a Master Password, a seed is 256 bit secure, completely random and contains no human patterns.

heylogin supports security chips from different users devices. Typically, it uses the security chips built into smartphones on iOS and Android. This also allows the usage of smartwatchesto unlock heylogin if they are properly connected over Bluetooth with the phone. In this case heylogin still uses the security chip inside the smartphone. As an alternative, FIDO2 security keys can be used, which are connected over USB or NFC. With these devices, the security chip inside these security keys can be used as an alternative to the user’s phone or even as a standalone device without a phone. Security chips in PCs and Macs offer another way to unlock heylogin, via the Windows Hello and Touch ID APIs.

heylogin’s browser extension automates the login experience by detecting login forms, e.g. username and password fields, and then showing an overlay on top. This hides the inconveniences of the login process and instead shows a 1-click button labeled with the user’s website account.

The heylogin overlay works with all websites and even two-step logins, where username and password are on two different sites are also supported as well as automated entry of TOTP codes. The algorithm has been fine tuned over several years and is continuously updated.

The resulting experience feels like a Single-Sign On (SSO) but is technically a Password Manager.

1. In milliseconds, the overlay algorithm detects the login form on the website.

2. The browser extension renders the overlay precisely on top of the login form.

3. After clicking the button labeled with the user’s website account, a notification is shown on the smartphone.

4. After unlocking the security chip locally with Face Unlock, Fingerprint or PIN, the browser extension is unlocked and can now access private data, such as username and passwords, inside the vault. Username and password is automatically filled in behind the overlay to automate the website login process.

For multi-factor authentication / security, three factors are typically discussed: knowledge (”something only the user knows”, such as PIN, password, master password), possession (“something only the user has”, such as security chips, certificates files) and biometric factors (“something the user is”, such as fingerprint, face unlock).
As explained before, legacy Password Managers use the Master Password as a 1st factor (knowledge factor) and optionally implement 2nd factors, such as TOTP codes (knowledge factor) or security keys (possession factor). These 2nd factors, are only authentication mechanisms for an additional protection when accessing the cloud infrastructure, but not part of the vault encryption process. In case of an infrastructure breach, this means that they effectively only have 1-factor security with a master password. In contrast, heylogin has real 2-factor security as part of the vault encryption process. heylogin’s 1st factor is always a security chips, built inside the user’s smartphone, FIDO2 security key or TPM (possesion factor). heylogin’s 2nd factor is the factor used to unlock the security chips. In case of smartphones, this is typically fingerprint (biometric factor), face unlock (biometric factor) or PIN (knowledge factor). The 2nd factor always works on the login device itself locally and no biometric or PIN data is transmitted to our servers. While Master Passwords and PINs are both knowledge factors, there is a crucial difference how they work. As shown before, in a offline brute-force attack, Master Passwords can be guessed with unlimited attempts, since these attacks are only slowed down by the key derivation method. In contrast, PIN attempts are strictly limited by the security chip hardware. An attacker must therefore not only physically steal the smartphone (1st factor), but also unlock the security chip with a 2nd factor. It is important to remember that the use of the security chip ensures that our cryptographic seed can never be accessed by bypassing the phone’s authentication mechanisms, e.g., by prying out the storage and reading it through an external reader.

[Hippe Lip]

kevchenko schreef op donderdag 28 mei 2026 @ 07:55:
Je installeert de Heylogin app, die dient als authenticatie. Daarnaast kan je gebruik maken van een browser plug-in.

Je telefoon is dus je sleutel. En wat als die in de plomp verdwijnt of opeens <ploef> zegt? Dan kun je nergens meer bij?

Kun je ook een backup maken?

Telefoon niet bij de hand? Dan kan je ook gewoon het kader wegklikken en je credentials manueel ingeven.

Maar waar is dan je lijst met bewaarde credentials van die PW-manager? Daar kun je alleen maar bij vanaf je telefoon?

Wat je hierboven aanhaalt, geldt ook voor de native password managers van iOS en Android. Dus daar zie ik niet echt een probleem.

Daar zie ik zoals gezegd nou juist wel het probleem. Dat is ook waarom ik geen gebruik maak van de native PW-manager van (in mijn geval) iOS. Hoe is een gemiddelde iPhone beveiligd? Met je unlock-code (PIN-code) kun je erin en kun je overal bij. Dat vind ik maar een matige bescherming.

Dan is er nog het verschil dat ik met de PW-mngrs waarmee ik tot nu toe werkte zowel de telefoon als de iPad als sleutel kan gebruiken. Maar daarvoor is dan wel steeds het lange master password nodig.

[kevchenko]

Hippe Lip schreef op donderdag 28 mei 2026 @ 14:06:
[...]

Je telefoon is dus je sleutel. En wat als die in de plomp verdwijnt of opeens <ploef> zegt? Dan kun je nergens meer bij?

Kun je ook een backup maken?

Je kan een 2e toestel koppelen (iPhone, iPad, Yubikey,... ), of in geval van <ploef> kan je een nieuw toestel configureren mits je de recovery code hebt. Daar sta je als gebruiker zelf voor in.
Als je geen 2e toestel koppelt, kan je inderdaad niet aan je data. Tenminste tot je een nieuw device hebt.
Als admin kan je de gebruikers resetten.
Backup van data is mogelijk naar .csv.

Maar waar is dan je lijst met bewaarde credentials van die PW-manager? Daar kun je alleen maar bij vanaf je telefoon?

Via heylogin.app log je in op het beheerportaal. Daar kan je alles uitgebreid beheren. De smartphone app dient enkel voor authenticatie en het beheer van je wachtwoorden.

Daar zie ik zoals gezegd nou juist wel het probleem. Dat is ook waarom ik geen gebruik maak van de native PW-manager van (in mijn geval) iOS. Hoe is een gemiddelde iPhone beveiligd? Met je unlock-code (PIN-code) kun je erin en kun je overal bij. Dat vind ik maar een matige bescherming.

Dan is er nog het verschil dat ik met de PW-mngrs waarmee ik tot nu toe werkte zowel de telefoon als de iPad als sleutel kan gebruiken. Maar daarvoor is dan wel steeds het lange master password nodig.

De beveiliging van je toestel is ergens ook je eigen verantwoordelijkheid. In het gezin kijk ik daar op toe. Een bedrijf is natuurlijk iets anders.

In hun whitepaper geven ze ook antwoord op elke stap van hun beveiliging. "Alle" mogelijke risico's (voor zover je van alle kunt spreken) worden daar besproken.
Je kan die trouwens op hun site terugvinden.

[groggy]

kevchenko schreef op donderdag 28 mei 2026 @ 18:14:
[...]

Je kan een 2e toestel koppelen (iPhone, iPad, Yubikey,... ), of in geval van <ploef> kan je een nieuw toestel configureren mits je de recovery code hebt. Daar sta je als gebruiker zelf voor in.
Als je geen 2e toestel koppelt, kan je inderdaad niet aan je data. Tenminste tot je een nieuw device hebt.
Als admin kan je de gebruikers resetten.
Backup van data is mogelijk naar .csv.


[...]

Via heylogin.app log je in op het beheerportaal. Daar kan je alles uitgebreid beheren. De smartphone app dient enkel voor authenticatie en het beheer van je wachtwoorden.


[...]

De beveiliging van je toestel is ergens ook je eigen verantwoordelijkheid. In het gezin kijk ik daar op toe. Een bedrijf is natuurlijk iets anders.

In hun whitepaper geven ze ook antwoord op elke stap van hun beveiliging. "Alle" mogelijke risico's (voor zover je van alle kunt spreken) worden daar besproken.
Je kan die trouwens op hun site terugvinden.

Wie probeer je te overtuigen, ben je toevallig betrokken bij deze password manager?

[kevchenko]

groggy schreef op donderdag 28 mei 2026 @ 20:25:
[...]

Wie probeer je te overtuigen, ben je toevallig betrokken bij deze password manager?

Totaal niet. Ik had gehoopt dat iemand (met meer kennis van security dan mij) deze PM al eens bekeken had. Bij de firma waar ik werk zijn de gebruikers nogal moeilijk warm te maken voor een PM.
Gezien we toch met gevoelige data werken, zijn we nogal wantrouwig tegenover cloudoplossingen voor PM's. Deze kan misschien wel iets te bieden hebben op dat vlak, net omdat hij anders lijkt te werken.

[Hippe Lip]

kevchenko schreef op donderdag 28 mei 2026 @ 20:43:
[...]

Totaal niet. Ik had gehoopt dat iemand (met meer kennis van security dan mij) deze PM al eens bekeken had. Bij de firma waar ik werk zijn de gebruikers nogal moeilijk warm te maken voor een PM.

Het lijkt er niet op dat je heel erg kritisch bent, dus ik kan me wel voorstellen dat je collega’s er niet aan willen. Ik ben nogal kritisch omdat je hiermee een van je gevoeligste dingen aan het bewaren bent.

Gezien we toch met gevoelige data werken, zijn we nogal wantrouwig tegenover cloudoplossingen voor PM's. Deze kan misschien wel iets te bieden hebben op dat vlak, net omdat hij anders lijkt te werken.

Je lijkt hier te zeggen dat heylogin niet in de cloud werkt, maar je zegt zelf

Via heylogin.app log je in op het beheerportaal. Daar kan je alles uitgebreid beheren. De smartphone app dient enkel voor authenticatie en het beheer van je wachtwoorden.

Dat betekent toch dat je data niet op je telefoon staat maar bij heylogin. Dat is toch in de cloud?

Nee, ik ben nog bepaald niet overtuigd. Hooguit overtuigd van het feit dat dit zaakje allerminst me allerminst veilig lijkt.