[Password Managers] Discussie- en reviewtopic

[lanedirt]

somejan schreef op dinsdag 17 februari 2026 @ 21:16:
Eén feature dat ik in nog geen enkele wachtwoordmanager ben tegengekomen is een functie van meerdere gescheiden wachtwoordkluizen, met eigen wachtwoorden. Zodat niet alle vertrouwen in één master wachtwoord hoeft te zitten. Zodat ik mijn alledaagse wachtwoorden in de 'laag risico' kluis kan zetten, die ik standaard open zet in de browser extensie en automatisch ingevuld kan worden. En mijn belangrijkste wachtwoorden in een maximaal beveiligde kluis die ik alleen open doe als ik er één van nodig heb. En zodat ik niet met mijn hoofdwachtwoord ook op de webinterface van de wachtwoordmanager moet inloggen om het account te beheren (zoals bij Bitwarden).
En idealiter moet de laag risico kluis wel weten voor welke domeinen ik in de extra beveiligde kluis iets heb opgeslagen, zodat de wachtwoordmanager dan om het goede kluiswachtwoord kan vragen.

Kent er iemand een wachtwoordmanager die dit ondersteunt? Met Keepass kan je meerdere kluizen maken, maar zijn er ook browser plugins waarmee je die efficiënt kan gebruiken?

@lanedirt Is dat iets voor AliasVault? Het lijkt me persoonlijk een killer feature voor beveiligingsnerds.

Interessante usecase! Voor de volgende grote AliasVault versie die eraan komt wordt gewerkt aan de "vault sharing" feature (zie roadmap: https://github.com/aliasvault/aliasvault/issues/731), die het mogelijk maakt om meerdere vaults vanuit 1 account te kunnen beheren (en te kunnen delen).

Een (optioneel) apart wachtwoord/decryption keys per kluis zou zeker een interessante optie kunnen zijn. Met dan nog steeds inderdaad dat de browser extension en mobiele apps weten welke credentials in welke kluizen zitten (op metadata niveau) om alsnog voor te kunnen stellen welke vault (apart) geunlocked moet worden of niet als je ergens wilt inloggen.

Ik heb het in mijn notities gezet om te kijken of dit meegenomen kan worden in de vault-sharing architectuur aanpassingen. Bedankt voor de tip/feedback!

[wcduck]

somejan schreef op dinsdag 17 februari 2026 @ 21:16:
Eén feature dat ik in nog geen enkele wachtwoordmanager ben tegengekomen is een functie van meerdere gescheiden wachtwoordkluizen, met eigen wachtwoorden. Zodat niet alle vertrouwen in één master wachtwoord hoeft te zitten. Zodat ik mijn alledaagse wachtwoorden in de 'laag risico' kluis kan zetten, die ik standaard open zet in de browser extensie en automatisch ingevuld kan worden. En mijn belangrijkste wachtwoorden in een maximaal beveiligde kluis die ik alleen open doe als ik er één van nodig heb. En zodat ik niet met mijn hoofdwachtwoord ook op de webinterface van de wachtwoordmanager moet inloggen om het account te beheren (zoals bij Bitwarden).
En idealiter moet de laag risico kluis wel weten voor welke domeinen ik in de extra beveiligde kluis iets heb opgeslagen, zodat de wachtwoordmanager dan om het goede kluiswachtwoord kan vragen.

Kent er iemand een wachtwoordmanager die dit ondersteunt? Met Keepass kan je meerdere kluizen maken, maar zijn er ook browser plugins waarmee je die efficiënt kan gebruiken?

@lanedirt Is dat iets voor AliasVault? Het lijkt me persoonlijk een killer feature voor beveiligingsnerds.

Misschien als workaround: geeft aan dat je standaard maar 1x hoef in te loggen (geen timeout). Vink bij de belangrijkere wachtwoorden aan dat je een tweede login/hoofdwachtwoord nodig hebt. Dan heb je in ieder geval een onderscheid tussen de twee groepen wachtwoorden en een snellere workflow.

Ik deel overigens je usercase. Ik zocht ook zoiets.

Wat ik verder ook nog zoek is dat Windows Hello automatisch het wachtwoord invult zonder dat ik iets hoef te klikken, net als bij Edge. Dus: je ziet een wachtwoord veld => Windows Hello activeert en scant gezicht => vult automatisch velden in => logt automatisch in.
Hoe het bij de meeste Password Managers gaat:
- je klikt op een wachtwoord veld
- klikt op icoontje password manager
- je klikt op inloggen met windows hello
- je klikt op OK om te bevestigen dat je bent ingelogd met Windows Hello
- je klikt nogmaals op de wachtwoord velden
- je klikt op de knop inloggen
Ongelooflijk dat wachtwoordmanagers vinden dat dit een prettige workflow is. Je klikt je suf, 6x in plaats van 1x. Ze kunnen een hoop leren van Microsoft Edge. Jammer dat ik Microsoft niet als een betrouwbare partner zie in het beheren van mijn wachtwoorden.

[somejan]

wcduck schreef op woensdag 18 februari 2026 @ 13:56:
Misschien als workaround: geeft aan dat je standaard maar 1x hoef in te loggen (geen timeout). Vink bij de belangrijkere wachtwoorden aan dat je een tweede login/hoofdwachtwoord nodig hebt. Dan heb je in ieder geval een onderscheid tussen de twee groepen wachtwoorden en een snellere workflow.

Over welke wachtwoordmanager heb je het hier? Bitwarden heeft zo iets, daar kan je aangeven dat hij voor sommige items nog een keer naar het hoofdwachtwoord moet vragen. Dat gebruik ik ook. Maar dat is puur een UI feature, de sleutel om die wachtwoorden te openen staat al klaar in het geheugen, en is daar dus in principe ook uit te stelen.

[wcduck]

somejan schreef op woensdag 18 februari 2026 @ 14:08:
[...]


Over welke wachtwoordmanager heb je het hier? Bitwarden heeft zo iets, daar kan je aangeven dat hij voor sommige items nog een keer naar het hoofdwachtwoord moet vragen. Dat gebruik ik ook. Maar dat is puur een UI feature, de sleutel om die wachtwoorden te openen staat al klaar in het geheugen, en is daar dus in principe ook uit te stelen.

Bitwarden inderdaad. Ik ben het met je eens: het is een workaround die een deel van je issue wegneemt. Het is zeker niet de oplossing.

[Hippe Lip]

wcduck schreef op woensdag 18 februari 2026 @ 13:56:
[...]
Wat ik verder ook nog zoek is dat Windows Hello automatisch het wachtwoord invult zonder dat ik iets hoef te klikken, net als bij Edge. Dus: je ziet een wachtwoord veld => Windows Hello activeert en scant gezicht => vult automatisch velden in => logt automatisch in.
Hoe het bij de meeste Password Managers gaat:
- je klikt op een wachtwoord veld
- klikt op icoontje password manager
- je klikt op inloggen met windows hello
- je klikt op OK om te bevestigen dat je bent ingelogd met Windows Hello
- je klikt nogmaals op de wachtwoord velden
- je klikt op de knop inloggen
Ongelooflijk dat wachtwoordmanagers vinden dat dit een prettige workflow is. Je klikt je suf, 6x in plaats van 1x. Ze kunnen een hoop leren van Microsoft Edge. Jammer dat ik Microsoft niet als een betrouwbare partner zie in het beheren van mijn wachtwoorden.

Nou, dan ben ik blij dat ik op het Apple-platform zit: ik klik een keer in het veld voor de gebruikersnaam en vaak vult de passwordmanager (PWM) dan al wat in in beide velden. Soms moet ik kiezen als er meerdere logins zijn voor dat webadres. Dan moet ik 1 of 2 keer extra klikken.
Afronden met <enter> en ik ben binnen.

[Kalentum]

Hippe Lip schreef op donderdag 19 februari 2026 @ 06:14:
[...]

Nou, dan ben ik blij dat ik op het Apple-platform zit: ik klik een keer in het veld voor de gebruikersnaam en vaak vult de passwordmanager (PWM) dan al wat in in beide velden. Soms moet ik kiezen als er meerdere logins zijn voor dat webadres. Dan moet ik 1 of 2 keer extra klikken.
Afronden met <enter> en ik ben binnen.

Bij mij werkt het ook zo maar dan op Windows. De beschreven werkwijze is een keuze.

[wcduck]

Kalentum schreef op donderdag 19 februari 2026 @ 07:09:
[...]


Bij mij werkt het ook zo maar dan op Windows. De beschreven werkwijze is een keuze.

Ik ben zeer geinteresseerd welke software je gebruikt hiervoor. Ik heb een jaar geleden een stuk of 5 verschillende gebruikt en geen van hen ondersteunden Windows Hello in combinatie met "klikloos" inloggen. Enkel Edge voldeed, maar zie ik niet als een veilige optie.

[Kalentum]

wcduck schreef op donderdag 19 februari 2026 @ 11:01:
[...]

Ik ben zeer geinteresseerd welke software je gebruikt hiervoor. Ik heb een jaar geleden een stuk of 5 verschillende gebruikt en geen van hen ondersteunden Windows Hello in combinatie met "klikloos" inloggen. Enkel Edge voldeed, maar zie ik niet als een veilige optie.

Ik reageerde op @Hippe Lip die blij was dat 'ie op het Apple-platform zit omdat die dan gewoon username/password kan laten invullen en klaar. Ik gaf aan dat dat op Windows ook zo werkt.

Dus met andere woorden: ik gebruik geen Windows Hello.

[Mx. Alba]

Is het trouwens geen issue om je OTP's in het zelfde systeem te hebben als je wachtwoorden? Het idee van een OTP is toch juist dat je meerdere factoren hebt, waarom zou je dat tot één factor willlen reduceren?

Ik gebruik ondertussen al een jaar Proton Pass naar volle tevredenheid. Ik zag hier iemand zeggen dat je wachtwoorden niet kan groeperen, maar ik heb toch echt verschillende vaults (mappen) om mijn wachtwoorden in te sorteren... In het begin gebruikte ik daarnaast nog 2FAS voor mijn MFA's maar na verloop van tijd toch overgestapt naar Proton Authenticator, het is immers een losstaande app die niet integreert met Proton Pass ondanks dat het ook van Proton is, en dat lijkt mij dus juist een voordeel qua veiligheid.

[CR2032]

Mx. Alba schreef op donderdag 19 februari 2026 @ 11:17:
Is het trouwens geen issue om je OTP's in het zelfde systeem te hebben als je wachtwoorden? Het idee van een OTP is toch juist dat je meerdere factoren hebt, waarom zou je dat tot één factor willlen reduceren?

Ik gebruik ondertussen al een jaar Proton Pass naar volle tevredenheid. Ik zag hier iemand zeggen dat je wachtwoorden niet kan groeperen, maar ik heb toch echt verschillende vaults (mappen) om mijn wachtwoorden in te sorteren... In het begin gebruikte ik daarnaast nog 2FAS voor mijn MFA's maar na verloop van tijd toch overgestapt naar Proton Authenticator, het is immers een losstaande app die niet integreert met Proton Pass ondanks dat het ook van Proton is, en dat lijkt mij dus juist een voordeel qua veiligheid.

Het beste is om een 2FA Authenticator ook op een ander fysiek apparaat te gebruiken.
Alleen voor de niet kritische logins zoals tweakers is het wel heel gemakkelijk direct vanuit de password manager. Keepass vult dan gelijk ook je 2FA code in.

Met Proton Authenticator moet je wel opletten dat je niet ook inlogt met je Proton account met sync devices aan.

[Mx. Alba]

CR2032 schreef op donderdag 19 februari 2026 @ 17:47:
Met Proton Authenticator moet je wel opletten dat je niet ook inlogt met je Proton account met sync devices aan.

O maar dat is nu juist wel zo makkelijk...

Het is gewoon écht dit:

code:

gebruiksgemak             veiligheid
|-------------------------[]-------|

[Hippe Lip]

Mx. Alba schreef op donderdag 19 februari 2026 @ 11:17:
Is het trouwens geen issue om je OTP's in het zelfde systeem te hebben als je wachtwoorden? Het idee van een OTP is toch juist dat je meerdere factoren hebt, waarom zou je dat tot één factor willlen reduceren?

Dat zie ik iets genuanceerder. Je hebt gelijk als je bedoelt dat als je PWM gekraakt is, dat de kraker dan álles heeft.
Echter blijft het zo dat als iemand op de een of andere manier je username en wachtwoord onderschept of meeleest, dat die daar dan nix aan heeft. Zou dat niet het grootste deel van de dreiging zijn?

[Domino]

Mx. Alba schreef op donderdag 19 februari 2026 @ 11:17:
Is het trouwens geen issue om je OTP's in het zelfde systeem te hebben als je wachtwoorden? Het idee van een OTP is toch juist dat je meerdere factoren hebt, waarom zou je dat tot één factor willlen reduceren?

Dat hangt af van je werkwijze. Ik gebruik keepassxc/keepassium met mfa. Een sterk master wachtwoord, keyfile en een yubikey (challenge-response). Dus je moet iets weten (ww), iets digitaal hebben (keyfile) en iets fysiek hebben (yubi). De keyfile komt nooit online (email/cloud/whatever) en de yubi (hmac) secret is niet uit te lezen en dus niet kopieerbaar.



Ik zie de noodzaak niet om totp codes in een aparte app onder te brengen.

[Hippe Lip]

@Domino
In plaats van je TOTP-codes heb jij nu je yubikey op een andere locatie. Dat komt natuurlijk op hetzelfde neer.

Hoe is dat in de praktijk, zo’n losse key? Ik zie het al jaren voorbij komen, vraag me zo nu en dan af of het wat is en laat het steeds weer liggen omdat ik bang ben dat er iets mis gaat.
Als je dat ding verliest, of op wat voor manier ook kapot gaat dan kun je vervolgens helemaal nergens meer bij? Je hele PWM zit dan permanent op slot?
Dat bezorgt mij de rillingen…

[Domino]

Hippe Lip schreef op vrijdag 20 februari 2026 @ 17:10:
@Domino
In plaats van je TOTP-codes heb jij nu je yubikey op een andere locatie. Dat komt natuurlijk op hetzelfde neer.

Hoe is dat in de praktijk, zo’n losse key? Ik zie het al jaren voorbij komen, vraag me zo nu en dan af of het wat is en laat het steeds weer liggen omdat ik bang ben dat er iets mis gaat.
Als je dat ding verliest, of op wat voor manier ook kapot gaat dan kun je vervolgens helemaal nergens meer bij? Je hele PWM zit dan permanent op slot?
Dat bezorgt mij de rillingen…

Yubi’s koop je minimaal twee. Eentje als backup.
Je kan zelf het secret programeren, het is alleen nooit meer uit te lezen. Nadeel is wel dat alleen de dure yubikey 5 series challenge-response doen, de goedkopere security keys ondersteunen het niet.

Ik heb zelf ooit eens 10 yubi’s aangeschaft via een cloudflare promo, destijds $10 per stuk dacht ik.

Gebruik ze nu voor vanalles, fido/passkey en u2f, maar de keepass integratie is toch wel het belangrijkste doel gebleken.

[RobbyTown]

1Password gaat voor Family-account prijs verhogen.
Huidige prijs: € 57,00 EUR per jaar
Nieuwe prijs: € 69,00 EUR per jaar
Let op dit is de EX BTW prijs


Kortom een euro pm erbij dat is nog te overzien. Hierbij de mail:

Sinds 2005 heeft 1Password de missie om beveiliging simpel, betrouwbaar en voor iedereen toegankelijk te maken. Naarmate mensen anders zijn gaan werken en steeds meer online zijn gaan doen, hebben ook wij ons voortdurend verder ontwikkeld.

De afgelopen tijd hebben we fors geïnvesteerd in nieuwe functies die 1Password nog krachtiger en eenvoudiger in gebruik maken, zodat je beter kunt beschermen wat voor jou het belangrijkst is. Hieronder vallen deze functies:

• Automatisch opslaan van inlog- en betaalgegevens
• Verbeterde Watchtower-meldingen
• Snellere en veiligere apparaatconfiguratie
• Door AI ondersteunde naamgeving voor items
• Uitgebreide herstelopties
• Proactieve preventie van phishing

Ondanks het feit dat 1Password de afgelopen jaren aanzienlijk in waarde en mogelijkheden is gegroeid, zijn onze prijzen lange tijd grotendeels gelijk gebleven. Om te blijven investeren in innovatie en de eersteklas beveiliging die je van ons verwacht, passen we met ingang van 27 maart 2026 de prijzen aan voor onze gezinsabonnementen.

Huidige versus nieuwe prijs:

Huidige prijs: € 57,00 EUR per jaar
Nieuwe prijs: € 69,00 EUR per jaar

De nieuwe prijs gaat in bij je eerstvolgende verlenging wanneer die plaatsvindt op of na 27 maart 2026. Wordt je abonnement vóór 27 maart 2026 verlengd, dan blijft de huidige prijs gelden tot aan je daaropvolgende verlenging.

Heb je vragen? Reageer gerust op deze e-mail om contact op te nemen met support. We zijn blij dat je 1Password gebruikt en waarderen je steun en vertrouwen.

Met vriendelijke groet,
Het team van 1Password

Toevallig ook iemand mail gehad voor individueel?

[LXXI]

RobbyTown schreef op dinsdag 24 februari 2026 @ 18:53:
1Password gaat voor Family-account prijs verhogen.
Huidige prijs: € 57,00 EUR per jaar
Nieuwe prijs: € 69,00 EUR per jaar

Kortom een euro pm erbij dat is nog te overzien. Hierbij de mail:

[...]


Toevallig ook iemand mail gehad voor individueel?

Huidige versus nieuwe prijs:

Huidige prijs: $ 35,88 USD per jaar
Nieuwe prijs: $ 47,88 USD per jaar

Geen idee waarom ik het in USD krijg eigenlijk, maar goed. Zal dus ook ± €1 /maand zijn.

[RobbyTown]

@LXXI Ik heb destijds EU prijs weergave gepakt + https://start.1password.eu/sign-up/ mijn account aangemaakt ipv de .com (anders zou de data nog in de VS staan ipv EU). 1 van 2 de reden zou dat kunnen zijn. Heb je op .com aangemaakt helaas kun je dan niet zo 123 naar .eu migratie doen, dat word geheel een nieuw account optuigen.

[Hippe Lip]

RobbyTown schreef op dinsdag 24 februari 2026 @ 19:05:
@LXXI Ik heb destijds EU prijs weergave gepakt + https://start.1password.eu/sign-up/ mijn account aangemaakt ipv de .com (anders zou de data nog in de VS staan ipv EU).

Waar die data staat lijkt me minder uitmaken dan wie de data opslaat. Volgens de VS-wetgeving kan de overheid bij Amerikaanse bedrijven opvragen, ongeacht of die in de VS staan of in de EU.

Dat is precies een van de redenen dat ik weg wil bij LastPass.

[LXXI]

RobbyTown schreef op dinsdag 24 februari 2026 @ 19:05:
@LXXI Ik heb destijds EU prijs weergave gepakt + https://start.1password.eu/sign-up/ mijn account aangemaakt ipv de .com (anders zou de data nog in de VS staan ipv EU). 1 van 2 de reden zou dat kunnen zijn. Heb je op .com aangemaakt helaas kun je dan niet zo 123 naar .eu migratie doen, dat word geheel een nieuw account optuigen.

Ach ja, het bedrijf is hetzelfde, maakt mij niet zoveel uit. Wel fijn trouwens dat als je naar www.1password.eu gaat je automatisch naar www.1password.com doorgestuurd wordt. Via jouw link of my.1password.eu blijf je er wel.

[Imre Himmelbauer]

Hey guys,

Is er iemand die een maandelijks abonnement heeft bij 1Password? Ik vermoed dat het bedrijf al eerder een prijsverhoging heeft doorgevoerd bij maandelijkse abonnees en wil kijken of mensen daarover zijn geïnformeerd.

[Miki]

LXXI schreef op dinsdag 24 februari 2026 @ 20:08:
[...]

Ach ja, het bedrijf is hetzelfde, maakt mij niet zoveel uit. Wel fijn trouwens dat als je naar www.1password.eu gaat je automatisch naar www.1password.com doorgestuurd wordt. Via jouw link of my.1password.eu blijf je er wel.

Het bedrijf is hetzelfde, de diensten ook maar je data wordt echt ergens anders ondergebracht, namelijk in Duitsland ipv een Amerikaanse server. Als je een dienst als NextDNS gebruikt kun je tracken waar je passwords worden opgehaald.

[bram91]

Hippe Lip schreef op dinsdag 24 februari 2026 @ 19:38:
[...]

Waar die data staat lijkt me minder uitmaken dan wie de data opslaat. Volgens de VS-wetgeving kan de overheid bij Amerikaanse bedrijven opvragen, ongeacht of die in de VS staan of in de EU.

Dat is precies een van de redenen dat ik weg wil bij LastPass.

1Password is niet Amerikaans, maar Canadees.

[Unknown Alien]

Hier zakelijk en prive ook een betaalde pwd mgr.

Leuk dat hij niet te raden wachtwoorden voor je verzint, maar wat heb je daaraan als de website slecht beveiligd is en je credentials zijn gehacked?? Juist heb je geen klap aan dat je wachtwoord 30 karakters is

Maar goed het is iig een stuk veiliger en het risico om je account kwijt te raken is een stuk kleiner, dan wanneer je pwd = Liefje2012

[ZeRoC00L]

Unknown Alien schreef op woensdag 25 februari 2026 @ 09:13:

Leuk dat hij niet te raden wachtwoorden voor je verzint, maar wat heb je daaraan als de website slecht beveiligd is en je credentials zijn gehacked?? Juist heb je geen klap aan dat je wachtwoord 30 karakters is

Jawel, met een password manager maakt je (over het algemeen) unieke wachtwoorden per site. Ipv dat de meeste mensen hun standaard wachtwoord (P@ssword1) gebruiken op alle sites.

[Room42]

Wat een nare sales-praktijken op die site van 1password, zeg! Prijzen Excl. BTW, ook bij jaarprijzen enkel de maandprijs noemen (geen totaal per jaar), etc. Voor mij een afknapper om erover na te denken.

[Unknown Alien]

ZeRoC00L schreef op woensdag 25 februari 2026 @ 09:21:
[...]

Jawel, met een password manager maakt je (over het algemeen) unieke wachtwoorden per site. Ipv dat de meeste mensen hun standaard wachtwoord (P@ssword1) gebruiken op alle sites.

Je begrijpt me verkeerd. Als een webshop waar die je inlog gegevens opslaat en die webshop wordt gehacked, waardoor de hacker je credentials kan zien, dan maakt het niet uit hoe lastig je wachtwoord\passphrase is.

Ik ben ook van mening dat ze het wettelijk moeten maken, dat wanneer je ergens een account aanmaakt, dat ze je de mogelijkheid moeten bieden om MFA te activeren en gebruiken.

Heb al meerdere websites gehad die bv een passphrase van 20 karakters zien als onveilig O_o ..ik maak daar dan geen account aan.

[Hippe Lip]

Unknown Alien schreef op woensdag 25 februari 2026 @ 10:01:
[...]
Heb al meerdere websites gehad die bv een passphrase van 20 karakters zien als onveilig O_o ..ik maak daar dan geen account aan.

Wat is daaraan mis dan? Dan maak je toch een wachtwoord van meer dan 20 karakters?
Mijn standaard zit op 30.

[Unknown Alien]

Hippe Lip schreef op woensdag 25 februari 2026 @ 10:30:
[...]

Wat is daaraan mis dan? Dan maak je toch een wachtwoord van meer dan 20 karakters?
Mijn standaard zit op 30.

Het feit dat hun systeem een passphrase als onveilig zien, terwijl een passphrase van 20 karakters een heel stuk veiliger is dan een wachtwoord van 8 karakters, wat wel geaccepteerd wordt.

[Hippe Lip]

Unknown Alien schreef op woensdag 25 februari 2026 @ 10:35:
[...]
Het feit dat hun systeem een passphrase als onveilig zien, terwijl een passphrase van 20 karakters een heel stuk veiliger is dan een wachtwoord van 8 karakters, wat wel geaccepteerd wordt.

Wat zie jij als verschil tussen een password en een passphrase? Beide zijn een groep karakters, waarbij een phrase door een mens makkelijker gelezen kan worden, maar voor de automatisering nix anders is?

[Unknown Alien]

Hippe Lip schreef op woensdag 25 februari 2026 @ 10:39:
[...]

Wat zie jij als verschil tussen een password en een passphrase? Beide zijn een groep karakters, waarbij een phrase door een mens makkelijker gelezen kan worden, maar voor de automatisering nix anders is?

Technisch gezien hetzelfde, aaneenschakeling van cijfers\symbolen\karakters, maar in de praktijk zijn passwords makkelijker te raden. Hoe vaak ik wel niet medewerkers heb gehad die
Vakantie2025 en het jaar erop Vakantie2026 hebben gebruikt. Of naam kind+geboorte jaar. Bestaande woorden die ze gebruiken met een jaartal erbij. Allemaal sneller te raden door bruteforce of dictonairy passwords hack programa's oid.
Laat staan de gemiddelde webshop gebruiker, die verzinnen al helemaal geen ingewikkelde wachtwoorden, want dan vergeten ze het zelf.

Onderstaande Passphrase wordt factor heull veulll minder snel geraden dan wat er standard gebruikt wordt.
Fragrant-Prognosis-Jogger8-Handcart

Bij mijn vorige opdrachtgever, hadden we zelfs soms een wedstrijdje in het team..We hebben een account die makkelijk te raden is wie hem raad krijgt gratis lunch

[whahas]

Ik kom ook geregeld plekken tegen waarbij ik niet meer dan x aantal tekens mag gebruiken en ik de hele tijd mijn wachtzin aan het inkorten ben totdat het geaccepteerd wordt...

Hoe staat het ervoor met de implementatie van passkeys tegenwoordig? Ik vond dat veelbelovend, maar in de praktijk kom ik het niet veel tegen.

[RoRoNL]

whahas schreef op woensdag 25 februari 2026 @ 14:02:
Ik kom ook geregeld plekken tegen waarbij ik niet meer dan x aantal tekens mag gebruiken en ik de hele tijd mijn wachtzin aan het inkorten ben totdat het geaccepteerd wordt...

Hoe staat het ervoor met de implementatie van passkeys tegenwoordig? Ik vond dat veelbelovend, maar in de praktijk kom ik het niet veel tegen.

Het is inderdaad een wat langzaam begin, maar logisch gezien toch wel een succesvolle toekomst hopelijk. -Hier een lijstje: https://www.passkeys.io/who-supports-passkeys

[Hippe Lip]

Unknown Alien schreef op woensdag 25 februari 2026 @ 12:09:
[...]

Technisch gezien hetzelfde, aaneenschakeling van cijfers\symbolen\karakters, maar in de praktijk zijn passwords makkelijker te raden. Hoe vaak ik wel niet medewerkers heb gehad die
Vakantie2025 en het jaar erop Vakantie2026 hebben gebruikt. Of naam kind+geboorte jaar. Bestaande woorden die ze gebruiken met een jaartal erbij. Allemaal sneller te raden door bruteforce of dictonairy passwords hack programa's oid.
Laat staan de gemiddelde webshop gebruiker, die verzinnen al helemaal geen ingewikkelde wachtwoorden, want dan vergeten ze het zelf.

Onderstaande Passphrase wordt factor heull veulll minder snel geraden dan wat er standard gebruikt wordt.
Fragrant-Prognosis-Jogger8-Handcart

Bij mijn vorige opdrachtgever, hadden we zelfs soms een wedstrijdje in het team..We hebben een account die makkelijk te raden is wie hem raad krijgt gratis lunch

Ah, daar zit dan je verborgen (omdat je dat er niet bij vertelde) probleem. Als je het over een password hebt denk jij kennelijk meteen aan eel leesbaar iets dat een mens verzint. Dat gebruik ik al heel veel jaren niet meer. Mijn passwords zijn (bijna) overal uniek en worden door een generator gemaakt. Zoiets als e1nj*qdsR%%9xEUr5qD1G41uwDY%DV. Dat is dus een stuk sterker dan een human readable passphrase.

[grun93]

Hippe Lip schreef op donderdag 26 februari 2026 @ 00:24:
Mijn passwords zijn (bijna) overal uniek en worden door een generator gemaakt. Zoiets als e1nj*qdsR%%9xEUr5qD1G41uwDY%DV. Dat is dus een stuk sterker dan een human readable passphrase.

Dat zijn maar 30 karakters en tekens. Het duurt niet lang meer of de krachtigste computers kunnen dat ook kraken.
Er zal vast een reden zijn waarom een bitcoin wallet bijvoorbeeld een passphrase seed van 12 willekeurige normale woorden genereert. Voor mij is dat makkelijker te onthouden, voor een computer moeilijker te raden. Denk ik tenminste.

[Ramon]

grun93 schreef op donderdag 26 februari 2026 @ 05:34:
[...]

Dat zijn maar 30 karakters en tekens. Het duurt niet lang meer of de krachtigste computers kunnen dat ook kraken.

Heb je enige onderbouwing hiervoor? Anders is het gewoon ongefundeerde bangmakerij. Bij mijn weten kost een 30 random tekens lang wachtwoord kraken nog altijd miljoenen jaren. Zie ook de grafiek op deze link: https://www.keepersecurit...nal-to-crack-my-password/

Overigens is het doel niet een onkraakbaar wachtwoord maken, maar eentje die langer duurt om te kraken dan de andere wachtwoorden in de database.

Er zal vast een reden zijn waarom een bitcoin wallet bijvoorbeeld een passphrase seed van 12 willekeurige normale woorden genereert. Voor mij is dat makkelijker te onthouden, voor een computer moeilijker te raden. Denk ik tenminste.

hoe langer hoe beter, maar als je toch een password manager gebruikt maakt onthoudbaarheid niet uit natuurlijk. En je hebt kans dat je tegen de limiet van het password veld aanloopt op sommige websites.

En P.S. de bitcoinwereld gebruiken als toonbeeld van veiligheid helpt je argument niet perse: hoevaak daar wel niet hacks worden gemeld...

[dutchgio]

Als je alleen maar woorden en dus letters gebruikt zijn dat veel minder tekens, en dan zijn het ook nog eens gewone woorden. Dat lijkt mij juist makkelijker te kraken.

Enige risico van zo'n gegenereerd wachtwoord is als er logica in het genereren zit en het niet volledig willekeurig is, zoals meerdere AI's doen.
Maar dat lijkt bij password managers niet het geval.

[Hippe Lip]

dutchgio schreef op donderdag 26 februari 2026 @ 08:10:
Als je alleen maar woorden en dus letters gebruikt zijn dat veel minder tekens, en dan zijn het ook nog eens gewone woorden. Dat lijkt mij juist makkelijker te kraken.

Enige risico van zo'n gegenereerd wachtwoord is als er logica in het genereren zit en het niet volledig willekeurig is, zoals meerdere AI's doen.
Maar dat lijkt bij password managers niet het geval.

En áls je al bang bent dat er logica zit in een gegenereerd password, dan laat je er eentje genereren en wijzigt middenin één teken (of laat er eentje weg). Dan is ook die logica verdwenen.

[Domino]

Ramon schreef op donderdag 26 februari 2026 @ 07:15:
En P.S. de bitcoinwereld gebruiken als toonbeeld van veiligheid helpt je argument niet perse: hoevaak daar wel niet hacks worden gemeld...

Enige nuance is hier wel op zijn plaats, al die hacks zijn het gevolg van kwestbaarheden in protocollen en/of gebruikersfouten (phising ed). Ik ken er niet eentje waarbij de seed (lees: het wachtwoord) is gekraakt.

[Meg]

Ik maak zelf gebruik van Bitwarden maar ben aan het denken om over te stappen op Vaultwarden die je zelf kan hosten.

Heeft iemand hier ervaring mee en hoe lastig is het?

[whahas]

Volgens mij kan je daarachter komen door te zoeken in dit onderwerp, @Meg , want volgens mij is dat eens besproken in dit onderwerp. Nee, ik heb er zelf geen ervaring mee.

[elsinga]

Hier ervaring, als je wat bekend bent met Docker is het echt niet lastig. En ben je dat niet, dan zijn er voldoende how-to's hiervoor. In de app is het alleen niet voor Bitwarden maar self-hosted kiezen.

Belangrijkste is dat je de database buiten Docker houdt en die regelmatig back-upt. Standaard is dat die /v in Docker. Ook dat staat bijna altijd in de how-to.

[nafofella]

Kreeg net een berichtje dat mijn jaarlijkse 1password weer verlengt word en dat het dan 57,93 pj is.
dat vind ik vrij prijzig en dus maar gecancelled.

Synology heeft ook een passwordmanager (c2), die had ik eerst maar is helaas nog echt heel basic.
Ik ben nu dus een beetje aan rondkijken:

-niet amerikaans
-normale prijs
-of makkelijk te hosten op een synology nas

Maar voor nog geen 7 euro jaarlijks is C2 ook een koopje.

[groggy]

nafofella schreef op maandag 6 april 2026 @ 18:31:
Kreeg net een berichtje dat mijn jaarlijkse 1password weer verlengt word en dat het dan 57,93 pj is.
dat vind ik vrij prijzig en dus maar gecancelled.

Synology heeft ook een passwordmanager (c2), die had ik eerst maar is helaas nog echt heel basic.
Ik ben nu dus een beetje aan rondkijken:

-niet amerikaans
-normale prijs
-of makkelijk te hosten op een synology nas

Maar voor nog geen 7 euro jaarlijks is C2 ook een koopje.
[Afbeelding]

Proton pass

[edwin2021]

Aliasvault?
Nl product kan zowel self hosted als hosted. Wel wat technische kennis nodig.

[ Voor 78% gewijzigd door edwin2021 op 06-04-2026 21:59 ]

[elsinga]

Vaultwarden werkt hier al jaren prima. Is een Bitwarden variant, die werkt met de Bitwarden client.

[Kreekje]

Heb even de laatste pagina's doorgelezen en in de hele topic gezocht maar niets gevonden voor mijn use-case. Ik zoek een password manager die betaalbaar moet zijn voor een non-profit. Liefst eentje dat niet te complex is voor de gebuikers. Ik was vooral aan het kijken naar 1Password, deze kwam hier in de topic ook aan bod. Voor non-profits hebben ze 25% korting op de business accounts. Dus per user zou dat dan op 62,91 EUR uitkomen per jaar.

Is dit een goede deal of kan ik beter nog verder zoeken? Zal eerst ook maar eens 14 dagen de trial proberen.

[Wild Chocolate]

Kreekje schreef op donderdag 9 april 2026 @ 22:38:
Heb even de laatste pagina's doorgelezen en in de hele topic gezocht maar niets gevonden voor mijn use-case. Ik zoek een password manager die betaalbaar moet zijn voor een non-profit. Liefst eentje dat niet te complex is voor de gebuikers. Ik was vooral aan het kijken naar 1Password, deze kwam hier in de topic ook aan bod. Voor non-profits hebben ze 25% korting op de business accounts. Dus per user zou dat dan op 62,91 EUR uitkomen per jaar.

Is dit een goede deal of kan ik beter nog verder zoeken? Zal eerst ook maar eens 14 dagen de trial proberen.

Ik gebruik zelf Enpass, ik zie dat die €1,95 ex BTW per user per maand rekenen. Je moet dan wel zelf de kluizen ergens opslaan. Dat kan op zo'n beetje iedere cloudopslag. Ik weet alleen niet hoe makkelijk hij te beheren is voor meerdere gebruikers.

[swhnld]

Kreekje schreef op donderdag 9 april 2026 @ 22:38:
Heb even de laatste pagina's doorgelezen en in de hele topic gezocht maar niets gevonden voor mijn use-case. Ik zoek een password manager die betaalbaar moet zijn voor een non-profit. Liefst eentje dat niet te complex is voor de gebuikers. Ik was vooral aan het kijken naar 1Password, deze kwam hier in de topic ook aan bod. Voor non-profits hebben ze 25% korting op de business accounts. Dus per user zou dat dan op 62,91 EUR uitkomen per jaar.

Is dit een goede deal of kan ik beter nog verder zoeken? Zal eerst ook maar eens 14 dagen de trial proberen.

Je kunt Bitwarden business overwegen. Standaard 4 Euro per gebruiker per maand, 48 per jaar, maar ze geven korting voor non-profits, moet je wel contact met hun sales afdeling opnemen:
https://bitwarden.com/pricing/business/

[elsinga]

EN Bitwarden is ook zelf te hosten (zoek op Vaultwarden), dan zijn er geen kosten per user meer (alleen zorgen dat de Docker container blijft draaien, wat vrijwel geen werk is) en zelf backups maken.

[edwin2021]

En dus óf een server huren voor de docker óf een vpn naar huis als extra werk/kosten.
Btw poort openzetten is geen oplossing.

[Ramon]

Kreekje schreef op donderdag 9 april 2026 @ 22:38:
Heb even de laatste pagina's doorgelezen en in de hele topic gezocht maar niets gevonden voor mijn use-case. Ik zoek een password manager die betaalbaar moet zijn voor een non-profit. Liefst eentje dat niet te complex is voor de gebuikers. Ik was vooral aan het kijken naar 1Password, deze kwam hier in de topic ook aan bod. Voor non-profits hebben ze 25% korting op de business accounts. Dus per user zou dat dan op 62,91 EUR uitkomen per jaar.

Is dit een goede deal of kan ik beter nog verder zoeken? Zal eerst ook maar eens 14 dagen de trial proberen.

Proton Pass heeft ook een gratis variant.

[RoRoNL]

@Ramon Ja voor particulieren inderdaad, maar als je als instelling dit wil beheren en wil aanbieden dan kom je uit op https://proton.me/nl/business/pass/pricing
@Kreekje

[whahas]

2 euro per gebruiker per maand, dat tikt behoorlijk door - en dat is dan nog eens de goedkoopste optie...

[edwin2021]

RoRoNL schreef op vrijdag 10 april 2026 @ 22:50:
@Ramon Ja voor particulieren inderdaad, maar als je als instelling dit wil beheren en wil aanbieden dan kom je uit op https://proton.me/nl/business/pass/pricing
@Kreekje

Werp een blik op aliasvault. Nl product.
Ontwikkelaar is zeer goed benaderbaar via discord.

[ Voor 6% gewijzigd door edwin2021 op 11-04-2026 07:03 ]

[eynickey]

Kreekje schreef op donderdag 9 april 2026 @ 22:38:
Heb even de laatste pagina's doorgelezen en in de hele topic gezocht maar niets gevonden voor mijn use-case. Ik zoek een password manager die betaalbaar moet zijn voor een non-profit. Liefst eentje dat niet te complex is voor de gebuikers. Ik was vooral aan het kijken naar 1Password, deze kwam hier in de topic ook aan bod. Voor non-profits hebben ze 25% korting op de business accounts. Dus per user zou dat dan op 62,91 EUR uitkomen per jaar.

Is dit een goede deal of kan ik beter nog verder zoeken? Zal eerst ook maar eens 14 dagen de trial proberen.

Misschien Passbolt? Je kunt een aanvraag indienen die ze dan beoordelen.
https://www.passbolt.com/contact/non-profit

[nafofella]

groggy schreef op maandag 6 april 2026 @ 21:41:
[...]

Proton pass

Ik heb idd maar proton pass genomen.
voor een jaar goedkoper dan 1password en ik wil zoveel mogelijk af van amerikaanse dienstverleners (ook als ze servers in europa hebben).

Zelf iets gaan hosten of klooien met dockers heb ik nu even geen zin in en dit is gewoon plug en play.
Net geïnstalleerd dus zal over tijdje wel ff posten hoe dat bevalt (in vergelijking met 1 password)

[Hippe Lip]

nafofella schreef op donderdag 16 april 2026 @ 18:04:
[...]

Ik heb idd maar proton pass genomen.
voor een jaar goedkoper dan 1password en ik wil zoveel mogelijk af van amerikaanse dienstverleners (ook als ze servers in europa hebben).

Zelf iets gaan hosten of klooien met dockers heb ik nu even geen zin in en dit is gewoon plug en play.
Net geïnstalleerd dus zal over tijdje wel ff posten hoe dat bevalt (in vergelijking met 1 password)

Daar wilde ik ook vanaf (had Lastpass) en twijfelde lang tussen Proton en Nordpass. Uiteindelijk heb ik voor Nordpass gekozen vanwege de gebruikersinterface. Ik heb een volkomen a-technische wederhelft en dan helpt elk beetje.

[nafofella]

Hippe Lip schreef op donderdag 16 april 2026 @ 18:50:
[...]

Daar wilde ik ook vanaf (had Lastpass) en twijfelde lang tussen Proton en Nordpass. Uiteindelijk heb ik voor Nordpass gekozen vanwege de gebruikersinterface. Ik heb een volkomen a-technische wederhelft en dan helpt elk beetje.

Bijna een weekje proton pass nu in gebruik en ik vind hem fijner en overzichtelijker dan 1password.
ook was 1password aan het klooien als ik een recover password op een site deed. ik moest 1password uitzetten omdat het nieuwe wachtwoord steeds anders was. (dat was ook de reden dat ik direct maar proton pass heb genomen)

ik gebruik het op mijn iphone en windows pc's. werkt fijn en intuïtief. Voor mij dus beter en fijner dan 1password.

Ik ga na dit jaarabbo ook eens nordpass proberen. Ik zag dat die een stuk voordeliger geprijsd zijn.

[nafofella]

Helemaal tevreden met proton pass nu ik het een tijdje gebruik. Werkt echt super.

Om toch de beveiliging helemaal optimaal te krijgen heb ik nu twee yubikeys en een token2 aan mijn accounts gehangen icm met Synology secure signin app op mijn iPhone.

Een yubikey aan de bos. Een in een bankkluis met backup hd nas en codes. En een doosje met de token2 naar een vriend.

Volgensmij kan ik qua online veiligheid niet veel meer doen 😜

[streamnl]

Ik had vandaag bij het aanmaken van een alias de optie van .may517
Dit is de eerste keer dat ik dat zie. Maar dat wil ik wel vaker dat ik iets van een datum/jaar zie. Dat ziet er toch net wat minder raar uit dan .underpaid123 ofzo

Ik begrijp dat je minder opties hebt dan random woorden en getallen, en dat de keuzes waaruit je dan kan kiezen snel op zijn als men wereldwijd hieruit kan kiezen.

Maar toch… ik zou het wel prettig vinden als je in de naam ook iets van een datum terug kan zien ipv bij de opties.

[BytePhantomX]

BytePhantomX schreef op woensdag 9 november 2022 @ 14:55:
Ik heb net trouwens eens getest wat de ervaring is. Die laat nog wat te wensen over, maar goed jullie zijn nog aan het bouwen.

...

Ik kreeg vandaag een like op deze comment en daarnaast zie ik MindYourPass nog regelmatig voorbij komen op mijn LinkedIn. Sinds deze post hebben we LLM's gekregen en leek het mij leuk om eens een analyse te doen van hoe het nu werkt.
Disclaimers: ik zal vast niet alles begrijpen en dit is getest op basis van de cosumentenversie.

Consumenten kunnen een gratis versie gebruiken. Je kunt naar: https://site.mindyourpass.io/nl/get-started om daar mee te beginnen. Bij de onboarding moet je een hoofdwachtwoord maken van 12 tekens (ps MindYourPass wordt gezien als goed wachtwoord) en krijg je een email met de recovery code, met daarin o.a. deze tekst:

Important notice!

In case you ever forget your master password of MindYourPass, you will need the code below to set up a new master password:

78babd18-89d4-46ab-8a61-45d1b3e39d71

Please keep this code in a safe place!

Persoonlijk zou ik een advies verwachten om deze code veilig op te bergen (op papier o.i.d.) en de mail daarna te verwijderen, en ook te verwijderen uit de prullenbak. Iemand die toegang krijgt tot je mailbox zou namelijk ook bij je wachtwoordmanager kunnen.

Je krijgt dan een video te zien met een uitleg waarbij je ook een eenvoudig te onthouden wachtwoord moet maken, naast je hoofdwachtwoord. Dat bleek in mijn geval niet nodig te zijn / niet te kunnen.

Voor de app op je telefoon moet je inloggen met je email adres en je hoofdwachtwoord. Daarna volgt een autorisatiecode per email en kun je inloggen. Voor consumenten is het niet mogelijk om MFA in te stellen (anders dan de email verificatiecode).

Je kunt daarna een record / site toevoegen aan MindYourPass. Daarna heb ik met AI de extensie geanalyseerd en de API calls om uit te vogelen hoe het nu werkt om een wachtwoord op te vragen:

1. Je opent het record in MindYourPass en vult je (hoofd of eenvoudig te onthouden) wachtwoord in.
2. Er wordt een call gedaan naar InputVector/GetWithSession om de user input vector voor deze sessie op te halen.
3. Je wachtwoord (uit stap 1) wordt samen met een salt gehashed. De salt wordt serverside in de JWT (json web token) geplaatst en lokaar er uit gehaald.
4. De hash uit stap 3 wordt samen met de Vector uit stap twee samengevoegd om een locale secret (mappedUserPassword) te maken.
5. Er wordt een call gemaakt naar /Generate waarbij data terugkomt met een passwordVector en een adjustmentVector.
6. Er wordt een call gemaakt naar /GetByUrl om de wachtwoord eisen voor de website op te halen (lengte, lowercasse, upercase etc)
7. De mappedUserPassword, passwordVector, adjustmentfactor en de regels uit 6 worden gebruikt om vervolgens is drie stappen het wachtwoord te berekenen. Deze berekening is volledig clientside en in javascript.

Calls naar de API zijn beveiligd met een bearer token. Ik weet niet zeker wat er server side voor checks plaatsvinden (bv op IP Adres), maar normaal gesproken zou je als je de bearer token hebt calls kunnen maken naar de API.

Dat maakt dat een paar aanvalspaden mogelijk zijn:

• Toegang tot de mailbox van de gebruiker geeft volledige toegang tot de wachtwoord manager. Hier is niet omheen te werken, aangezien je geen andere vormen van MFA kan instellen voor de consumenten versie.
• Als je geen toegang hebt tot de email van een slachtoffer, dan is het wat complexer, maar m.i. niet onmogelijk:
  • Je moet de token stelen, wat een vrij veel voorkomende aanval is. Het maakt wel dat je aanval mogelijk tijdelijk werkt vanwege de levensduur van de token.
  • Je moet het (hoofd of eenvoudig te onthouden) wachtwoord hebben. Kan gephist worden, of mogelijk staat het op het dark web als een gebruiker wachtwoorden hergebruikt.
  • Je moet de url hebben zoals die ingevoerd is in MindYourPass. Dat lijkt me in de basis realistisch.
  • Je moet de logica voor het maken van wachtwoorden hebben, maar die is uit de browser extensie te halen.

Mogelijk wordt optie 2 lastig of onmogelijk gemaakt door maatregelen aan de server kant, maar daar is niets over bekend, anders dan deze zin in de FAQ:

Detectie verdacht gedrag. Voor elk wachtwoord dat MindYourPass genereert, vindt een interactie met onze servers plaats. Dit maakt het mogelijk om verdacht gedrag te detecteren en te blokkeren.

Aan de ene kant gaaf dat we een Nederlands bedrijf hebben dat iets nieuws op de markt brengt. Aan de andere kant maak ik me een beetje zorgen over de veiligheid van deze tool en dat het bij veel gemeentes wordt gebruikt.

Ik ben eigenlijk wel benieuwd of iemand het gebruikt. Zakelijk of de consumenten versie.

[kevchenko]

Recent maakte ik op Cybersec Europe kennis met heylogin, een password manager waarbij je inlogt via een app op je smartphone (of met een security key) en niet met een master password.
De eerste testen zijn veelbelovend. Het privégebruik is beperkt, maar via een business account (31-day trial) kan je heel wat beheren.
Ze geven aan dat alles op Europese servers staat en dat ze 100% GDPR-compliant zijn.
Als ze doen wat ze beloven, is dit natuurlijk the way to go.
Heeft iemand dit product al eens onder de loep genomen?

[Hippe Lip]

kevchenko schreef op woensdag 27 mei 2026 @ 20:41:
Recent maakte ik op Cybersec Europe kennis met heylogin, een password manager waarbij je inlogt via een app op je smartphone (of met een security key) en niet met een master password.

Als de boel niet beveiligd is met een master password, hoe dan wel, @kevchenko?

Het zal toch hoop ik niet zo zijn dat iedereen die jouw telefoon te pakken heeft overal bij kan? Want dan is de beveiliging van die passwordmanager niet sterker dan de beveiliging van je telefoon?
Dan is:

1. óf de beveiliging van de PW-mngr heel beroerd (de beveiliging van de meeste telefoons is maar vrij beperkt vergeleken met een goed master password),
2. óf de beveiliging van je telefoon is heel zwaar, wat je niet leuk gaat vinden elke keer als je je telefoon moet ontgrendelen.

[ Voor 42% gewijzigd door Hippe Lip op 27-05-2026 22:57 ]

[kevchenko]

Hippe Lip schreef op woensdag 27 mei 2026 @ 22:41:
[...]

Als de boel niet beveiligd is met een master password, hoe dan wel, @kevchenko?

Het zal toch hoop ik niet zo zijn dat iedereen die jouw telefoon te pakken heeft overal bij kan? Want dan is de beveiliging van die passwordmanager niet sterker dan de beveiliging van je telefoon?
Dan is:

1. óf de beveiliging van de PW-mngr heel beroerd (de beveiliging van de meeste telefoons is maar vrij beperkt vergeleken met een goed master password),
2. óf de beveiliging van je telefoon is heel zwaar, wat je niet leuk gaat vinden elke keer als je je telefoon moet ontgrendelen.

Je installeert de Heylogin app, die dient als authenticatie. Daarnaast kan je gebruik maken van een browser plug-in.
Wanneer ik wil inloggen op een website krijg ik volgend scherm.

Bij het selecteren van je account, krijg je een melding op je smartphone. Daar dien je deze aanmelding te verifiëren. In geval van MFA, krijg je ook nog via je authenticator app een melding.
Volgens je settings kan je bepalen hoe lang je sessie geldt, zodat je niet telkens moet bevestigen bij een volgende login. Per browser kan je ook meteen je sessie verbreken.

Telefoon niet bij de hand? Dan kan je ook gewoon het kader wegklikken en je credentials manueel ingeven.

Wat je hierboven aanhaalt, geldt ook voor de native password managers van iOS en Android. Dus daar zie ik niet echt een probleem.
Zopas heb ik hun Security architecture whitepaper gedownload. 57 Pagina's, dus het zal wel even duren vooraleer ik deze heb doorgrond.

[kevchenko]

Om het even in hun woorden te zeggen:

We completely remove the need for a Master Password. Instead, we generate a cryptographic seed directly in the security chips of the respective user devices to derive the specific keys for end-to-end encryption. In contrast to a Master Password, a seed is 256 bit secure, completely random and contains no human patterns.

heylogin supports security chips from different users devices. Typically, it uses the security chips built into smartphones on iOS and Android. This also allows the usage of smartwatchesto unlock heylogin if they are properly connected over Bluetooth with the phone. In this case heylogin still uses the security chip inside the smartphone. As an alternative, FIDO2 security keys can be used, which are connected over USB or NFC. With these devices, the security chip inside these security keys can be used as an alternative to the user’s phone or even as a standalone device without a phone. Security chips in PCs and Macs offer another way to unlock heylogin, via the Windows Hello and Touch ID APIs.

heylogin’s browser extension automates the login experience by detecting login forms, e.g. username and password fields, and then showing an overlay on top. This hides the inconveniences of the login process and instead shows a 1-click button labeled with the user’s website account.

The heylogin overlay works with all websites and even two-step logins, where username and password are on two different sites are also supported as well as automated entry of TOTP codes. The algorithm has been fine tuned over several years and is continuously updated.

The resulting experience feels like a Single-Sign On (SSO) but is technically a Password Manager.

1. In milliseconds, the overlay algorithm detects the login form on the website.

2. The browser extension renders the overlay precisely on top of the login form.

3. After clicking the button labeled with the user’s website account, a notification is shown on the smartphone.

4. After unlocking the security chip locally with Face Unlock, Fingerprint or PIN, the browser extension is unlocked and can now access private data, such as username and passwords, inside the vault. Username and password is automatically filled in behind the overlay to automate the website login process.

For multi-factor authentication / security, three factors are typically discussed: knowledge (”something only the user knows”, such as PIN, password, master password), possession (“something only the user has”, such as security chips, certificates files) and biometric factors (“something the user is”, such as fingerprint, face unlock).
As explained before, legacy Password Managers use the Master Password as a 1st factor (knowledge factor) and optionally implement 2nd factors, such as TOTP codes (knowledge factor) or security keys (possession factor). These 2nd factors, are only authentication mechanisms for an additional protection when accessing the cloud infrastructure, but not part of the vault encryption process. In case of an infrastructure breach, this means that they effectively only have 1-factor security with a master password. In contrast, heylogin has real 2-factor security as part of the vault encryption process. heylogin’s 1st factor is always a security chips, built inside the user’s smartphone, FIDO2 security key or TPM (possesion factor). heylogin’s 2nd factor is the factor used to unlock the security chips. In case of smartphones, this is typically fingerprint (biometric factor), face unlock (biometric factor) or PIN (knowledge factor). The 2nd factor always works on the login device itself locally and no biometric or PIN data is transmitted to our servers. While Master Passwords and PINs are both knowledge factors, there is a crucial difference how they work. As shown before, in a offline brute-force attack, Master Passwords can be guessed with unlimited attempts, since these attacks are only slowed down by the key derivation method. In contrast, PIN attempts are strictly limited by the security chip hardware. An attacker must therefore not only physically steal the smartphone (1st factor), but also unlock the security chip with a 2nd factor. It is important to remember that the use of the security chip ensures that our cryptographic seed can never be accessed by bypassing the phone’s authentication mechanisms, e.g., by prying out the storage and reading it through an external reader.

[Hippe Lip]

kevchenko schreef op donderdag 28 mei 2026 @ 07:55:
Je installeert de Heylogin app, die dient als authenticatie. Daarnaast kan je gebruik maken van een browser plug-in.

Je telefoon is dus je sleutel. En wat als die in de plomp verdwijnt of opeens <ploef> zegt? Dan kun je nergens meer bij?

Kun je ook een backup maken?

Telefoon niet bij de hand? Dan kan je ook gewoon het kader wegklikken en je credentials manueel ingeven.

Maar waar is dan je lijst met bewaarde credentials van die PW-manager? Daar kun je alleen maar bij vanaf je telefoon?

Wat je hierboven aanhaalt, geldt ook voor de native password managers van iOS en Android. Dus daar zie ik niet echt een probleem.

Daar zie ik zoals gezegd nou juist wel het probleem. Dat is ook waarom ik geen gebruik maak van de native PW-manager van (in mijn geval) iOS. Hoe is een gemiddelde iPhone beveiligd? Met je unlock-code (PIN-code) kun je erin en kun je overal bij. Dat vind ik maar een matige bescherming.

Dan is er nog het verschil dat ik met de PW-mngrs waarmee ik tot nu toe werkte zowel de telefoon als de iPad als sleutel kan gebruiken. Maar daarvoor is dan wel steeds het lange master password nodig.

[kevchenko]

Hippe Lip schreef op donderdag 28 mei 2026 @ 14:06:
[...]

Je telefoon is dus je sleutel. En wat als die in de plomp verdwijnt of opeens <ploef> zegt? Dan kun je nergens meer bij?

Kun je ook een backup maken?

Je kan een 2e toestel koppelen (iPhone, iPad, Yubikey,... ), of in geval van <ploef> kan je een nieuw toestel configureren mits je de recovery code hebt. Daar sta je als gebruiker zelf voor in.
Als je geen 2e toestel koppelt, kan je inderdaad niet aan je data. Tenminste tot je een nieuw device hebt.
Als admin kan je de gebruikers resetten.
Backup van data is mogelijk naar .csv.

Maar waar is dan je lijst met bewaarde credentials van die PW-manager? Daar kun je alleen maar bij vanaf je telefoon?

Via heylogin.app log je in op het beheerportaal. Daar kan je alles uitgebreid beheren. De smartphone app dient enkel voor authenticatie en het beheer van je wachtwoorden.

Daar zie ik zoals gezegd nou juist wel het probleem. Dat is ook waarom ik geen gebruik maak van de native PW-manager van (in mijn geval) iOS. Hoe is een gemiddelde iPhone beveiligd? Met je unlock-code (PIN-code) kun je erin en kun je overal bij. Dat vind ik maar een matige bescherming.

Dan is er nog het verschil dat ik met de PW-mngrs waarmee ik tot nu toe werkte zowel de telefoon als de iPad als sleutel kan gebruiken. Maar daarvoor is dan wel steeds het lange master password nodig.

De beveiliging van je toestel is ergens ook je eigen verantwoordelijkheid. In het gezin kijk ik daar op toe. Een bedrijf is natuurlijk iets anders.

In hun whitepaper geven ze ook antwoord op elke stap van hun beveiliging. "Alle" mogelijke risico's (voor zover je van alle kunt spreken) worden daar besproken.
Je kan die trouwens op hun site terugvinden.

[groggy]

kevchenko schreef op donderdag 28 mei 2026 @ 18:14:
[...]

Je kan een 2e toestel koppelen (iPhone, iPad, Yubikey,... ), of in geval van <ploef> kan je een nieuw toestel configureren mits je de recovery code hebt. Daar sta je als gebruiker zelf voor in.
Als je geen 2e toestel koppelt, kan je inderdaad niet aan je data. Tenminste tot je een nieuw device hebt.
Als admin kan je de gebruikers resetten.
Backup van data is mogelijk naar .csv.


[...]

Via heylogin.app log je in op het beheerportaal. Daar kan je alles uitgebreid beheren. De smartphone app dient enkel voor authenticatie en het beheer van je wachtwoorden.


[...]

De beveiliging van je toestel is ergens ook je eigen verantwoordelijkheid. In het gezin kijk ik daar op toe. Een bedrijf is natuurlijk iets anders.

In hun whitepaper geven ze ook antwoord op elke stap van hun beveiliging. "Alle" mogelijke risico's (voor zover je van alle kunt spreken) worden daar besproken.
Je kan die trouwens op hun site terugvinden.

Wie probeer je te overtuigen, ben je toevallig betrokken bij deze password manager?

[kevchenko]

groggy schreef op donderdag 28 mei 2026 @ 20:25:
[...]

Wie probeer je te overtuigen, ben je toevallig betrokken bij deze password manager?

Totaal niet. Ik had gehoopt dat iemand (met meer kennis van security dan mij) deze PM al eens bekeken had. Bij de firma waar ik werk zijn de gebruikers nogal moeilijk warm te maken voor een PM.
Gezien we toch met gevoelige data werken, zijn we nogal wantrouwig tegenover cloudoplossingen voor PM's. Deze kan misschien wel iets te bieden hebben op dat vlak, net omdat hij anders lijkt te werken.

[Hippe Lip]

kevchenko schreef op donderdag 28 mei 2026 @ 20:43:
[...]

Totaal niet. Ik had gehoopt dat iemand (met meer kennis van security dan mij) deze PM al eens bekeken had. Bij de firma waar ik werk zijn de gebruikers nogal moeilijk warm te maken voor een PM.

Het lijkt er niet op dat je heel erg kritisch bent, dus ik kan me wel voorstellen dat je collega’s er niet aan willen. Ik ben nogal kritisch omdat je hiermee een van je gevoeligste dingen aan het bewaren bent.

Gezien we toch met gevoelige data werken, zijn we nogal wantrouwig tegenover cloudoplossingen voor PM's. Deze kan misschien wel iets te bieden hebben op dat vlak, net omdat hij anders lijkt te werken.

Je lijkt hier te zeggen dat heylogin niet in de cloud werkt, maar je zegt zelf

Via heylogin.app log je in op het beheerportaal. Daar kan je alles uitgebreid beheren. De smartphone app dient enkel voor authenticatie en het beheer van je wachtwoorden.

Dat betekent toch dat je data niet op je telefoon staat maar bij heylogin. Dat is toch in de cloud?

Nee, ik ben nog bepaald niet overtuigd. Hooguit overtuigd van het feit dat dit zaakje allerminst me allerminst veilig lijkt.

[kevchenko]

Hippe Lip schreef op donderdag 28 mei 2026 @ 23:30:
[...]


Het lijkt er niet op dat je heel erg kritisch bent, dus ik kan me wel voorstellen dat je collega’s er niet aan willen. Ik ben nogal kritisch omdat je hiermee een van je gevoeligste dingen aan het bewaren bent.

[Ik ben net wel heel kritisch. Ik probeer de werking tot op een bepaalde hoogte te doorgronden.
Een kritische noot is bijvoorbeeld wanneer je iPhone defect is en je hebt geen 2e device, dan kan je wel een nieuw toestel activeren met je back-up codes. Maar wat als je iCloud credentials net in die PM zitten? Een 2e device lijkt dus echt wel noodzakelijk, wat dan weer een extra kost is.

Een tweede punt: Mijn vrouw weet de PIN van mijn telefoon. Dit wil zeggen dat zij ook aan mijn professionele paswoorden kan.

Je lijkt hier te zeggen dat heylogin niet in de cloud werkt, maar je zegt zelf

[...]

Dat betekent toch dat je data niet op je telefoon staat maar bij heylogin. Dat is toch in de cloud?

Nee, ik ben nog bepaald niet overtuigd. Hooguit overtuigd van het feit dat dit zaakje allerminst me allerminst veilig lijkt.

Dan moet dit niet duidelijk zijn uitgelegd door mij. Het is niet dat de gebruikers dit niet willen gebruiken omwille dat het cloudbased is, maar eerder uit beperkte IT vaardigheden. Vandaar ook deels mijn interesse in dit product.

Waar staat de data?

• In de cloud:
  • Logingegevens worden opgeslagen op servers in Duitsland
  • De data in de cloud is end-to-end encrypted. Heylogin zelf kan de inhoud niet zien of ontsleutelen
• Op je smartphone / device:
  • De sleutels om die data te ontgrendelen zitten op jouw toestel
  • Je toestel kan dus lokaal logingegevens gebruiken en synchroniseren met de server.

[Hippe Lip]

kevchenko schreef op vrijdag 29 mei 2026 @ 10:27:
[Ik ben net wel heel kritisch.

Ik probeer de werking tot op een bepaalde hoogte te doorgronden.

Niet ver genoeg, lijkt het.

Een tweede punt: Mijn vrouw weet de PIN van mijn telefoon. Dit wil zeggen dat zij ook aan mijn professionele paswoorden kan.

Precies DAAR geef je zelf dus aan hoe zwak dit is: de beveiliging gaat niet verder dan die ene PIN van een paar cijfers.
Dat is een zéér zwakke beveiliging. Ik adviseer je om hiermee geen kritische dingen op te slaan!

[Hippe Lip]

Een beetje behoorlijk wachtwoord, zeker wat je nodig hebt voor een PW-mngr, is meer dat 16 karakters (zeker niet alleen cijfers!) lang!
Ik houd ruim meer dan 20 aan.

[Phoolie]

Hippe Lip schreef op vrijdag 29 mei 2026 @ 10:49:
[...]

Precies DAAR geef je zelf dus aan hoe zwak dit is: de beveiliging gaat niet verder dan die ene PIN van een paar cijfers.
Dat is een zéér zwakke beveiliging. Ik adviseer je om hiermee geen kritische dingen op te slaan!

Beveiliging is toch altijd zo zwak als de zwakste schakel? Die telefoon is het probleem niet, de kozen code van een paar cijfers is het probleem.

[FRANQ]

kevchenko schreef op vrijdag 29 mei 2026 @ 10:27:
[...]


[Ik ben net wel heel kritisch. Ik probeer de werking tot op een bepaalde hoogte te doorgronden.
Een kritische noot is bijvoorbeeld wanneer je iPhone defect is en je hebt geen 2e device, dan kan je wel een nieuw toestel activeren met je back-up codes. Maar wat als je iCloud credentials net in die PM zitten? Een 2e device lijkt dus echt wel noodzakelijk, wat dan weer een extra kost is.

Een tweede punt: Mijn vrouw weet de PIN van mijn telefoon. Dit wil zeggen dat zij ook aan mijn professionele paswoorden kan.


[...]


[...]

Dan moet dit niet duidelijk zijn uitgelegd door mij. Het is niet dat de gebruikers dit niet willen gebruiken omwille dat het cloudbased is, maar eerder uit beperkte IT vaardigheden. Vandaar ook deels mijn interesse in dit product.

Waar staat de data?

• In de cloud:
  • Logingegevens worden opgeslagen op servers in Duitsland
  • De data in de cloud is end-to-end encrypted. Heylogin zelf kan de inhoud niet zien of ontsleutelen
• Op je smartphone / device:
  • De sleutels om die data te ontgrendelen zitten op jouw toestel
  • Je toestel kan dus lokaal logingegevens gebruiken en synchroniseren met de server.

Zelf heb ik bitwarden, en mijn vrouw kan ook in mijn telefoon.
Maar het wachtwoord van bitwarden is dermate ingewikkeld dat ze daar nooit achter komt.
Zelfs niet met een geheugensteuntje.

En zelf weet ik mijn eerste auto met kenteken en een paar speciale karakters er tussendoor prima uit mijn hoofd.

[groggy]

FRANQ schreef op dinsdag 2 juni 2026 @ 11:39:
[...]

Zelf heb ik bitwarden, en mijn vrouw kan ook in mijn telefoon.
Maar het wachtwoord van bitwarden is dermate ingewikkeld dat ze daar nooit achter komt.
Zelfs niet met een geheugensteuntje.

En zelf weet ik mijn eerste auto met kenteken en een paar speciale karakters er tussendoor prima uit mijn hoofd.

Er komt een moment waarop je jouw bot het nét iets te makkelijk hebt gemaakt met deze ene zin om je wachtwoord te kraken...

[FRANQ]

groggy schreef op dinsdag 2 juni 2026 @ 15:33:
[...]

Er komt een moment waarop je jouw bot het nét iets te makkelijk hebt gemaakt met deze ene zin om je wachtwoord te kraken...

Het is een voorbeeld
Maar dan nog zou ik het erg knap vinden, aangezien daar volgens mij niets over bekend is op internet.

[Hippe Lip]

Phoolie schreef op dinsdag 2 juni 2026 @ 11:11:
[...]

Beveiliging is toch altijd zo zwak als de zwakste schakel? Die telefoon is het probleem niet, de kozen code van een paar cijfers is het probleem.

Is dat niet precies wat ik zeg?

[Phoolie]

Hippe Lip schreef op dinsdag 2 juni 2026 @ 21:34:
[...]

Is dat niet precies wat ik zeg?

Als dat is wat je probeerde te zeggen, zou ik voortaan andere woorden kiezen. Het komt nu over of je de besproken oplossing afschiet omdat een telefoon alleen maar een pincode aan zou kunnen. Je geeft namelijk aan weg te blijven van die optie met die telefoon omdat er een makkelijke pincode op zit. Je kan natuurlijk prima die optie wel gebruiken en een moeilijke toegangscode voor je telefoon kiezen

[ Voor 23% gewijzigd door Phoolie op 03-06-2026 08:35 ]

[swhnld]

FRANQ schreef op dinsdag 2 juni 2026 @ 15:39:
[...]
Maar dan nog zou ik het erg knap vinden, aangezien daar volgens mij niets over bekend is op internet.

Dan hoop je dat er nooit een hack geweest is van de overheids database waar die informatie in staat.

Ook ga je er dan van uit dat niemand ooit een foto plaatst of geplaatst heeft op sociale media van jou met je eerste auto en het kenteken leesbaar.

En8gste voordeel voor je is , hoop je dan maar, dat je een 13 in een dozijn, gemiddelde burger, bent. Er is niets te halen, je bent niet beroemd, etc. Dan gaat men niet gauw energie erin steken om het uit te zoeken wie Franq is.

[kevchenko]

De argumentatie is dat bij een breach bij legacy password managers, men in principe ongelimiteerd offline brute-force kan toepassen op de vault. Uiteraard zal de complexiteit van je wachtwoord daar een rol in spelen.
Volgens Heylogin is dat bij hen niet mogelijk.

Wat betreft de pincode op je iPhone, geven ze het argument dat brute-force vertraagd wordt.
Brute-force protection on iPhone and iPad.

On Apple devices, the Secure Enclave is responsible for handling user authentication via PIN.
The Secure Enclave also implements escalating timeouts on authentication failure to discourage
brute-force attacks6. Furthermore, Apple allows users to configure an automatic device
wipe that will delete all data on the device after 10 incorrect attempts.
Incorrect attempts 1 to 3 4 5 6 7 8 9
Delay in minutes until next try - 1 5 15 60 180 480
Incorrect attempts 10 Action Device is disabled or wiped, depending on configuration

Dat sluit natuurlijk niet uit dat iemand je PIN heeft zien intikken om een of andere reden.
Je PIN wijzigen in een alfanumerieke code is dan de oplossing. Maar of het handig is als je Face ID het even laat afweten. Hoewel alles beter is dan een 6 digit code, dus misschien hoeven 16 karakters dan weer niet, in combinatie met die brute-force protection.

[Phoolie]

kevchenko schreef op woensdag 3 juni 2026 @ 13:16:
[...]

Dat sluit natuurlijk niet uit dat iemand je PIN heeft zien intikken om een of andere reden.
[...]

Of ze zien je vingerafdrukken zitten, wat de pincode "raden" maken ook wat makkelijker maakt

[Hippe Lip]

Iemand hier die Dashlane gebruikt?

Zie artikel Wachtwoordkluizen Dashlane-klanten gestolen bij bruteforce-aanval

[Hippe Lip]

Phoolie schreef op woensdag 3 juni 2026 @ 08:34:
Als dat is wat je probeerde te zeggen, zou ik voortaan andere woorden kiezen. Het komt nu over of je de besproken oplossing afschiet omdat een telefoon alleen maar een pincode aan zou kunnen. Je geeft namelijk aan weg te blijven van die optie met die telefoon omdat er een makkelijke pincode op zit. Je kan natuurlijk prima die optie wel gebruiken en een moeilijke toegangscode voor je telefoon kiezen

Nou @Phoolie, dat is juist een van de eerste dingen die ik erover zei, dacht ik.
En dat is het lastige als een discussie over meerdere posts is uitgespreid, want niet iedereen leest (of onthoud) dan de hele story (geen verwijt).

Hippe Lip schreef op woensdag 27 mei 2026 @ 22:41:
[...]
Dan is:

1. óf de beveiliging van de PW-mngr heel beroerd (de beveiliging van de meeste telefoons is maar vrij beperkt vergeleken met een goed master password),
2. óf de beveiliging van je telefoon is heel zwaar, wat je niet leuk gaat vinden elke keer als je je telefoon moet ontgrendelen.

[Phoolie]

Hippe Lip schreef op woensdag 3 juni 2026 @ 17:09:
[...]

Nou @Phoolie, dat is juist een van de eerste dingen die ik erover zei, dacht ik.
En dat is het lastige als een discussie over meerdere posts is uitgespreid, want niet iedereen leest (of onthoud) dan de hele story (geen verwijt).


[...]

In dat geval heb je volkomen gelijk, ik had dat eerste bericht gemist. Discussie om niets dus, eigenlijk zijn we het prima met elkaar eens

[Diederik]

Omdat Microsoft passkeys verplicht gaat maken (of de authenticator) en ik op heel veel (echt heel veel) portals moet kunnen inloggen heb ik nu de volgende strategie bedacht:

-1Password is mijn password manager (al tijden)
-Proton authenticator gebruik ik voor TOTP
-Ik heb een YubiKey 5C NFC aangeschaft en een Google Titan
-Op 1Password heb ik beide sleutels als 2e factor ingesteld
-Vanaf nu registreer ik nieuwe Passkeys in 1Password, dat beschouw ik als veilig omdat iemand fysiek toegang moet krijgen tot mijn sleutels om in te loggen op mijn 1Password account.

Daarnaast maak ik vanaf nu maandelijks een csv backup van de wachtwoorden die bij de accounts horen en die plaats ik op een externe schijf.

Op deze manier kan een kwaadwillende geen toegang krijgen tot mijn accounts en kan ik zelf wel altijd toegang krijgen ook als mijn apparatuur en 1Password faalt. Zie ik nu nog iets over het hoofd?

[Hippe Lip]

Diederik schreef op maandag 27 juli 2026 @ 15:58:
Omdat Microsoft passkeys verplicht gaat maken (of de authenticator) en ik op heel veel (echt heel veel) portals moet kunnen inloggen heb ik nu de volgende strategie bedacht:

-1Password is mijn password manager (al tijden)
-Proton authenticator gebruik ik voor TOTP
-Ik heb een YubiKey 5C NFC aangeschaft en een Google Titan
-Op 1Password heb ik beide sleutels als 2e factor ingesteld
-Vanaf nu registreer ik nieuwe Passkeys in 1Password, dat beschouw ik als veilig omdat iemand fysiek toegang moet krijgen tot mijn sleutels om in te loggen op mijn 1Password account.

Die sleutels heb ik al lang geleden over nagedacht. Die zijn inderdaad veilig, maar kunnen ook een point of failure (en risico) opleveren. als je ‘m kwijt bent (of hij doet het niet meer), dan is er geen alternatief.
Als een kwaadwillende de sleutel in handen krijgt (verloren of gestolen), dan ben je verloren en kun je er nix tegen doen?

Daarnaast maak ik vanaf nu maandelijks een csv backup van de wachtwoorden die bij de accounts horen en die plaats ik op een externe schijf.

Op deze manier kan een kwaadwillende geen toegang krijgen tot mijn accounts en kan ik zelf wel altijd toegang krijgen ook als mijn apparatuur en 1Password faalt. Zie ik nu nog iets over het hoofd?

Je hebt thuis met die csv-bakcup alles dus in leesbaar formaat opgeslagen? Zit daar dan je zwakste punt? Als die gestolen wordt, dan kan de dief overal bij?

En die backup heb je in enkelvoud? Dan hoop ik voor je dat die het doet als je ‘m nodig hebt.

Ik weet het, het zijn optelsommen van de what-if’s, maar ik probeer mee te denken op het vergaande en uitgebreide niveau dat je zelf aan de dag lijkt te leggen.

[qwasd]

Diederik schreef op maandag 27 juli 2026 @ 15:58:
Omdat Microsoft passkeys verplicht gaat maken (of de authenticator) en ik op heel veel (echt heel veel) portals moet kunnen inloggen heb ik nu de volgende strategie bedacht:

-1Password is mijn password manager (al tijden)
-Proton authenticator gebruik ik voor TOTP
-Ik heb een YubiKey 5C NFC aangeschaft en een Google Titan
-Op 1Password heb ik beide sleutels als 2e factor ingesteld
-Vanaf nu registreer ik nieuwe Passkeys in 1Password, dat beschouw ik als veilig omdat iemand fysiek toegang moet krijgen tot mijn sleutels om in te loggen op mijn 1Password account.

Daarnaast maak ik vanaf nu maandelijks een csv backup van de wachtwoorden die bij de accounts horen en die plaats ik op een externe schijf.

Op deze manier kan een kwaadwillende geen toegang krijgen tot mijn accounts en kan ik zelf wel altijd toegang krijgen ook als mijn apparatuur en 1Password faalt. Zie ik nu nog iets over het hoofd?

Ik gebruik zelf ook 1Password maar ik heb ook Vaultwarden in een docker container draaien waar ik om de zoveel tijd een nieuwe import in doe (via export / 1pux bestand uit 1Password). Vaultwarden hangt niet aan het internet maar sync ik na een nieuwe import eenmalig naar mijn telefoon vervolgens wordt dit gecached. Ik heb het één keer meegemaakt dat ik 1Password niet kon gebruiken en dit was een perfect alternatief.

TOTP codes sla ik op in Aegis.

Voor de rest heb ik mezelf nog niet echt verdiept in de passkeys binnen 1Password maar ik gebruik wel een Yubikey (+ extra Yubikey) voor 1Password. Ook op basis van FIDO2.

[ Voor 3% gewijzigd door qwasd op 27-07-2026 23:57 ]

[Diederik]

Hippe Lip schreef op maandag 27 juli 2026 @ 23:39:
[...]

Die sleutels heb ik al lang geleden over nagedacht. Die zijn inderdaad veilig, maar kunnen ook een point of failure (en risico) opleveren. als je ‘m kwijt bent (of hij doet het niet meer), dan is er geen alternatief.
Als een kwaadwillende de sleutel in handen krijgt (verloren of gestolen), dan ben je verloren en kun je er nix tegen doen?

De sleutels zijn in mijn voorbeeld alleen nodig om toegang te krijgen tot mijn 1Password account, dat account is actief op 3 apparaten (Laptop, Mobiel, Tablet).

Zodra een kwaadwillende een sleutel in handen krijgt, heeft hij ook nog mijn masterwachtwoord nodig om toegang te krijgen, en kan ik met de andere sleutel de verloren sleutel uitschakelen.

Als ik op alle drie de apparaten uitgelogd raak en de sleutels niet meer heb, dan heb ik de csv backup om alsnog toegang te krijgen tot de accounts.

[...]

Je hebt thuis met die csv-bakcup alles dus in leesbaar formaat opgeslagen? Zit daar dan je zwakste punt? Als die gestolen wordt, dan kan de dief overal bij?

En die backup heb je in enkelvoud? Dan hoop ik voor je dat die het doet als je ‘m nodig hebt.

Ik weet het, het zijn optelsommen van de what-if’s, maar ik probeer mee te denken op het vergaande en uitgebreide niveau dat je zelf aan de dag lijkt te leggen.

Daar zit inderdaad een zwak punt, maar het risico van een fysieke diefstal is veel kleiner dan een online diefstal.

Ik ga nog wel eens goed nadenken over beveiligen van de hardware sleutels en de CSV backup.

[Diederik]

qwasd schreef op maandag 27 juli 2026 @ 23:52:
[...]

Ik gebruik zelf ook 1Password maar ik heb ook Vaultwarden in een docker container draaien waar ik om de zoveel tijd een nieuwe import in doe (via export / 1pux bestand uit 1Password). Vaultwarden hangt niet aan het internet maar sync ik na een nieuwe import eenmalig naar mijn telefoon vervolgens wordt dit gecached. Ik heb het één keer meegemaakt dat ik 1Password niet kon gebruiken en dit was een perfect alternatief.

TOTP codes sla ik op in Aegis.

Voor de rest heb ik mezelf nog niet echt verdiept in de passkeys binnen 1Password maar ik gebruik wel een Yubikey (+ extra Yubikey) voor 1Password. Ook op basis van FIDO2.

Als ik een 1PUX wil maken dan staat er dat de wachtwoorden niet geëxporteerd worden. Verder een interessant idee om de kluis naar een offline password manager te sturen.

[qwasd]

Diederik schreef op dinsdag 28 juli 2026 @ 12:11:
[...]


[Afbeelding]

Als ik een 1PUX wil maken dan staat er dat de wachtwoorden niet geëxporteerd worden. Verder een interessant idee om de kluis naar een offline password manager te sturen.

Deze melding heb ik nog nooit gezien. Ik doe het altijd via de 1Password desktop client en alles wordt hier netjes meegenomen. Zelfs TOTP en custom velden geprobeerd.

[Diederik]

qwasd schreef op dinsdag 28 juli 2026 @ 17:48:
[...]

Deze melding heb ik nog nooit gezien. Ik doe het altijd via de 1Password desktop client en alles wordt hier netjes meegenomen. Zelfs TOTP en custom velden geprobeerd.

Welke versie gebruik jij? Ik gebruik: 1Password for Windows 8.12.28 (81228025)

[qwasd]

Diederik schreef op dinsdag 28 juli 2026 @ 18:10:
[...]


Welke versie gebruik jij? Ik gebruik: 1Password for Windows 8.12.28 (81228025)

Ik zie inderdaad die tekst ook staan. (ik heb dezelfde versie van 1Password)
Die tekst/melding is me echter nooit opgevallen en heel gek trouwens want ik exporteer het dus daadwerkelijk gewoon naar 1pux en kies in Vaultwarden voor 1pux formaat om te importeren en vervolgens staat alles erin (wachtwoorden, notities, custom velden, totp etc.)
EDIT: Misschien een bug in de vertaling? hier staat namelijk dat alles wordt meegenomen behalve passkeys. Zie dit artikel voor meer informatie.

Zojuist nog eens geprobeerd en nogmaals ik heb alles er gewoon in staan.
Ik zou zeggen test het zelf eens uit door een Vaultwarden of andere oplossing in de lucht te brengen.

[ Voor 15% gewijzigd door qwasd op 29-07-2026 05:20 ]

[Diederik]

@Hippe Lip en @qwasd bedankt voor het meedenken,

Mijn doel is om zeer goed beveiligd te zijn en de toegang tot mijn accounts niet (nooit) te verliezen, ik ga het als volgt oplossen:

Online:
- Passkeys naar 1Password
- 2e factor voor 1Password geregeld met 2 fysieke Fido2 keys
- TOTP codes naar Proton authenticator (wordt gesynced)

Offline:
Fysieke kluis met daarin:
- Backup codes voor mijn primaire accounts
- USB stick met 1Password backup (maandelijks updaten)
- 1 Fido2 key
Op externe locatie
- 2e Fido2 key + masterpassword van mijn 1Password kluis

Hiermee heb ik heel veel afgedekt:
- Brand
- Diefstal
- Geheugen verlies (als in iets vergeten)
- Hack's
- Verlies/uitval van apparatuur

Ik moet dan alleen nog zorgen dat pincodes en wachtwoorden voor mijn laptop, telefoon, tablet en fysieke kluis ingewikkeld genoeg zijn.

[Hippe Lip]

@Diederik Klinkt gedegen, volledig en goed afgewogen.

Maar wel erg complex en veel extra werk. ik ben benieuwd hoe lang je je maandelijkse (handmatige) update van je stick(s) vol gaat houden.

Ik vraag me af hoeveel mensen er zó uitgebreid mee bezig willen zijn. Ik heb in mijn PW-mngr (nu Nordpass) ook veel gegevens van anderen, maar houd het toch wat simpeler…

[Diederik]

@Hippe Lip Bedankt, dat maandelijks updaten ga ik zeker volhouden en ik hoop van harte dat mijn uitgebreide voorbereidingen voor niets zijn.

Het gebruik van Passkeys in 1Passwordt werkt overigens wel echt heel fijn.

[qwasd]

Diederik schreef op vrijdag 31 juli 2026 @ 13:07:
@Hippe Lip Bedankt, dat maandelijks updaten ga ik zeker volhouden en ik hoop van harte dat mijn uitgebreide voorbereidingen voor niets zijn.

Het gebruik van Passkeys in 1Passwordt werkt overigens wel echt heel fijn.

Daar moet ik me nog in verdiepen want het staat me bij dat je hier geen backup van kunt maken vanuit 1Password toch? Ook zoals eerder aangegeven in de screenshot zit dit ook niet in het .1pux bestand. Of is dit inmiddels wel mogelijk? Dan moet je al bijna per website 2 passkeys gaan instellen en via verschillende manieren. (Bijvoorbeeld 1Password + Yubikey). Met Yubikey zit je echter ook aan een max.

[jorikc]

qwasd schreef op woensdag 29 juli 2026 @ 05:06:
[...]

Ik zie inderdaad die tekst ook staan. (ik heb dezelfde versie van 1Password)
Die tekst/melding is me echter nooit opgevallen en heel gek trouwens want ik exporteer het dus daadwerkelijk gewoon naar 1pux en kies in Vaultwarden voor 1pux formaat om te importeren en vervolgens staat alles erin (wachtwoorden, notities, custom velden, totp etc.)
EDIT: Misschien een bug in de vertaling? hier staat namelijk dat alles wordt meegenomen behalve passkeys. Zie dit artikel voor meer informatie.

Zojuist nog eens geprobeerd en nogmaals ik heb alles er gewoon in staan.
Ik zou zeggen test het zelf eens uit door een Vaultwarden of andere oplossing in de lucht te brengen.

Ja ik heb ook even gekeken en lijkt een vertalingsbug te zijn, "passkeys" werd naar "wachtwoorden" vertaald

EN:
NL:

Ik heb dit net bij 1Password gemeld, ben benieuwd wanneer het opgelost kan zijn .

[ Voor 13% gewijzigd door jorikc op 31-07-2026 15:28 ]

[Diederik]

qwasd schreef op vrijdag 31 juli 2026 @ 14:29:
[...]

Daar moet ik me nog in verdiepen want het staat me bij dat je hier geen backup van kunt maken vanuit 1Password toch? Ook zoals eerder aangegeven in de screenshot zit dit ook niet in het .1pux bestand. Of is dit inmiddels wel mogelijk? Dan moet je al bijna per website 2 passkeys gaan instellen en via verschillende manieren. (Bijvoorbeeld 1Password + Yubikey). Met Yubikey zit je echter ook aan een max.

Klopt, je kan geen backup maken, maar voor het zeer uitzonderlijke geval dat de dienst van 1Password onaangekondigd stopt, heb ik altijd nog wachtwoorden en herstelcodes (op papier). De Passkey uit 1Pasword is niet mijn enige manier om in te loggen, maar wel de voorkeursmethode.