[Password Managers] Discussie- en reviewtopic

[kevchenko]

Hippe Lip schreef op woensdag 27 mei 2026 @ 22:41:
[...]

Als de boel niet beveiligd is met een master password, hoe dan wel, @kevchenko?

Het zal toch hoop ik niet zo zijn dat iedereen die jouw telefoon te pakken heeft overal bij kan? Want dan is de beveiliging van die passwordmanager niet sterker dan de beveiliging van je telefoon?
Dan is:

1. óf de beveiliging van de PW-mngr heel beroerd (de beveiliging van de meeste telefoons is maar vrij beperkt vergeleken met een goed master password),
2. óf de beveiliging van je telefoon is heel zwaar, wat je niet leuk gaat vinden elke keer als je je telefoon moet ontgrendelen.

Je installeert de Heylogin app, die dient als authenticatie. Daarnaast kan je gebruik maken van een browser plug-in.
Wanneer ik wil inloggen op een website krijg ik volgend scherm.

Bij het selecteren van je account, krijg je een melding op je smartphone. Daar dien je deze aanmelding te verifiëren. In geval van MFA, krijg je ook nog via je authenticator app een melding.
Volgens je settings kan je bepalen hoe lang je sessie geldt, zodat je niet telkens moet bevestigen bij een volgende login. Per browser kan je ook meteen je sessie verbreken.

Telefoon niet bij de hand? Dan kan je ook gewoon het kader wegklikken en je credentials manueel ingeven.

Wat je hierboven aanhaalt, geldt ook voor de native password managers van iOS en Android. Dus daar zie ik niet echt een probleem.
Zopas heb ik hun Security architecture whitepaper gedownload. 57 Pagina's, dus het zal wel even duren vooraleer ik deze heb doorgrond.

[kevchenko]

Om het even in hun woorden te zeggen:

We completely remove the need for a Master Password. Instead, we generate a cryptographic seed directly in the security chips of the respective user devices to derive the specific keys for end-to-end encryption. In contrast to a Master Password, a seed is 256 bit secure, completely random and contains no human patterns.

heylogin supports security chips from different users devices. Typically, it uses the security chips built into smartphones on iOS and Android. This also allows the usage of smartwatchesto unlock heylogin if they are properly connected over Bluetooth with the phone. In this case heylogin still uses the security chip inside the smartphone. As an alternative, FIDO2 security keys can be used, which are connected over USB or NFC. With these devices, the security chip inside these security keys can be used as an alternative to the user’s phone or even as a standalone device without a phone. Security chips in PCs and Macs offer another way to unlock heylogin, via the Windows Hello and Touch ID APIs.

heylogin’s browser extension automates the login experience by detecting login forms, e.g. username and password fields, and then showing an overlay on top. This hides the inconveniences of the login process and instead shows a 1-click button labeled with the user’s website account.

The heylogin overlay works with all websites and even two-step logins, where username and password are on two different sites are also supported as well as automated entry of TOTP codes. The algorithm has been fine tuned over several years and is continuously updated.

The resulting experience feels like a Single-Sign On (SSO) but is technically a Password Manager.

1. In milliseconds, the overlay algorithm detects the login form on the website.

2. The browser extension renders the overlay precisely on top of the login form.

3. After clicking the button labeled with the user’s website account, a notification is shown on the smartphone.

4. After unlocking the security chip locally with Face Unlock, Fingerprint or PIN, the browser extension is unlocked and can now access private data, such as username and passwords, inside the vault. Username and password is automatically filled in behind the overlay to automate the website login process.

For multi-factor authentication / security, three factors are typically discussed: knowledge (”something only the user knows”, such as PIN, password, master password), possession (“something only the user has”, such as security chips, certificates files) and biometric factors (“something the user is”, such as fingerprint, face unlock).
As explained before, legacy Password Managers use the Master Password as a 1st factor (knowledge factor) and optionally implement 2nd factors, such as TOTP codes (knowledge factor) or security keys (possession factor). These 2nd factors, are only authentication mechanisms for an additional protection when accessing the cloud infrastructure, but not part of the vault encryption process. In case of an infrastructure breach, this means that they effectively only have 1-factor security with a master password. In contrast, heylogin has real 2-factor security as part of the vault encryption process. heylogin’s 1st factor is always a security chips, built inside the user’s smartphone, FIDO2 security key or TPM (possesion factor). heylogin’s 2nd factor is the factor used to unlock the security chips. In case of smartphones, this is typically fingerprint (biometric factor), face unlock (biometric factor) or PIN (knowledge factor). The 2nd factor always works on the login device itself locally and no biometric or PIN data is transmitted to our servers. While Master Passwords and PINs are both knowledge factors, there is a crucial difference how they work. As shown before, in a offline brute-force attack, Master Passwords can be guessed with unlimited attempts, since these attacks are only slowed down by the key derivation method. In contrast, PIN attempts are strictly limited by the security chip hardware. An attacker must therefore not only physically steal the smartphone (1st factor), but also unlock the security chip with a 2nd factor. It is important to remember that the use of the security chip ensures that our cryptographic seed can never be accessed by bypassing the phone’s authentication mechanisms, e.g., by prying out the storage and reading it through an external reader.

[Hippe Lip]

kevchenko schreef op donderdag 28 mei 2026 @ 07:55:
Je installeert de Heylogin app, die dient als authenticatie. Daarnaast kan je gebruik maken van een browser plug-in.

Je telefoon is dus je sleutel. En wat als die in de plomp verdwijnt of opeens <ploef> zegt? Dan kun je nergens meer bij?

Kun je ook een backup maken?

Telefoon niet bij de hand? Dan kan je ook gewoon het kader wegklikken en je credentials manueel ingeven.

Maar waar is dan je lijst met bewaarde credentials van die PW-manager? Daar kun je alleen maar bij vanaf je telefoon?

Wat je hierboven aanhaalt, geldt ook voor de native password managers van iOS en Android. Dus daar zie ik niet echt een probleem.

Daar zie ik zoals gezegd nou juist wel het probleem. Dat is ook waarom ik geen gebruik maak van de native PW-manager van (in mijn geval) iOS. Hoe is een gemiddelde iPhone beveiligd? Met je unlock-code (PIN-code) kun je erin en kun je overal bij. Dat vind ik maar een matige bescherming.

Dan is er nog het verschil dat ik met de PW-mngrs waarmee ik tot nu toe werkte zowel de telefoon als de iPad als sleutel kan gebruiken. Maar daarvoor is dan wel steeds het lange master password nodig.

[kevchenko]

Hippe Lip schreef op donderdag 28 mei 2026 @ 14:06:
[...]

Je telefoon is dus je sleutel. En wat als die in de plomp verdwijnt of opeens <ploef> zegt? Dan kun je nergens meer bij?

Kun je ook een backup maken?

Je kan een 2e toestel koppelen (iPhone, iPad, Yubikey,... ), of in geval van <ploef> kan je een nieuw toestel configureren mits je de recovery code hebt. Daar sta je als gebruiker zelf voor in.
Als je geen 2e toestel koppelt, kan je inderdaad niet aan je data. Tenminste tot je een nieuw device hebt.
Als admin kan je de gebruikers resetten.
Backup van data is mogelijk naar .csv.

Maar waar is dan je lijst met bewaarde credentials van die PW-manager? Daar kun je alleen maar bij vanaf je telefoon?

Via heylogin.app log je in op het beheerportaal. Daar kan je alles uitgebreid beheren. De smartphone app dient enkel voor authenticatie en het beheer van je wachtwoorden.

Daar zie ik zoals gezegd nou juist wel het probleem. Dat is ook waarom ik geen gebruik maak van de native PW-manager van (in mijn geval) iOS. Hoe is een gemiddelde iPhone beveiligd? Met je unlock-code (PIN-code) kun je erin en kun je overal bij. Dat vind ik maar een matige bescherming.

Dan is er nog het verschil dat ik met de PW-mngrs waarmee ik tot nu toe werkte zowel de telefoon als de iPad als sleutel kan gebruiken. Maar daarvoor is dan wel steeds het lange master password nodig.

De beveiliging van je toestel is ergens ook je eigen verantwoordelijkheid. In het gezin kijk ik daar op toe. Een bedrijf is natuurlijk iets anders.

In hun whitepaper geven ze ook antwoord op elke stap van hun beveiliging. "Alle" mogelijke risico's (voor zover je van alle kunt spreken) worden daar besproken.
Je kan die trouwens op hun site terugvinden.

[groggy]

kevchenko schreef op donderdag 28 mei 2026 @ 18:14:
[...]

Je kan een 2e toestel koppelen (iPhone, iPad, Yubikey,... ), of in geval van <ploef> kan je een nieuw toestel configureren mits je de recovery code hebt. Daar sta je als gebruiker zelf voor in.
Als je geen 2e toestel koppelt, kan je inderdaad niet aan je data. Tenminste tot je een nieuw device hebt.
Als admin kan je de gebruikers resetten.
Backup van data is mogelijk naar .csv.


[...]

Via heylogin.app log je in op het beheerportaal. Daar kan je alles uitgebreid beheren. De smartphone app dient enkel voor authenticatie en het beheer van je wachtwoorden.


[...]

De beveiliging van je toestel is ergens ook je eigen verantwoordelijkheid. In het gezin kijk ik daar op toe. Een bedrijf is natuurlijk iets anders.

In hun whitepaper geven ze ook antwoord op elke stap van hun beveiliging. "Alle" mogelijke risico's (voor zover je van alle kunt spreken) worden daar besproken.
Je kan die trouwens op hun site terugvinden.

Wie probeer je te overtuigen, ben je toevallig betrokken bij deze password manager?

[kevchenko]

groggy schreef op donderdag 28 mei 2026 @ 20:25:
[...]

Wie probeer je te overtuigen, ben je toevallig betrokken bij deze password manager?

Totaal niet. Ik had gehoopt dat iemand (met meer kennis van security dan mij) deze PM al eens bekeken had. Bij de firma waar ik werk zijn de gebruikers nogal moeilijk warm te maken voor een PM.
Gezien we toch met gevoelige data werken, zijn we nogal wantrouwig tegenover cloudoplossingen voor PM's. Deze kan misschien wel iets te bieden hebben op dat vlak, net omdat hij anders lijkt te werken.

[Hippe Lip]

kevchenko schreef op donderdag 28 mei 2026 @ 20:43:
[...]

Totaal niet. Ik had gehoopt dat iemand (met meer kennis van security dan mij) deze PM al eens bekeken had. Bij de firma waar ik werk zijn de gebruikers nogal moeilijk warm te maken voor een PM.

Het lijkt er niet op dat je heel erg kritisch bent, dus ik kan me wel voorstellen dat je collega’s er niet aan willen. Ik ben nogal kritisch omdat je hiermee een van je gevoeligste dingen aan het bewaren bent.

Gezien we toch met gevoelige data werken, zijn we nogal wantrouwig tegenover cloudoplossingen voor PM's. Deze kan misschien wel iets te bieden hebben op dat vlak, net omdat hij anders lijkt te werken.

Je lijkt hier te zeggen dat heylogin niet in de cloud werkt, maar je zegt zelf

Via heylogin.app log je in op het beheerportaal. Daar kan je alles uitgebreid beheren. De smartphone app dient enkel voor authenticatie en het beheer van je wachtwoorden.

Dat betekent toch dat je data niet op je telefoon staat maar bij heylogin. Dat is toch in de cloud?

Nee, ik ben nog bepaald niet overtuigd. Hooguit overtuigd van het feit dat dit zaakje allerminst me allerminst veilig lijkt.

[kevchenko]

Hippe Lip schreef op donderdag 28 mei 2026 @ 23:30:
[...]


Het lijkt er niet op dat je heel erg kritisch bent, dus ik kan me wel voorstellen dat je collega’s er niet aan willen. Ik ben nogal kritisch omdat je hiermee een van je gevoeligste dingen aan het bewaren bent.

[Ik ben net wel heel kritisch. Ik probeer de werking tot op een bepaalde hoogte te doorgronden.
Een kritische noot is bijvoorbeeld wanneer je iPhone defect is en je hebt geen 2e device, dan kan je wel een nieuw toestel activeren met je back-up codes. Maar wat als je iCloud credentials net in die PM zitten? Een 2e device lijkt dus echt wel noodzakelijk, wat dan weer een extra kost is.

Een tweede punt: Mijn vrouw weet de PIN van mijn telefoon. Dit wil zeggen dat zij ook aan mijn professionele paswoorden kan.

Je lijkt hier te zeggen dat heylogin niet in de cloud werkt, maar je zegt zelf

[...]

Dat betekent toch dat je data niet op je telefoon staat maar bij heylogin. Dat is toch in de cloud?

Nee, ik ben nog bepaald niet overtuigd. Hooguit overtuigd van het feit dat dit zaakje allerminst me allerminst veilig lijkt.

Dan moet dit niet duidelijk zijn uitgelegd door mij. Het is niet dat de gebruikers dit niet willen gebruiken omwille dat het cloudbased is, maar eerder uit beperkte IT vaardigheden. Vandaar ook deels mijn interesse in dit product.

Waar staat de data?

• In de cloud:
  • Logingegevens worden opgeslagen op servers in Duitsland
  • De data in de cloud is end-to-end encrypted. Heylogin zelf kan de inhoud niet zien of ontsleutelen
• Op je smartphone / device:
  • De sleutels om die data te ontgrendelen zitten op jouw toestel
  • Je toestel kan dus lokaal logingegevens gebruiken en synchroniseren met de server.

[Hippe Lip]

kevchenko schreef op vrijdag 29 mei 2026 @ 10:27:
[Ik ben net wel heel kritisch.

Ik probeer de werking tot op een bepaalde hoogte te doorgronden.

Niet ver genoeg, lijkt het.

Een tweede punt: Mijn vrouw weet de PIN van mijn telefoon. Dit wil zeggen dat zij ook aan mijn professionele paswoorden kan.

Precies DAAR geef je zelf dus aan hoe zwak dit is: de beveiliging gaat niet verder dan die ene PIN van een paar cijfers.
Dat is een zéér zwakke beveiliging. Ik adviseer je om hiermee geen kritische dingen op te slaan!

[Hippe Lip]

Een beetje behoorlijk wachtwoord, zeker wat je nodig hebt voor een PW-mngr, is meer dat 16 karakters (zeker niet alleen cijfers!) lang!
Ik houd ruim meer dan 20 aan.

[Phoolie]

Hippe Lip schreef op vrijdag 29 mei 2026 @ 10:49:
[...]

Precies DAAR geef je zelf dus aan hoe zwak dit is: de beveiliging gaat niet verder dan die ene PIN van een paar cijfers.
Dat is een zéér zwakke beveiliging. Ik adviseer je om hiermee geen kritische dingen op te slaan!

Beveiliging is toch altijd zo zwak als de zwakste schakel? Die telefoon is het probleem niet, de kozen code van een paar cijfers is het probleem.

[FRANQ]

kevchenko schreef op vrijdag 29 mei 2026 @ 10:27:
[...]


[Ik ben net wel heel kritisch. Ik probeer de werking tot op een bepaalde hoogte te doorgronden.
Een kritische noot is bijvoorbeeld wanneer je iPhone defect is en je hebt geen 2e device, dan kan je wel een nieuw toestel activeren met je back-up codes. Maar wat als je iCloud credentials net in die PM zitten? Een 2e device lijkt dus echt wel noodzakelijk, wat dan weer een extra kost is.

Een tweede punt: Mijn vrouw weet de PIN van mijn telefoon. Dit wil zeggen dat zij ook aan mijn professionele paswoorden kan.


[...]


[...]

Dan moet dit niet duidelijk zijn uitgelegd door mij. Het is niet dat de gebruikers dit niet willen gebruiken omwille dat het cloudbased is, maar eerder uit beperkte IT vaardigheden. Vandaar ook deels mijn interesse in dit product.

Waar staat de data?

• In de cloud:
  • Logingegevens worden opgeslagen op servers in Duitsland
  • De data in de cloud is end-to-end encrypted. Heylogin zelf kan de inhoud niet zien of ontsleutelen
• Op je smartphone / device:
  • De sleutels om die data te ontgrendelen zitten op jouw toestel
  • Je toestel kan dus lokaal logingegevens gebruiken en synchroniseren met de server.

Zelf heb ik bitwarden, en mijn vrouw kan ook in mijn telefoon.
Maar het wachtwoord van bitwarden is dermate ingewikkeld dat ze daar nooit achter komt.
Zelfs niet met een geheugensteuntje.

En zelf weet ik mijn eerste auto met kenteken en een paar speciale karakters er tussendoor prima uit mijn hoofd.

[groggy]

FRANQ schreef op dinsdag 2 juni 2026 @ 11:39:
[...]

Zelf heb ik bitwarden, en mijn vrouw kan ook in mijn telefoon.
Maar het wachtwoord van bitwarden is dermate ingewikkeld dat ze daar nooit achter komt.
Zelfs niet met een geheugensteuntje.

En zelf weet ik mijn eerste auto met kenteken en een paar speciale karakters er tussendoor prima uit mijn hoofd.

Er komt een moment waarop je jouw bot het nét iets te makkelijk hebt gemaakt met deze ene zin om je wachtwoord te kraken...

[FRANQ]

groggy schreef op dinsdag 2 juni 2026 @ 15:33:
[...]

Er komt een moment waarop je jouw bot het nét iets te makkelijk hebt gemaakt met deze ene zin om je wachtwoord te kraken...

Het is een voorbeeld
Maar dan nog zou ik het erg knap vinden, aangezien daar volgens mij niets over bekend is op internet.

[Hippe Lip]

Phoolie schreef op dinsdag 2 juni 2026 @ 11:11:
[...]

Beveiliging is toch altijd zo zwak als de zwakste schakel? Die telefoon is het probleem niet, de kozen code van een paar cijfers is het probleem.

Is dat niet precies wat ik zeg?

[Phoolie]

Hippe Lip schreef op dinsdag 2 juni 2026 @ 21:34:
[...]

Is dat niet precies wat ik zeg?

Als dat is wat je probeerde te zeggen, zou ik voortaan andere woorden kiezen. Het komt nu over of je de besproken oplossing afschiet omdat een telefoon alleen maar een pincode aan zou kunnen. Je geeft namelijk aan weg te blijven van die optie met die telefoon omdat er een makkelijke pincode op zit. Je kan natuurlijk prima die optie wel gebruiken en een moeilijke toegangscode voor je telefoon kiezen

[ Voor 23% gewijzigd door Phoolie op 03-06-2026 08:35 ]

[swhnld]

FRANQ schreef op dinsdag 2 juni 2026 @ 15:39:
[...]
Maar dan nog zou ik het erg knap vinden, aangezien daar volgens mij niets over bekend is op internet.

Dan hoop je dat er nooit een hack geweest is van de overheids database waar die informatie in staat.

Ook ga je er dan van uit dat niemand ooit een foto plaatst of geplaatst heeft op sociale media van jou met je eerste auto en het kenteken leesbaar.

En8gste voordeel voor je is , hoop je dan maar, dat je een 13 in een dozijn, gemiddelde burger, bent. Er is niets te halen, je bent niet beroemd, etc. Dan gaat men niet gauw energie erin steken om het uit te zoeken wie Franq is.

[kevchenko]

De argumentatie is dat bij een breach bij legacy password managers, men in principe ongelimiteerd offline brute-force kan toepassen op de vault. Uiteraard zal de complexiteit van je wachtwoord daar een rol in spelen.
Volgens Heylogin is dat bij hen niet mogelijk.

Wat betreft de pincode op je iPhone, geven ze het argument dat brute-force vertraagd wordt.
Brute-force protection on iPhone and iPad.

On Apple devices, the Secure Enclave is responsible for handling user authentication via PIN.
The Secure Enclave also implements escalating timeouts on authentication failure to discourage
brute-force attacks6. Furthermore, Apple allows users to configure an automatic device
wipe that will delete all data on the device after 10 incorrect attempts.
Incorrect attempts 1 to 3 4 5 6 7 8 9
Delay in minutes until next try - 1 5 15 60 180 480
Incorrect attempts 10 Action Device is disabled or wiped, depending on configuration

Dat sluit natuurlijk niet uit dat iemand je PIN heeft zien intikken om een of andere reden.
Je PIN wijzigen in een alfanumerieke code is dan de oplossing. Maar of het handig is als je Face ID het even laat afweten. Hoewel alles beter is dan een 6 digit code, dus misschien hoeven 16 karakters dan weer niet, in combinatie met die brute-force protection.

[Phoolie]

kevchenko schreef op woensdag 3 juni 2026 @ 13:16:
[...]

Dat sluit natuurlijk niet uit dat iemand je PIN heeft zien intikken om een of andere reden.
[...]

Of ze zien je vingerafdrukken zitten, wat de pincode "raden" maken ook wat makkelijker maakt

[Hippe Lip]

Iemand hier die Dashlane gebruikt?

Zie artikel Wachtwoordkluizen Dashlane-klanten gestolen bij bruteforce-aanval

[Hippe Lip]

Phoolie schreef op woensdag 3 juni 2026 @ 08:34:
Als dat is wat je probeerde te zeggen, zou ik voortaan andere woorden kiezen. Het komt nu over of je de besproken oplossing afschiet omdat een telefoon alleen maar een pincode aan zou kunnen. Je geeft namelijk aan weg te blijven van die optie met die telefoon omdat er een makkelijke pincode op zit. Je kan natuurlijk prima die optie wel gebruiken en een moeilijke toegangscode voor je telefoon kiezen

Nou @Phoolie, dat is juist een van de eerste dingen die ik erover zei, dacht ik.
En dat is het lastige als een discussie over meerdere posts is uitgespreid, want niet iedereen leest (of onthoud) dan de hele story (geen verwijt).

Hippe Lip schreef op woensdag 27 mei 2026 @ 22:41:
[...]
Dan is:

1. óf de beveiliging van de PW-mngr heel beroerd (de beveiliging van de meeste telefoons is maar vrij beperkt vergeleken met een goed master password),
2. óf de beveiliging van je telefoon is heel zwaar, wat je niet leuk gaat vinden elke keer als je je telefoon moet ontgrendelen.

[Phoolie]

Hippe Lip schreef op woensdag 3 juni 2026 @ 17:09:
[...]

Nou @Phoolie, dat is juist een van de eerste dingen die ik erover zei, dacht ik.
En dat is het lastige als een discussie over meerdere posts is uitgespreid, want niet iedereen leest (of onthoud) dan de hele story (geen verwijt).


[...]

In dat geval heb je volkomen gelijk, ik had dat eerste bericht gemist. Discussie om niets dus, eigenlijk zijn we het prima met elkaar eens

[Diederik]

Omdat Microsoft passkeys verplicht gaat maken (of de authenticator) en ik op heel veel (echt heel veel) portals moet kunnen inloggen heb ik nu de volgende strategie bedacht:

-1Password is mijn password manager (al tijden)
-Proton authenticator gebruik ik voor TOTP
-Ik heb een YubiKey 5C NFC aangeschaft en een Google Titan
-Op 1Password heb ik beide sleutels als 2e factor ingesteld
-Vanaf nu registreer ik nieuwe Passkeys in 1Password, dat beschouw ik als veilig omdat iemand fysiek toegang moet krijgen tot mijn sleutels om in te loggen op mijn 1Password account.

Daarnaast maak ik vanaf nu maandelijks een csv backup van de wachtwoorden die bij de accounts horen en die plaats ik op een externe schijf.

Op deze manier kan een kwaadwillende geen toegang krijgen tot mijn accounts en kan ik zelf wel altijd toegang krijgen ook als mijn apparatuur en 1Password faalt. Zie ik nu nog iets over het hoofd?

[Hippe Lip]

Diederik schreef op maandag 27 juli 2026 @ 15:58:
Omdat Microsoft passkeys verplicht gaat maken (of de authenticator) en ik op heel veel (echt heel veel) portals moet kunnen inloggen heb ik nu de volgende strategie bedacht:

-1Password is mijn password manager (al tijden)
-Proton authenticator gebruik ik voor TOTP
-Ik heb een YubiKey 5C NFC aangeschaft en een Google Titan
-Op 1Password heb ik beide sleutels als 2e factor ingesteld
-Vanaf nu registreer ik nieuwe Passkeys in 1Password, dat beschouw ik als veilig omdat iemand fysiek toegang moet krijgen tot mijn sleutels om in te loggen op mijn 1Password account.

Die sleutels heb ik al lang geleden over nagedacht. Die zijn inderdaad veilig, maar kunnen ook een point of failure (en risico) opleveren. als je ‘m kwijt bent (of hij doet het niet meer), dan is er geen alternatief.
Als een kwaadwillende de sleutel in handen krijgt (verloren of gestolen), dan ben je verloren en kun je er nix tegen doen?

Daarnaast maak ik vanaf nu maandelijks een csv backup van de wachtwoorden die bij de accounts horen en die plaats ik op een externe schijf.

Op deze manier kan een kwaadwillende geen toegang krijgen tot mijn accounts en kan ik zelf wel altijd toegang krijgen ook als mijn apparatuur en 1Password faalt. Zie ik nu nog iets over het hoofd?

Je hebt thuis met die csv-bakcup alles dus in leesbaar formaat opgeslagen? Zit daar dan je zwakste punt? Als die gestolen wordt, dan kan de dief overal bij?

En die backup heb je in enkelvoud? Dan hoop ik voor je dat die het doet als je ‘m nodig hebt.

Ik weet het, het zijn optelsommen van de what-if’s, maar ik probeer mee te denken op het vergaande en uitgebreide niveau dat je zelf aan de dag lijkt te leggen.

[qwasd]

Diederik schreef op maandag 27 juli 2026 @ 15:58:
Omdat Microsoft passkeys verplicht gaat maken (of de authenticator) en ik op heel veel (echt heel veel) portals moet kunnen inloggen heb ik nu de volgende strategie bedacht:

-1Password is mijn password manager (al tijden)
-Proton authenticator gebruik ik voor TOTP
-Ik heb een YubiKey 5C NFC aangeschaft en een Google Titan
-Op 1Password heb ik beide sleutels als 2e factor ingesteld
-Vanaf nu registreer ik nieuwe Passkeys in 1Password, dat beschouw ik als veilig omdat iemand fysiek toegang moet krijgen tot mijn sleutels om in te loggen op mijn 1Password account.

Daarnaast maak ik vanaf nu maandelijks een csv backup van de wachtwoorden die bij de accounts horen en die plaats ik op een externe schijf.

Op deze manier kan een kwaadwillende geen toegang krijgen tot mijn accounts en kan ik zelf wel altijd toegang krijgen ook als mijn apparatuur en 1Password faalt. Zie ik nu nog iets over het hoofd?

Ik gebruik zelf ook 1Password maar ik heb ook Vaultwarden in een docker container draaien waar ik om de zoveel tijd een nieuwe import in doe (via export / 1pux bestand uit 1Password). Vaultwarden hangt niet aan het internet maar sync ik na een nieuwe import eenmalig naar mijn telefoon vervolgens wordt dit gecached. Ik heb het één keer meegemaakt dat ik 1Password niet kon gebruiken en dit was een perfect alternatief.

TOTP codes sla ik op in Aegis.

Voor de rest heb ik mezelf nog niet echt verdiept in de passkeys binnen 1Password maar ik gebruik wel een Yubikey (+ extra Yubikey) voor 1Password. Ook op basis van FIDO2.

[ Voor 3% gewijzigd door qwasd op 27-07-2026 23:57 ]

[Diederik]

Hippe Lip schreef op maandag 27 juli 2026 @ 23:39:
[...]

Die sleutels heb ik al lang geleden over nagedacht. Die zijn inderdaad veilig, maar kunnen ook een point of failure (en risico) opleveren. als je ‘m kwijt bent (of hij doet het niet meer), dan is er geen alternatief.
Als een kwaadwillende de sleutel in handen krijgt (verloren of gestolen), dan ben je verloren en kun je er nix tegen doen?

De sleutels zijn in mijn voorbeeld alleen nodig om toegang te krijgen tot mijn 1Password account, dat account is actief op 3 apparaten (Laptop, Mobiel, Tablet).

Zodra een kwaadwillende een sleutel in handen krijgt, heeft hij ook nog mijn masterwachtwoord nodig om toegang te krijgen, en kan ik met de andere sleutel de verloren sleutel uitschakelen.

Als ik op alle drie de apparaten uitgelogd raak en de sleutels niet meer heb, dan heb ik de csv backup om alsnog toegang te krijgen tot de accounts.

[...]

Je hebt thuis met die csv-bakcup alles dus in leesbaar formaat opgeslagen? Zit daar dan je zwakste punt? Als die gestolen wordt, dan kan de dief overal bij?

En die backup heb je in enkelvoud? Dan hoop ik voor je dat die het doet als je ‘m nodig hebt.

Ik weet het, het zijn optelsommen van de what-if’s, maar ik probeer mee te denken op het vergaande en uitgebreide niveau dat je zelf aan de dag lijkt te leggen.

Daar zit inderdaad een zwak punt, maar het risico van een fysieke diefstal is veel kleiner dan een online diefstal.

Ik ga nog wel eens goed nadenken over beveiligen van de hardware sleutels en de CSV backup.

[Diederik]

qwasd schreef op maandag 27 juli 2026 @ 23:52:
[...]

Ik gebruik zelf ook 1Password maar ik heb ook Vaultwarden in een docker container draaien waar ik om de zoveel tijd een nieuwe import in doe (via export / 1pux bestand uit 1Password). Vaultwarden hangt niet aan het internet maar sync ik na een nieuwe import eenmalig naar mijn telefoon vervolgens wordt dit gecached. Ik heb het één keer meegemaakt dat ik 1Password niet kon gebruiken en dit was een perfect alternatief.

TOTP codes sla ik op in Aegis.

Voor de rest heb ik mezelf nog niet echt verdiept in de passkeys binnen 1Password maar ik gebruik wel een Yubikey (+ extra Yubikey) voor 1Password. Ook op basis van FIDO2.

Als ik een 1PUX wil maken dan staat er dat de wachtwoorden niet geëxporteerd worden. Verder een interessant idee om de kluis naar een offline password manager te sturen.

[qwasd]

Diederik schreef op dinsdag 28 juli 2026 @ 12:11:
[...]


[Afbeelding]

Als ik een 1PUX wil maken dan staat er dat de wachtwoorden niet geëxporteerd worden. Verder een interessant idee om de kluis naar een offline password manager te sturen.

Deze melding heb ik nog nooit gezien. Ik doe het altijd via de 1Password desktop client en alles wordt hier netjes meegenomen. Zelfs TOTP en custom velden geprobeerd.

[Diederik]

qwasd schreef op dinsdag 28 juli 2026 @ 17:48:
[...]

Deze melding heb ik nog nooit gezien. Ik doe het altijd via de 1Password desktop client en alles wordt hier netjes meegenomen. Zelfs TOTP en custom velden geprobeerd.

Welke versie gebruik jij? Ik gebruik: 1Password for Windows 8.12.28 (81228025)

[qwasd]

Diederik schreef op dinsdag 28 juli 2026 @ 18:10:
[...]


Welke versie gebruik jij? Ik gebruik: 1Password for Windows 8.12.28 (81228025)

Ik zie inderdaad die tekst ook staan. (ik heb dezelfde versie van 1Password)
Die tekst/melding is me echter nooit opgevallen en heel gek trouwens want ik exporteer het dus daadwerkelijk gewoon naar 1pux en kies in Vaultwarden voor 1pux formaat om te importeren en vervolgens staat alles erin (wachtwoorden, notities, custom velden, totp etc.)
EDIT: Misschien een bug in de vertaling? hier staat namelijk dat alles wordt meegenomen behalve passkeys. Zie dit artikel voor meer informatie.

Zojuist nog eens geprobeerd en nogmaals ik heb alles er gewoon in staan.
Ik zou zeggen test het zelf eens uit door een Vaultwarden of andere oplossing in de lucht te brengen.

[ Voor 15% gewijzigd door qwasd op 29-07-2026 05:20 ]

[Diederik]

@Hippe Lip en @qwasd bedankt voor het meedenken,

Mijn doel is om zeer goed beveiligd te zijn en de toegang tot mijn accounts niet (nooit) te verliezen, ik ga het als volgt oplossen:

Online:
- Passkeys naar 1Password
- 2e factor voor 1Password geregeld met 2 fysieke Fido2 keys
- TOTP codes naar Proton authenticator (wordt gesynced)

Offline:
Fysieke kluis met daarin:
- Backup codes voor mijn primaire accounts
- USB stick met 1Password backup (maandelijks updaten)
- 1 Fido2 key
Op externe locatie
- 2e Fido2 key + masterpassword van mijn 1Password kluis

Hiermee heb ik heel veel afgedekt:
- Brand
- Diefstal
- Geheugen verlies (als in iets vergeten)
- Hack's
- Verlies/uitval van apparatuur

Ik moet dan alleen nog zorgen dat pincodes en wachtwoorden voor mijn laptop, telefoon, tablet en fysieke kluis ingewikkeld genoeg zijn.

[Hippe Lip]

@Diederik Klinkt gedegen, volledig en goed afgewogen.

Maar wel erg complex en veel extra werk. ik ben benieuwd hoe lang je je maandelijkse (handmatige) update van je stick(s) vol gaat houden.

Ik vraag me af hoeveel mensen er zó uitgebreid mee bezig willen zijn. Ik heb in mijn PW-mngr (nu Nordpass) ook veel gegevens van anderen, maar houd het toch wat simpeler…

[Diederik]

@Hippe Lip Bedankt, dat maandelijks updaten ga ik zeker volhouden en ik hoop van harte dat mijn uitgebreide voorbereidingen voor niets zijn.

Het gebruik van Passkeys in 1Passwordt werkt overigens wel echt heel fijn.

[qwasd]

Diederik schreef op vrijdag 31 juli 2026 @ 13:07:
@Hippe Lip Bedankt, dat maandelijks updaten ga ik zeker volhouden en ik hoop van harte dat mijn uitgebreide voorbereidingen voor niets zijn.

Het gebruik van Passkeys in 1Passwordt werkt overigens wel echt heel fijn.

Daar moet ik me nog in verdiepen want het staat me bij dat je hier geen backup van kunt maken vanuit 1Password toch? Ook zoals eerder aangegeven in de screenshot zit dit ook niet in het .1pux bestand. Of is dit inmiddels wel mogelijk? Dan moet je al bijna per website 2 passkeys gaan instellen en via verschillende manieren. (Bijvoorbeeld 1Password + Yubikey). Met Yubikey zit je echter ook aan een max.

[jorikc]

qwasd schreef op woensdag 29 juli 2026 @ 05:06:
[...]

Ik zie inderdaad die tekst ook staan. (ik heb dezelfde versie van 1Password)
Die tekst/melding is me echter nooit opgevallen en heel gek trouwens want ik exporteer het dus daadwerkelijk gewoon naar 1pux en kies in Vaultwarden voor 1pux formaat om te importeren en vervolgens staat alles erin (wachtwoorden, notities, custom velden, totp etc.)
EDIT: Misschien een bug in de vertaling? hier staat namelijk dat alles wordt meegenomen behalve passkeys. Zie dit artikel voor meer informatie.

Zojuist nog eens geprobeerd en nogmaals ik heb alles er gewoon in staan.
Ik zou zeggen test het zelf eens uit door een Vaultwarden of andere oplossing in de lucht te brengen.

Ja ik heb ook even gekeken en lijkt een vertalingsbug te zijn, "passkeys" werd naar "wachtwoorden" vertaald

EN:
NL:

Ik heb dit net bij 1Password gemeld, ben benieuwd wanneer het opgelost kan zijn .

[ Voor 13% gewijzigd door jorikc op 31-07-2026 15:28 ]

[Diederik]

qwasd schreef op vrijdag 31 juli 2026 @ 14:29:
[...]

Daar moet ik me nog in verdiepen want het staat me bij dat je hier geen backup van kunt maken vanuit 1Password toch? Ook zoals eerder aangegeven in de screenshot zit dit ook niet in het .1pux bestand. Of is dit inmiddels wel mogelijk? Dan moet je al bijna per website 2 passkeys gaan instellen en via verschillende manieren. (Bijvoorbeeld 1Password + Yubikey). Met Yubikey zit je echter ook aan een max.

Klopt, je kan geen backup maken, maar voor het zeer uitzonderlijke geval dat de dienst van 1Password onaangekondigd stopt, heb ik altijd nog wachtwoorden en herstelcodes (op papier). De Passkey uit 1Pasword is niet mijn enige manier om in te loggen, maar wel de voorkeursmethode.

[Bedge85]

Je kunt Proton Pass nu ook gebruiken als SSH Agent als je Visionary, B2B Bundles, Pass Professional, Plus, of Family abbo hebt. Aankondiging en support doc.

[Hippe Lip]

Bedge85 schreef op donderdag 13 augustus 2026 @ 17:57:
Je kunt Proton Pass nu ook gebruiken als SSH Agent

Wat houdt dit in, wat betekent het? Ik ben niet zo thuis in die termen en afkortingen.

[Bedge85]

@Hippe Lip SSH staat voor Secure Shell en is een versleuteld protocol waarmee je verbinding kunt maken met een server of een systeem. Soort van Remote Desktop maar dan voor de command line.

In een SSH Agent sla je publieke sleutels op waarmee je je kunt authenticeren over SSH. Op deze manier hoef je niet voor elke server een wachtwoord te onthouden en in te voeren. Een SSH Agent is vooral praktisch als je veel servers in beheer hebt.

[Jinoh]

Diederik schreef op woensdag 29 juli 2026 @ 10:53:
@Hippe Lip en @qwasd bedankt voor het meedenken,

Mijn doel is om zeer goed beveiligd te zijn en de toegang tot mijn accounts niet (nooit) te verliezen, ik ga het als volgt oplossen:

Online:
- Passkeys naar 1Password
- 2e factor voor 1Password geregeld met 2 fysieke Fido2 keys
- TOTP codes naar Proton authenticator (wordt gesynced)

Offline:
Fysieke kluis met daarin:
- Backup codes voor mijn primaire accounts
- USB stick met 1Password backup (maandelijks updaten)
- 1 Fido2 key
Op externe locatie
- 2e Fido2 key + masterpassword van mijn 1Password kluis

Hiermee heb ik heel veel afgedekt:
- Brand
- Diefstal
- Geheugen verlies (als in iets vergeten)
- Hack's
- Verlies/uitval van apparatuur

Ik moet dan alleen nog zorgen dat pincodes en wachtwoorden voor mijn laptop, telefoon, tablet en fysieke kluis ingewikkeld genoeg zijn.

Ik ben sindskort ook begonnen met mijn belangrijkste accounts te beveiligen met Yubikeys en een backup schema toe te passen. Wat misschien dan verder nog interessant is, is een kensington usb finger print reader voor Windows Hello. Mocht je Windows gebruiken althans. Zie: uitvoering: Kensington K64704EU vingerafdruklezer

[ Voor 25% gewijzigd door Jinoh op 29-08-2026 21:52 ]

[Hippe Lip]

Jinoh schreef op vrijdag 28 augustus 2026 @ 21:27:
[...]

Ik ben sindskort ook begonnen met mijn belangrijkste accounts te beveiligen met Yubikeys en een backup schema toe te passen. Wat misschien dan verder nog interessant is, is een kensington usb finger print reader voor Windows Hello. Mocht je Windows gebruiken althans. Zie: uitvoering: Kensington K64704EU vingerafdruklezer

Die fingerprintdingen heb ik altijd gemeden, want wat is de situatie als dat ding om wat voor reden dan ook niet meer werkt of niet beschikbaar is?
Hetzelfde voor zo’n Yubikey.

Bij mijn keuze probeer ik altijd alle mogelijke scenario’s naast elkaar te zetten en me bij elk af te vragen: wat doe ik als dat gebeurt. Kan ik dan nog bij mijn wachtwoorden?
Bijvoorbeeld: je bent op reis en dat fingerprintding of Yubikey doet het niet of is gejat. Dan kan ik die hele reis dus niet meer bij die wachtwoorden, want een eventuele reserve ligt thuis in een laatje.

[Jinoh]

Hippe Lip schreef op zaterdag 29 augustus 2026 @ 17:09:
[...]

Die fingerprintdingen heb ik altijd gemeden, want wat is de situatie als dat ding om wat voor reden dan ook niet meer werkt of niet beschikbaar is?
Hetzelfde voor zo’n Yubikey.

Bij mijn keuze probeer ik altijd alle mogelijke scenario’s naast elkaar te zetten en me bij elk af te vragen: wat doe ik als dat gebeurt. Kan ik dan nog bij mijn wachtwoorden?
Bijvoorbeeld: je bent op reis en dat fingerprintding of Yubikey doet het niet of is gejat. Dan kan ik die hele reis dus niet meer bij die wachtwoorden, want een eventuele reserve ligt thuis in een laatje.

Voor die situatie heb ik Proton Authenticator ook op mijn telefoon met al mijn 2fa/TOTP codes daarin. Ik heb mijn hoofd accounts via de Yubikeys ingesteld, en op de Yubikeys staan ook nog de 2fa/TOTP codes, evenals in Proton Authenticator.

[Domino]

Hippe Lip schreef op zaterdag 29 augustus 2026 @ 17:09:
[...]

Die fingerprintdingen heb ik altijd gemeden, want wat is de situatie als dat ding om wat voor reden dan ook niet meer werkt of niet beschikbaar is?
Hetzelfde voor zo’n Yubikey.

Ik gebruik al meer dan 10 jaar yubikeys en heb nog nooit een kapotte gezien (behalve moedwillig gesloopte keys). Wij rollen deze (security keys) ook en-masse uit in de organisatie, nog nooit klachten over gehad. Mijn yubi4 heeft zelfs al een paar keer in de wasmachine gezeten.

Diefstal of verlies is vervelend maar dat is een scenario dat je niet geheel kan uitsluiten. Je telefoon kan immers ook gestolen worden. Is het echt erg dat je een paar dagen/weken niet bij je wachtwoorden kan? dan neem je een reserve (3de) mee op reis. Hoeveelheid (reserve)keys die je kan enrollen is altijd een beperking van de dienst waar je ze gebruikt.

[Hippe Lip]

Domino schreef op zaterdag 29 augustus 2026 @ 18:02:
Ik gebruik al meer dan 10 jaar yubikeys en heb nog nooit een kapotte gezien (behalve moedwillig gesloopte keys).

Erg gevaarlijk om te zeggen, want onfeilbaar zijn ze nooit.

En je weet: risico is kans X gevolg.
De kans mag dan klein lijken, als de gevolgen groot zijn loopt je stiekem toch nog een aardig risico.

[Domino]

Hippe Lip schreef op zaterdag 29 augustus 2026 @ 22:53:
[...]

Erg gevaarlijk om te zeggen, want onfeilbaar zijn ze nooit.

En je weet: risico is kans X gevolg.
De kans mag dan klein lijken, als de gevolgen groot zijn loopt je stiekem toch nog een aardig risico.

Zoals met alles is het een kwestie van mitigeren. Een backup key sluit 99% van de risico’s uit. Een derde key verlaagt dat risico nogmaals met een factor X.

Dat wil niet zeggen dat het niet (tijdelijk) lastig kan zijn als een yubikey onverhoopt stopt met functioneren. Maar het is wel degelijk een tijdelijk probleem mits goed ingericht. Kans op een situatie die ik op de koop toeneem daar security voor mij zwaarder weegt dan (kort) ongemak.

Wat gebruik jij als mfa? Een keyfile, passkey, otp of geheel geen mfa? Alles heeft een risicofactor.

[Hippe Lip]

Domino schreef op zondag 30 augustus 2026 @ 09:42:
[
Zoals met alles is het een kwestie van mitigeren. Een backup key sluit 99% van de risico’s uit. Een derde key verlaagt dat risico nogmaals met een factor X.

Dat wil niet zeggen dat het niet (tijdelijk) lastig kan zijn als een yubikey onverhoopt stopt met functioneren. Maar het is wel degelijk een tijdelijk probleem mits goed ingericht. Kans op een situatie die ik op de koop toeneem daar security voor mij zwaarder weegt dan (kort) ongemak.

Ik denk dat je gelijk hebt. De ideale oplossing bestaat niet.

Hoe werk je met een yubikey; kun je die gebruiken voor zowel iPhone, iPad als MacBook (ik werk vrijwel uitsluitend op het Apple platform)?

Wat gebruik jij als mfa? Een keyfile, passkey, otp of geheel geen mfa? Alles heeft een risicofactor.

Ik gebruikte Lastpass tot een aantal maanden geleden. Die heeft een losse authenticator app die automatisch gebackupt wordt. Gaat mijn telefoon onverhoopt de plomp in (om maar wat te noemen), dan kan zowel Lastpass als de authenticator opnieuw geïnstalleerd worden.

Een tijdje terug ben ik overgestapt op Nordpass, omdat ik Europees wilde. Bovendien is een zo eenvoudig mogelijke user interface belangrijk omdat mijn vrouw –voorzichtig gezegd– digibeet is.
Anders was het misschien Proton geworden.

[Domino]

Hippe Lip schreef op zondag 30 augustus 2026 @ 22:45:
[...]

Ik denk dat je gelijk hebt. De ideale oplossing bestaat niet.

Hoe werk je met een yubikey; kun je die gebruiken voor zowel iPhone, iPad als MacBook (ik werk vrijwel uitsluitend op het Apple platform)?


[...]

Ik ben ook een Apple gebruiker maar je vraag beantwoorden is nog niet zo simpel. Het ligt vooral aan de oplossing die je kiest, en hoe die een hardware key als yubi implementeerd.

Ik ben ook een keepass gebruiker: keepassxc op de mac, daar werkt de yubikey gewoon via usb-c. Op een iPhone keepassium en werkt de yubi via nfc.

Een ipad heb ik nooit geprobeerd, dat is hier in huis echt een 'media consumption device'. Ik grijp eerder naar de macbook dan naar de ipad.

Ik gebruikte Lastpass tot een aantal maanden geleden. Die heeft een losse authenticator app die automatisch gebackupt wordt. Gaat mijn telefoon onverhoopt de plomp in (om maar wat te noemen), dan kan zowel Lastpass als de authenticator opnieuw geïnstalleerd worden.

Een tijdje terug ben ik overgestapt op Nordpass, omdat ik Europees wilde. Bovendien is een zo eenvoudig mogelijke user interface belangrijk omdat mijn vrouw –voorzichtig gezegd– digibeet is.
Anders was het misschien Proton geworden.

Ahh okay, ik ken Lastpass niet, iig niet qua gebruik. Die authenticator app lijkt op google prompt en werkt denk ik hetzelfde. Public/private key cryptografie met out-of-band notificaties.

Keepassxc doet grofweg hetzelfde met HMAC alleen dan compleet offline.

Moet er wel bij zeggen dat ik niet de beperking heb van WAF.

[Hippe Lip]

Domino schreef op maandag 31 augustus 2026 @ 11:00:
[...]
Moet er wel bij zeggen dat ik niet de beperking heb van WAF.

Die WAF bleek in de zoektocht naar een EU-PW-mngr inderdaad een veel grotere factor dan ik tevoren had bedacht. Sommige fraaie oplossingen waren door complexiteit totaal onmogelijk.

[SuperCrisz]

Hippe Lip schreef op zondag 30 augustus 2026 @ 22:45:
[...]

Een tijdje terug ben ik overgestapt op Nordpass, omdat ik Europees wilde. Bovendien is een zo eenvoudig mogelijke user interface belangrijk omdat mijn vrouw –voorzichtig gezegd– digibeet is.
Anders was het misschien Proton geworden.

Is Proton pass zoveel complexer in gebruik dan?

[whahas]

Als je zo'n sleutel hebt (ik heb zelf een Nitrokey) met nfc, hoe werkt dat dan? Kan zo'n sleutel gegevens versturen zonder stroom?

Nee, ik heb het nog nooit gebruikt, want nog nooit nodig gehad. Als zo'n sleutel stroom nodig heeft om te kunnen werken, snap ik het voordeel van nfc niet zo.

[Jinoh]

whahas schreef op dinsdag 1 september 2026 @ 20:18:
Als je zo'n sleutel hebt (ik heb zelf een Nitrokey) met nfc, hoe werkt dat dan? Kan zo'n sleutel gegevens versturen zonder stroom?

Nee, ik heb het nog nooit gebruikt, want nog nooit nodig gehad. Als zo'n sleutel stroom nodig heeft om te kunnen werken, snap ik het voordeel van nfc niet zo.

Een NFC module bezit zelf geen stroom, en dus ook niet in de Yubikey. Echter de uitlezende device zelf straalt een klein beetje energie uit, en dat is genoeg om dan de NFC module beschikbaar te maken om de info er dan vanaf te lezen.

[whahas]

Wow!
Werkt dat zo!

Daar was ik me helemaal niet van bewust. Ik ben weer eens enorm onder de indruk van de technologie die we tegenwoordig hebben. Dus mijn telefoon kan een signaal uitzenden waardoor mijn Nitrokey gegevens kan delen? Gaaf!

Dat werkt zeker alleen als ik het initieer?

[Jinoh]

whahas schreef op woensdag 2 september 2026 @ 20:59:
Wow!
Werkt dat zo!

Daar was ik me helemaal niet van bewust. Ik ben weer eens enorm onder de indruk van de technologie die we tegenwoordig hebben. Dus mijn telefoon kan een signaal uitzenden waardoor mijn Nitrokey gegevens kan delen? Gaaf!

Dat werkt zeker alleen als ik het initieer?

De NFC chip die krijgt stroom op tot een paar centimeter afstand en dan kan krijg je op je telefoon als je de Yubikey authenticator app hebt, een melding, en dan kan je die aantikken om op je app te openen.

Het is zo, dat wanneer je een Yubikey hebt, dat je bij je TOTP codes een (master)password kan instellen. Bij eerste setup van je Yubikey op de authenticator app van Yubico dan authenticeer je je key met de (master)password. Na setup kan je kiezen voor vergrendelen met biometrische unlock zoals fingerprint of Face ID afhankelijk van je model telefoon.

BIj een TOTP code kan je kiezen voor verbergen van de code en extra vinger aanraking te vereisen om te bewijzen aan de Yubikey dat je een mens bent, en zal het met meerdere stappen biometrische authenticatie vereisen. Hierdoor heb je een aantal lagen zekerheid dat de telefoon en je key daadwerkelijk door jou gebruikt worden. Hierdoor zie ik als ik dat ingesteld heb, meen ik, dat tot drie maal toe mijn face id vereist te controleren dat ik het echt ben op mijn iPhone.

Bij gebruik van sleutel authenticatie en passkeys heb je een (master)pincode, en moet je die ook authenticeren als je je aanmeld op een dienst. Sommige diensten bieden ook aan om het apparaat te vertrouwen en dan kan je je nogmaals aanmelden op het vertrouwde apparaat zonder die pincode authenticatie te doen na aanmelden met een Yubikey. Proton staat dit bijvoorbeeld toe.

edit:
Ff tekst aangepast.

[ Voor 26% gewijzigd door Jinoh op 02-09-2026 22:13 ]

[Wally2002]

Yubikey is niet de enige aanbieder van dit soort producten. Heeft een lange track record, maar is bijvoorbeeld niet open source.
Een mooi alternatief is Nitrokey, dat helemaal open source is, zelfs de hardware. En inmiddels ook wel een tijd mee gaat en ook breed toegepast wordt.

[Jinoh]

Wally2002 schreef op donderdag 3 september 2026 @ 00:22:
Yubikey is niet de enige aanbieder van dit soort producten. Heeft een lange track record, maar is bijvoorbeeld niet open source.
Een mooi alternatief is Nitrokey, dat helemaal open source is, zelfs de hardware. En inmiddels ook wel een tijd mee gaat en ook breed toegepast wordt.

Ook een zeer mooie optie als je wil gaan hardwarematige authenticatie.

[Domino]

whahas schreef op woensdag 2 september 2026 @ 20:59:
Wow!
Werkt dat zo!

Daar was ik me helemaal niet van bewust. Ik ben weer eens enorm onder de indruk van de technologie die we tegenwoordig hebben. Dus mijn telefoon kan een signaal uitzenden waardoor mijn Nitrokey gegevens kan delen? Gaaf!

Dat werkt zeker alleen als ik het initieer?

Goed voorbeeld van alledaags gebruik van deze techniek, waarbij je waarschijnlijk niet eens stilstaat: contactloos betalen met je pinpas.

Wally2002 schreef op donderdag 3 september 2026 @ 00:22:
Yubikey is niet de enige aanbieder van dit soort producten. Heeft een lange track record, maar is bijvoorbeeld niet open source.
Een mooi alternatief is Nitrokey, dat helemaal open source is, zelfs de hardware. En inmiddels ook wel een tijd mee gaat en ook breed toegepast wordt.

Token2 is een andere.

Groot nadeel van deze oplossingen dat ze redelijk wat achterlopen (of liepen) op Yubico. U2F en Fido2 zijn jarenlang het domein van Yubico geweest in hardware tokens. Evenals het gebruik van HMAC icm met het populaire keepass(xc). Support software is ook allemaal niet zo gestroomlijnd als bij Yubico, laat staan iets als enterprise enrolment.

En de vormfactor van yubikeys is onovertroffen. De token2 is gewoon meer dan twee keer zo dik.

[whahas]

Wally2002 schreef op donderdag 3 september 2026 @ 00:22:
Yubikey is niet de enige aanbieder van dit soort producten. Heeft een lange track record, maar is bijvoorbeeld niet open source.
Een mooi alternatief is Nitrokey, dat helemaal open source is, zelfs de hardware. En inmiddels ook wel een tijd mee gaat en ook breed toegepast wordt.

Ja, zo'n Nitrokey heb ik dus!

Alleen moet ik nog een keer uitvogelen hoe ik dat NFC gebeuren werkend krijg op mijn iPhone 15 en mijn oude iPhone SE 1e generatie (als ik van plan ben van dat toestel een back-up apparaat te maken).


Ah ja, @Domino , een betaalpas heeft natuurlijk ook geen stroom van zichzelf!

[ Voor 25% gewijzigd door whahas op 03-09-2026 19:31 ]

[Wally2002]

Domino schreef op donderdag 3 september 2026 @ 08:21:


Groot nadeel van deze oplossingen dat ze redelijk wat achterlopen (of liepen) op Yubico. U2F en Fido2 zijn jarenlang het domein van Yubico geweest in hardware tokens. Evenals het gebruik van HMAC icm met het populaire keepass(xc). Support software is ook allemaal niet zo gestroomlijnd als bij Yubico, laat staan iets als enterprise enrolment.

En de vormfactor van yubikeys is onovertroffen. De token2 is gewoon meer dan twee keer zo dik.

Token2 ben ik niet bekend mee, maar Nitrokey heeft inmiddels al eventjes Fido2 en U2F.
Nitrokey is inderdaad wat minder gestroomlijnd qua ontwikkeling, kleiner team en m.i. zijn ze op een gegeven moment heel erg hun portfolio gaan uitbreiden met allerlei producten en diensten. Op zich wel voorstelbaar om ook inkomsten te genereren maar daardoor inderdaad wat minder gestroomlijnd. Daarentegen dus wel open source en dat is ook wat waard.

[whahas]

Ja, toen ik het kocht heb ik ook netjes een bijdrage gedaan voor de ontwikkeling van nieuwe firmware, omdat ik het zo gaaf vind dat ze het open source houden.

[Hippe Lip]

@lanedirt Worden bij een import vanuit Nordpass naar Aliasvault ook alle 2FA’s meegenomen, of moet ik die dan handmatig allemaal opnieuw doen?

[ Voor 5% gewijzigd door Hippe Lip op 06-09-2026 16:49 ]

[lanedirt]

Hippe Lip schreef op zondag 6 september 2026 @ 16:48:
@lanedirt Worden bij een import vanuit Nordpass naar Aliasvault ook alle 2FA’s meegenomen, of moet ik die dan handmatig allemaal opnieuw doen?

AliasVault importeert standaard alle gegevens die een andere ondersteunde wachtwoordmanager exporteert. Echter zet Nordpass helaas geen 2FA secrets in hun .CSV export (zijn meer gebruikers die hierover klagen). Dus bij het verhuizen vanaf Nordpass naar een andere wachtwoordmanager (incl. AliasVault) zul je 2FA helaas opnieuw moeten instellen voor alle accounts.

Andere wachtwoordmanagers zoals Bitwarden, 1Password, Proton Pass etc. zetten wel gewoon de 2FA secrets in hun exports. Dit is iets wat het overstappen een stuk makkelijker maakt en je dus minder last hebt van vendor lock-in, dus hopelijk gaat Nordpass dit in de toekomst alsnog doen.

[edwin2021]

Dat is echt een major nono voor Nordpass 😐

[Hippe Lip]

edwin2021 schreef op zondag 6 september 2026 @ 21:41:
Dat is echt een major nono voor Nordpass 😐

Maar ja, als je daar nu al zit...

[Hippe Lip]

lanedirt schreef op zondag 6 september 2026 @ 19:40:
[...]
Andere wachtwoordmanagers zoals Bitwarden, 1Password, Proton Pass etc. zetten wel gewoon de 2FA secrets in hun exports. Dit is iets wat het overstappen een stuk makkelijker maakt en je dus minder last hebt van vendor lock-in, dus hopelijk gaat Nordpass dit in de toekomst alsnog doen.

Dank voor je uitgebreide antwoord, @lanedirt.
Ik zal eens gaan klagen bij Nordpass dat ze zichzelf niet bijzonder populair maken door dit manco. Ik ben bang dat het omgekeerd dan ook niet werkt, dat Nordpass 2FA-secrets van anderen dan ook niet importeert.
Slechte zaak.

[Hippe Lip]

Nou moet ik alleen nog een argument hebben om Nordpass mee om de oren te slaan dat 2FA niet in hun export zit. Want zeggen dat een overstap er lastiger door is, zal hen niet harder doen lopen, eerder langzamer.

Iemand suggesties?
@lanedirt misschien?

[RudolfR]

@Hippe Lip
Niet zeggen dat je al betalend lid bent, maar dat je het om die reden niet wordt.

Voor mij wordt het geen Nordpass

[ Voor 17% gewijzigd door RudolfR op 07-09-2026 10:24 ]

[Hippe Lip]

En kunnen passkeys ook geïmporteerd en geëxporteerd worden, @lanedirt?

[lanedirt]

Hippe Lip schreef op vrijdag 18 september 2026 @ 00:24:
En kunnen passkeys ook geïmporteerd en geëxporteerd worden, @lanedirt?

Nee passkeys kunnen op dit moment nog niet worden geimporteerd in AliasVault, omdat dit specifieke afstemming vereist tussen de exporterende en importerende wachtwoordmanager. Het is daarmee helaas (nog) niet zo simpel als een wachtwoord exporteren/importeren.

Er is de afgelopen tijd wel hard gewerkt door de industrie aan een nieuwe globale passkey-uitwisselings standaard (CXP) die inmiddels door steeds meer wachtwoord managers wordt ondersteund, voornamelijk dankzij het iOS/Android platform en apps.

Het toevoegen van support voor de CXP standaard staat daarom nu ook bij AliasVault op de roadmap voor v1.0. Er is een bestaand issue op GitHub hiervoor: https://github.com/aliasvault/aliasvault/issues/2010

Totdat de CXP support is toegevoegd betekent dit echter als je van wachtwoord manager wisselt, je passkeys nog opnieuw handmatig zult moeten aanmaken.

PS: Hier is bijvoorbeeld een recente nieuwspost van Bitwarden die meer uitlegt over deze standaard: https://bitwarden.com/blog/security-vendors-join-forces-to-make-passkeys-more-portable-for-everyone/. Het is nog vers van de pers, zij hebben support in iOS 26 net een paar dagen geleden (15 september) toegevoegd.

[Hippe Lip]

@lanedirt
Mag ik nog een suggestie doen voor je wachtwoordgenerator: zorg dat bepaalde tekens niet in gegenereerde wachtwoorden terechtkomen. Het kan namelijk voor problemen zorgen.

Bij het US International toetsenbord zijn er een aantal toetsen die zogeheten ‘dode toetsen’ zijn. Dat zijn de accent aigu, de accent grave, de trema en dat dakje onder andere. Als daarna een klinker komt, dan wordt dat teken erop gezet: eerst de ‘ en dan de e levert é op; eerste de “ en dan de u levert ü op, eerst de ^ en dan de i levert î op. Dit zijn maar een paar voorbeelden.

Als nu iemand het US International keyboard gebruikt (wat handig is in Nederland) en een wachtwoord in moet typen met eerst een ^ en dan een e bijvoorbeeld, dan gaat het dus mis. Die krijgt niet ^e maar ê en dat strookt niet, dat levert een onjuist wachtwoord op.

Het heeft me in het verleden heel veel frustratie opgeleverd en lang geduurd voordat ik door had waar dat door kwam.

[Hippe Lip]

@lanedirt
AliasVault heeft wachtwoorden en TOTP in één. Wie de kluis weet te openen heeft meteen ook de tweede factor in handen. Dat kun je als een zwakte zien om het zo samen op te slaan.

Hoe kijk jij daar tegenaan?

[lanedirt]

Mag ik nog een suggestie doen voor je wachtwoordgenerator: zorg dat bepaalde tekens niet in gegenereerde wachtwoorden terechtkomen. Het kan namelijk voor problemen zorgen.

@Hippe Lip Goede suggestie! Dat is zeker iets wat toegevoegd kan worden. AliasVault biedt nu al de keuze welke karaktersets je wilt gebruiken in automatisch gegenereerde wachtwoorden (hieronder voorbeeld screenshot). Mogelijk dat we deze tekens ook in de "onduidelijke tekens" set op kunnen nemen, of er juist een aparte optie voor toe te voegen. Ik zal dit meenemen en naar kijken voor de volgende versie.

AliasVault heeft wachtwoorden en TOTP in één. Wie de kluis weet te openen heeft meteen ook de tweede factor in handen. Dat kun je als een zwakte zien om het zo samen op te slaan.

Hoe kijk jij daar tegenaan?

@Hippe Lip Ja dat klopt inderdaad, wanneer je AliasVault account zelf zou worden gecompromitteerd en er zowel wachtwoorden als 2FA in worden opgeslagen, kan een aanvaller in principe beide in handen krijgen. Dat kun je inderdaad zien als een "zwakte" ten opzichte van het volledig gescheiden bewaren in twee apps.

De reden waarom veel wachtwoordmanagers, waaronder AliasVault, toch aanbieden om 2FA-codes op te slaan, is dat 2FA ook bescherming biedt tegen andere aanvalsscenario’s. Denk bijvoorbeeld aan een wachtwoord dat uitlekt bij een datalek, iemand die over je schouder meekijkt, of een aanvaller die je wachtwoord op een andere manier weet te achterhalen. Alleen het wachtwoord is dan nog niet voldoende om toegang tot het account te krijgen.

AliasVault probeert het gebruik van 2FA daarbij zo eenvoudig mogelijk te maken doordat autofill ook voor TOTP-codes werkt. In de praktijk verlaagt dat voor veel mensen de drempel om 2FA daadwerkelijk voor meer accounts in te schakelen omdat het je niet daadwerkelijk meer tijd kost qua handelingen.

Wat de beste keuze is, hangt uiteindelijk af van je eigen situatie en evt. dreigingsprofiel. Voor de gemiddelde gebruiker biedt het opslaan van TOTP-codes in een wachtwoordmanager een goede combinatie van extra beveiliging en gebruiksgemak, en is het aanzienlijk veiliger dan helemaal geen 2FA gebruiken.

Het opslaan van 2FA codes in een aparte app is echter inderdaad theoretisch wel veiliger, omdat je dan een extra isolatie factor hebt. Maar je levert daarbij vaak wel in op gebruiksgemak (geen autofill), back-ups zijn niet altijd automatisch ingeregeld etc, dus wat gebeurt er als je je telefoon verliest of kapot gaat etc.

Het is daarom uiteindelijk vooral een afweging tussen maximale scheiding van factoren en praktisch gebruiksgemak.

[Hippe Lip]

Dank @lanedirt voor een snel en verhelderend antwoord.

Wat de tekens betreft: vaak worden zowel hoofd- als kleine letters én cijfers én tekens verlangd in een wachtwoord. Het zou dan inderdaad fijn zijn als je die diakritische tekens bij de onduidelijke tekens zet, zodat die uit te sluiten zijn, terwijl nog steeds alle vier categorieën karakters in het gegenereerde wachtwoord terechtkomen.

En de opslag van de TOTP is zoals je zegt een afweging die iedereen voor zichzelf moet maken. Goed om te weten hoe jij daar tegenaan kijkt.

[ Voor 14% gewijzigd door Hippe Lip op 21-09-2026 15:57 ]

[dirkstreepjejan]

@lanedirt Geniet van je kopje koffie

Ik kijk uit naar de extra functionaliteiten van het premium lidmaatschap van AliasVault.

Wel ironisch dat ik je een kopje koffie gaf met een SimpleLogin account Heb SL en AV beiden als extensie.

[ Voor 33% gewijzigd door dirkstreepjejan op 04-10-2026 12:41 ]

[Hippe Lip]

dirkstreepjejan schreef op zondag 4 oktober 2026 @ 12:13:
@lanedirt Geniet van je kopje koffie

Ik kijk uit naar de extra functionaliteiten van het premium lidmaatschap van AliasVault.

Wel ironisch dat ik je een kopje koffie gaf met een SimpleLogin account Heb SL en AV beiden als extensie.

Waarom kijk je er naar uit?

[dirkstreepjejan]

@Hippe Lip Omdat ik elke missende feature van AV t.o.v. SL toejuich als deze door lanedirt en zijn team wordt ontwikkeld. Wellicht worden ze nog beter dan SL. Ik heb namelijk het idee dat SL al een tijdje stil staat.

[dirkstreepjejan]

Ik begin AliasVault onder de knie te krijgen. Dit gaat zéker een Premium-lidmaatschap worden.

[tomdh76]

Ik gebruik al jaren vaultwarden, wat erg prettig werkt en ik vind het fijn dat alles lokaal staat.

Nu zie ik echter wat onrust op reddit over dat Bitwarden dingen aan het veranderen is met licenties etc. Begrijp ik niet helemaal maar er zou een probleem kunnen ontstaan voor bitwarden clients bijvoorbeeld op iPhone icm vaultwarden self hosted?

Dus ik begin al te kijken naar alternatieven als dit waar is? Iemand een goede lokale password manager die ook gebruik in gezinnen ondersteunt?

[Miki]

tomdh76 schreef op zondag 11 oktober 2026 @ 13:09:
Ik gebruik al jaren vaultwarden, wat erg prettig werkt en ik vind het fijn dat alles lokaal staat.

Nu zie ik echter wat onrust op reddit over dat Bitwarden dingen aan het veranderen is met licenties etc. Begrijp ik niet helemaal maar er zou een probleem kunnen ontstaan voor bitwarden clients bijvoorbeeld op iPhone icm vaultwarden self hosted?

Dus ik begin al te kijken naar alternatieven als dit waar is? Iemand een goede lokale password manager die ook gebruik in gezinnen ondersteunt?

1Password is uitermate geschikt voor gezinnen maar is niet de goedkoopste. Wat zij goed doen is dat hun apps gebruiksvriendelijk en laagdrempelig worden weergegeven waardoor je snel je weg kunt vinden.
Let op dat als je gebruikt van 1Password dit doet via 1Password.eu en niet .com ivm opslaan van je wachtwoorden in of juist buiten Europa

[TripleQ]

Grrr, op het werk stappen we na 1 jaar over van Nordpas naar Bitwarden.

Jaar geleden al gezegd dat we liever Bitwarden wilden gebruiken, maar dat was toen schijnbaar te duur. Maar nu schijnbaar ineens wel weer een optie. Helemaal blij mee,

Echter blijkt je de 2fa secrets niet te kunnen exporteren vanuit Nordpas... Moet iedereen ineens op veel sites de 2fa opnieuw zien te activeren/resetten, best wel irritant klusje, gezien je ook niet makkelijk kan zien waar je allemaal 2fa hebt ingesteld.

[tomdh76]

Miki schreef op zondag 11 oktober 2026 @ 16:44:
[...]

1Password is uitermate geschikt voor gezinnen maar is niet de goedkoopste. Wat zij goed doen is dat hun apps gebruiksvriendelijk en laagdrempelig worden weergegeven waardoor je snel je weg kunt vinden.
Let op dat als je gebruikt van 1Password dit doet via 1Password.eu en niet .com ivm opslaan van je wachtwoorden in of juist buiten Europa

1password is alleen niet self hosted te doen. Ik ben nu aan het experimenteren met passbolt; maar die heeft geen passkeys vooralsnog. En aliasvault: mooi! maar voor family (nog?) niet echt handig.

[Hippe Lip]

Miki schreef op zondag 11 oktober 2026 @ 16:44:
[...]

1Password is uitermate geschikt voor gezinnen maar is niet de goedkoopste. Wat zij goed doen is dat hun apps gebruiksvriendelijk en laagdrempelig worden weergegeven waardoor je snel je weg kunt vinden.
Let op dat als je gebruikt van 1Password dit doet via 1Password.eu en niet .com ivm opslaan van je wachtwoorden in of juist buiten Europa

@tomdh76 en @Miki
Kijk ook eens naar AliasVault. Veel mogelijkheden en in ontwikkeling, dus komt er regelmatig meer bij.
En Nederlands product!

En je kunt het hosten via AliasVault, maar ook helemaal zelf hosten.
Das echt super gebouwd.

[ Voor 7% gewijzigd door Hippe Lip op 11-10-2026 23:08 ]

[tomdh76]

Hippe Lip schreef op zondag 11 oktober 2026 @ 22:05:
[...]

@tomdh76 en @Miki
Kijk ook eens naar AliasVault. Veel mogelijkheden en in ontwikkeling, dus komt er regelmatig meer bij.
En Nederlands product!

En je kunt het hosten via AliasVault, maar ook helemaal zelf hosten.
Das echt super gebouwd.

Ja nu aliasvault aan het proberen, ziet er goed uit. Alleen zie ik het nog niet helemaal voor me hoe iedereen uit mijn gezin dat gaat gebruiken? Met verschillende folders misschien?

[dirkstreepjejan]

tomdh76 schreef op maandag 12 oktober 2026 @ 07:06:
[...]

Ja nu aliasvault aan het proberen, ziet er goed uit. Alleen zie ik het nog niet helemaal voor me hoe iedereen uit mijn gezin dat gaat gebruiken? Met verschillende folders misschien?

Staat op de roadmap.

[lanedirt]

tomdh76 schreef op maandag 12 oktober 2026 @ 07:06:
[...]

Ja nu aliasvault aan het proberen, ziet er goed uit. Alleen zie ik het nog niet helemaal voor me hoe iedereen uit mijn gezin dat gaat gebruiken? Met verschillende folders misschien?

Hoi @tomdh76, ja, dat is inderdaad het idee: je kunt straks één of meerdere mappen delen met andere accounts, primair gericht op andere gezinsleden.

Als sneak-peek: release 0.31.0 van AliasVault verschijnt naar verwachting later deze week. Het is een flinke release waar de afgelopen vier maanden hard aan is gewerkt. Een van de focuspunten van deze release is dat nu ook de technische basis gelegd is voor Family Sharing. Technisch werkt het delen al, maar er zijn nog wat openstaande dingen die moeten worden gefinetuned, en het geheel moet nog in de praktijk worden getest. We verwachten de komende 2 à 3 weken daarom met een kleine groep cloudgebruikers een gesloten bèta te starten voor het family sharing gedeelte. Daarna willen we de functie voor iedereen beschikbaar maken. Dus het komt er (zeer) snel aan .

[Ruitenwisser]

@lanedirt Hoi, ik ben hier terecht gekomen na de vermelding van AliasVault in het nieuws topic over Bitwarden van vandaag. Het ziet er een interessant project uit en helemaal top dat het van Europese bodem komt. Zou je me duiding kunnen geven over de system requirements voor het zelf hosten? 1GB RAM en 16GB disk lijkt me nogal wat voor het hosten van wachtwoorden. Ik had vorige week Vaultwarden geïnstalleerd op een LXC en ik kom ruimschoots toe met 1GB disk en 256 MB RAM. Dank

[lanedirt]

Ruitenwisser schreef op maandag 12 oktober 2026 @ 13:54:
@lanedirt Hoi, ik ben hier terecht gekomen na de vermelding van AliasVault in het nieuws topic over Bitwarden van vandaag. Het ziet er een interessant project uit en helemaal top dat het van Europese bodem komt. Zou je me duiding kunnen geven over de system requirements voor het zelf hosten? 1GB RAM en 16GB disk lijkt me nogal wat voor het hosten van wachtwoorden. Ik had vorige week Vaultwarden geïnstalleerd op een LXC en ik kom ruimschoots toe met 1GB disk en 256 MB RAM. Dank

Hoi, dank voor je interesse in AliasVault! De 1 GB RAM en 16 GB schijfruimte zijn inderdaad op dit moment de aanbevolen specificaties voor self-hosting.

Qua praktijkcijfers: in de praktijk verbruikt de all-in-one container voor self-hosting ongeveer 500–600 MB RAM, en een clean installatie neemt ongeveer 1,5GB schijfruimte in beslag incl. de docker container image zelf. De 16GB schijfruimte is vooral bedoeld in de context van om rekening mee te houden als iemand een volledige Linux VM aanmaakt, dus voor het OS + voor AliasVault zelf. (Is echter wellicht goed om dit wat explicieter te vermelden in de docs nu ik dit zo hardop teruglees -- Edit: aangepast).

Het verschil qua geheugengebruik met Vaultwarden zit hem verder deels in de opzet. AliasVault draait op PostgreSQL, wat meer geheugen gebruikt dan de (standaard) SQLite-database van Vaultwarden. Daarnaast bevat AliasVault onder andere een ingebouwde mailserver (waarvan het gebruik optioneel is).

Een zo laag mogelijk resourceverbruik is geen hoofddoel van AliasVault, daar is de architectuur dan ook niet (volledig) op gefocust. Maar op bijvoorbeeld zelfs een Raspberry Pi met 2GB RAM draait AliasVault prima, ook naast andere containers.

[pjlgt]

Toevallig vandaag ook mijn Bitwarden vault ge-exporteerd naar Aliasvault. Draai ze nu tijdelijk naast elkaar om te vergelijken. Pluspunten AV tot nu toe; duidelijke, moderne UI. Snelheid is top. Hopelijk vallen de prijzen ook mee in de toekomst.

[Ruitenwisser]

@lanedirt dank voor de uitleg. Het is ook vooral de mailserver dat me aanspreekt en eigenlijk een goed idee dat je dat in de password manager mee ter beschikking stelt. Als ik eens wat tijd vind, zal ik dit zeker eens aan mn proxmox server toevoegen om het wat verder te ontdekken.

[tomdh76]

Ik heb gisteren de mail server ingesteld voor mijn domein. Ging super makkelijk! Het lijkt me zinvol om aliasmails te gebruiken gezien alle hacks tegenwoordig. Ik heb echter best veel wachtwoorden voor websites die gekoppeld zijn aan mijn echte mail adres, zou het zinvol zijn op die websites een aliasmailadres in plaats daarvan te maken? En gebruiken jullie ook alias namen? Dat is misschien voor bezorging van pakjes thuis wat onhandig?

[elsinga]

Ik gebruik standaard alias mailadressen voor elke webwinkel, forum, et cetera. Mail van de bank dat mijn pas verloopt, maar niet het juiste mailadres? Phishing mail! Mailadres voor de AH in een mail van een ander, AH was stout en heeft het adres verkocht. Dit zorgt er ook voor dat een eventueel hergebruikt wachtwoord (al heb ik heel logins al voorzien van een random lang wachtwoord) bij een lek niet gelijk toegang geeft tot andere dingen. Na de Odido hack heel veel plezier gehad van mijn Tele2 alias mailadres.

[tomdh76]

En gebruik je ook overal alias namen?

[Kalentum]

tomdh76 schreef op dinsdag 13 oktober 2026 @ 07:06:
Ik heb gisteren de mail server ingesteld voor mijn domein. Ging super makkelijk! Het lijkt me zinvol om aliasmails te gebruiken gezien alle hacks tegenwoordig. Ik heb echter best veel wachtwoorden voor websites die gekoppeld zijn aan mijn echte mail adres, zou het zinvol zijn op die websites een aliasmailadres in plaats daarvan te maken? En gebruiken jullie ook alias namen? Dat is misschien voor bezorging van pakjes thuis wat onhandig?

Ik zou er zelf niet aan beginnen om alle accounts te updaten. Wat een werk.

Ik gebruik nergens aliases.

[dirkstreepjejan]

@lanedirt, of iemand anders die kan helpen:

Ik had bij SimpleLogin in het begin last van moeilijke communicatie als ik aan instellingen mijn e-mail doorgaf: [e-mail] in plaats van [e-mail]. Totdat ik het subdomein met al zijn voordelen ontdekte en ik bijv. [e-mail] kon gebruiken.

Deze optie zie ik (nog) niet bij AliasVault. De aliassen die mij voorgeschoteld worden zijn weer hetzelfde als die ik in het begin bij SL kreeg: [e-mail] wordt mij voorgeschoteld.

Daarnaast is onderstaande optie mij onduidelijk (de omschrijving spreekt misschien voor zich, maar het kwartje wil niet vallen...):

Zou iemand mij uit kunnen leggen wat deze 3 optie's betekenen? Is dit overeenkomstig met iets soortgelijks als een subdomein op SL? Welke magische voordelen hebben de 3 instellingen, wat doet het überhaupt?

En is AV geschikt om je voor nieuwsbrieven in te schrijven? Ik heb net bij Obey Giant geprobeerd aan te melden, maar ik krijg geen bevestigingsmail. Edit: nieuwsbrief werkt ook.

[ Voor 11% gewijzigd door dirkstreepjejan op 13-10-2026 14:37 ]

[elsinga]

tomdh76 schreef op dinsdag 13 oktober 2026 @ 10:05:
En gebruik je ook overal alias namen?

Nee, ik geef gewoon mijn eigen naam en adres op. Moet vaak ook, al zou ik nog wel een alias als 2e naam er in kunnen fietsen. Tot nu toe in elk geval niet de behoefte gehad om naast een (uniek) mail-adres en uniek password ook nog andere dingen aan te passen per site.

[whahas]

tomdh76 schreef op dinsdag 13 oktober 2026 @ 07:06:
Ik heb gisteren de mail server ingesteld voor mijn domein. Ging super makkelijk! Het lijkt me zinvol om aliasmails te gebruiken gezien alle hacks tegenwoordig. Ik heb echter best veel wachtwoorden voor websites die gekoppeld zijn aan mijn echte mail adres, zou het zinvol zijn op die websites een aliasmailadres in plaats daarvan te maken? En gebruiken jullie ook alias namen? Dat is misschien voor bezorging van pakjes thuis wat onhandig?

Ik heb mezelf aangeleerd om bij alle nieuwe plekken (zeker als ik éénmalig daar kom bijvoorbeeld) een nieuwe alias aan te maken. Ik heb ook wel eens bestaande adressen aangepast.

Verder heb ik de luxe dat ik Proton Mail én Tuta Mail heb, dus ik heb een extra manier om te scheiden.

[lanedirt]

dirkstreepjejan schreef op dinsdag 13 oktober 2026 @ 12:48:
@lanedirt, of iemand anders die kan helpen:

Ik had bij SimpleLogin in het begin last van moeilijke communicatie als ik aan instellingen mijn e-mail doorgaf: [e-mail] in plaats van [e-mail]. Totdat ik het subdomein met al zijn voordelen ontdekte en ik bijv. [e-mail] kon gebruiken.

Deze optie zie ik (nog) niet bij AliasVault. De aliassen die mij voorgeschoteld worden zijn weer hetzelfde als die ik in het begin bij SL kreeg: [e-mail] wordt mij voorgeschoteld.

Hoi @dirkstreepjejan, AliasVault genereert standaard een willekeurige alias inderdaad. Je kunt de aliasnaam echter zelf aanpassen naar iets anders (zo lang deze vrij is). Als je i.p.v. een login item een "alias" item aanmaakt, dan maakt AliasVault zelf een gehele willekeurige identiteit voor je, incl. fictieve voornaam, achternaam, geboortedatum, en ook een bijpassende e-mailalias.

Ondersteuning voor custom domains (bring your own domain) en evt. gepersonaliseerde subdomeinen zoals SimpleLogin zal later als premium optie beschikbaar komen op de cloud versie.

dirkstreepjejan schreef op dinsdag 13 oktober 2026 @ 12:48:
[Afbeelding]Zou iemand mij uit kunnen leggen wat deze 3 optie's betekenen? Is dit overeenkomstig met iets soortgelijks als een subdomein op SL? Welke magische voordelen hebben de 3 instellingen, wat doet het überhaupt?

En is AV geschikt om je voor nieuwsbrieven in te schrijven? Ik heb net bij Obey Giant geprobeerd aan te melden, maar ik krijg geen bevestigingsmail. Edit: nieuwsbrief werkt ook.

Die drie opties uit je screenshot hebben betrekking op hoe autofill werkt (voor in de browser extensie). Standaard matcht AliasVault op zowel exacte URL (als deze op is gegeven), met als fall-back kijkt deze ook naar een eventueel subdomein en als dat ook niks oplevert dan de paginatitel. De standaard instelling is best breed voor gebruiksgemak, maar je kunt deze specifieker instellen als je vind dat de autofill niet-passende suggesties toont.

Wat betreft nieuwsbrieven: ja daar zijn AliasVault aliassen inderdaad uitermate geschikt voor.

[lanedirt]

Hippe Lip schreef op maandag 21 september 2026 @ 15:55:
Dank @lanedirt voor een snel en verhelderend antwoord.

Wat de tekens betreft: vaak worden zowel hoofd- als kleine letters én cijfers én tekens verlangd in een wachtwoord. Het zou dan inderdaad fijn zijn als je die diakritische tekens bij de onduidelijke tekens zet, zodat die uit te sluiten zijn, terwijl nog steeds alle vier categorieën karakters in het gegenereerde wachtwoord terechtkomen.

En de opslag van de TOTP is zoals je zegt een afweging die iedereen voor zichzelf moet maken. Goed om te weten hoe jij daar tegenaan kijkt.

Hoi @Hippe Lip, blij om te vermelden dat vandaag de 0.31.0 release van AliasVault is gepubliceerd. Naast allerlei verbeteringen bevat deze versie ook jouw suggestie van hierboven.

In de instellingen van de wachtwoordgenerator vind je nu onder het tabje ‘Wachtwoord’ het veld ‘Tekens uitsluiten’. Daarmee kun je aangeven welke tekens niet in gegenereerde wachtwoorden mogen voorkomen. Bedankt voor je suggestie!

[Hippe Lip]

lanedirt schreef op woensdag 14 oktober 2026 @ 14:49:
[...]

Hoi @Hippe Lip, blij om te vermelden dat vandaag de 0.31.0 release van AliasVault is gepubliceerd. Naast allerlei verbeteringen bevat deze versie ook jouw suggestie van hierboven.

In de instellingen van de wachtwoordgenerator vind je nu onder het tabje ‘Wachtwoord’ het veld ‘Tekens uitsluiten’. Daarmee kun je aangeven welke tekens niet in gegenereerde wachtwoorden mogen voorkomen. Bedankt voor je suggestie!

Ah @lanedirt, je maakt het meteen weer wat breder, je verbetert het idee hiermee
Nu kun je ook tekens uitsluiten die je zelf verwarrend vind (kleine L en hoofdletter i bijvoorbeeld). Geheel naar eigen wens in te stellen, als ik je goed begrijp.

[dirkstreepjejan]

lanedirt schreef op dinsdag 13 oktober 2026 @ 20:16:
[...]

Die drie opties uit je screenshot hebben betrekking op hoe autofill werkt (voor in de browser extensie). Standaard matcht AliasVault op zowel exacte URL (als deze op is gegeven), met als fall-back kijkt deze ook naar een eventueel subdomein en als dat ook niks oplevert dan de paginatitel. De standaard instelling is best breed voor gebruiksgemak, maar je kunt deze specifieker instellen als je vind dat de autofill niet-passende suggesties toont.

Hi @lanedirt,

edit:
(Aangezien ik ervan uitga dat @lanedirt het razend druk heeft met het ontwikkelen van AV hoop ik dat iemand anders mij de doorslaggevende uitleg kan geven):

Uitgebreide uitleg (dank!), maar het kwartje is nog altijd niet gevallen: Kun je (of iemand anders) voor alledrie de opties wellicht kort een voorbeeld geven? Mijn n00b alert gaat af

edit:
Mail van al mijn gelinkte SL accounts worden doorgestuurd naar mijn soon-to-be obsolete Proton adres. Is dit iets wat AV ook gaat ontwikkelen?: Dat de aliassen de mails doorsturen naar je privé adres, in plaats van in de vault? Nu zie ik missschien straks belangrijke mails over het hoofd?

[ Voor 23% gewijzigd door dirkstreepjejan op 20-10-2026 12:22 ]

[aliasvault]

dirkstreepjejan schreef op maandag 19 oktober 2026 @ 21:56:
[...]

Uitgebreide uitleg (dank!), maar het kwartje is nog altijd niet gevallen: Kun je (of iemand anders) voor alledrie de opties wellicht kort een voorbeeld geven? Mijn n00b alert gaat af

Hoi @dirkstreepjejan, begrijpelijk! Deze opties bepalen alleen welke logins de browserextensie voorstelt bij het automatisch invullen. Zolang die suggesties kloppen, hoef je niets aan te passen. Er wordt voor de volgende release gewerkt aan aanpassingen in hoe deze instellingen worden getoond, dus een uitgebreide uitleg van het huidige gedrag is binnenkort mogelijk alweer achterhaald. De nieuwe instelingen interface zal e.e.a. in elk geval wel duidelijker gaan maken 🙂

dirkstreepjejan schreef op maandag 19 oktober 2026 @ 21:56:
[...]

Mail van al mijn gelinkte SL accounts worden doorgestuurd naar mijn soon-to-be obsolete Proton adres. Is dit iets wat AV ook gaat ontwikkelen?: Dat de aliassen de mails doorsturen naar je privé adres, in plaats van in de vault? Nu zie ik missschien straks belangrijke mails over het hoofd?

Of e-mail doorsturen mogelijk wordt binnen AliasVault, staat nog niet vast. Daarover vind je meer context in dit GitHub-issue. We kijken ook naar optionele pushnotificaties voor nieuwe mail op een alias, zodat je op die manier belangrijke berichten makkelijker opmerkt.

--

(PS: De Tweakers-mods hebben me gevraagd om inhoudelijke vragen over AliasVault voortaan vanuit dit aparte bedrijfsaccount te beantwoorden. Ik blijf hier dus gewoon zelf reageren, en mogelijk sluiten later ook andere support collega’s aan. 🙂)