Zet tweestapsverificatie eerst aan op je zakelijke e-mail, daarna op je account bij de partij waar je domeinnaam staat, dan op je Google-bedrijfsprofiel en pas daarna op de rest. Die volgorde is geen willekeur: bijna elk ander account stuurt zijn herstelmail naar jouw mailbox, dus daar begint de sleutelbos. Tweestapsverificatie betekent simpelweg dat inloggen twee dingen vraagt: je wachtwoord en een code die alleen jij op dat moment hebt.
Waarom je e-mail als eerste aan de beurt is
Stel dat iemand je wachtwoord achterhaalt, via een datalek bij een webshop waar je ooit hetzelfde wachtwoord gebruikte. Met toegang tot je mailbox hoeft die persoon de rest niet te kraken. Hij klikt bij je domeinnaamprovider op wachtwoord vergeten, vangt de herstelmail op en zit binnen. Hetzelfde geldt voor je Google-account, je boekhoudpakket en je socialmedia-kanalen.
Dat is de reden dat beveiligers altijd bij de mailbox beginnen. Niet omdat er zulke spannende dingen in staan, maar omdat het de voordeur is waar alle andere sleutels achter liggen.
Wie bij je mailbox kan, kan bij alles wat daaraan hangt.
Gebruik je een zakelijk adres op je eigen domein (jij@jouwbedrijf.nl), dan loopt dat meestal via Google Workspace, Microsoft 365 of je hostingpartij. In alle drie staat de instelling onder je accountinstellingen, vaak onder het kopje beveiliging of inloggen.
De volgorde die er voor jouw bedrijf toe doet
1. Je zakelijke e-mail. Zie hierboven. Doe deze eerst, ook als je verder niets doet.
2. De account waar je domeinnaam staat. Je domeinnaam is je bedrijfsnaam online. Raak je die kwijt, dan is je website weg, je e-mail weg en je vindbaarheid weg. Terughalen kan, maar het is een traject met formulieren en geduld.
3. Je Google-account, en daarmee je bedrijfsprofiel. Dat profiel is voor veel lokale ondernemers de drukste etalage die ze hebben. Een gekaapt profiel kan omgezet worden naar een ander telefoonnummer of een andere website, en je klanten merken daar niets van.
4. De rest, op rustig tempo. Facebook, Instagram en LinkedIn, je boekhouding, je betaalomgeving, je webwinkelbeheer. Belangrijk, maar herstelbaar zolang de eerste drie goed staan.
Zo zet je het aan zonder jezelf buiten te sluiten
De grootste angst is terecht: straks kom ik er zelf niet meer in. Drie dingen voorkomen dat.
Kies een authenticator-app boven sms. Apps als Google Authenticator, Microsoft Authenticator of de ingebouwde wachtwoordkluis van je telefoon tonen elke keer een nieuwe code. Sms werkt ook en is nog altijd veel beter dan niets, maar een telefoonnummer is makkelijker over te nemen dan een app op jouw toestel.
Bewaar je herstelcodes. Bij het aanzetten krijg je een rijtje eenmalige codes. Die zijn bedoeld voor de dag dat je telefoon in het water valt. Print ze en leg ze bij je bedrijfspapieren, of zet ze in je wachtwoordkluis. Niet los in een notitie op dezelfde telefoon.
Zorg dat je niet de enige bent. Voeg bij je domeinnaam en je Google-profiel een tweede beheerder toe die je vertrouwt, bijvoorbeeld je partner of je compagnon. Een account dat aan precies één telefoon hangt, is een risico op zichzelf.
Wat het kost aan ongemak
In de praktijk vraagt zo'n account om een code als je op een nieuw apparaat inlogt, of af en toe op je vertrouwde laptop. Je kunt per apparaat aangeven dat het onthouden mag worden. Het is dus niet zo dat je voortaan bij elke keer mail checken je telefoon erbij moet pakken.
Wat je nog meer regelt terwijl je toch bezig bent
Loop meteen even na wie er eigenlijk toegang heeft. Bij veel ondernemers staat er nog een oud-medewerker, een vorige websitebouwer of een neef die ooit heeft meegeholpen in de beheerderslijst. Haal weg wat er niet meer hoort.
Controleer ook het herstel-e-mailadres en het herstelnummer bij je belangrijkste accounts. Daar staat verrassend vaak nog een adres bij een oude provider, of het nummer van een telefoon die je niet meer hebt. Dan heb je tweestapsverificatie keurig aanstaan en kom je er alsnog niet in als het misgaat.
Laat je je website bouwen en onderhouden, dan is het goed om af te spreken wie welke sleutel heeft. Bij joepa staan domeinnaam en website op naam van de ondernemer zelf, zodat je nooit afhankelijk bent van iemand anders om bij je eigen spullen te komen.
Samengevat
- Begin bij je zakelijke e-mail: daar komen alle herstelmails binnen.
- Dan je domeinnaam, dan je Google-bedrijfsprofiel, dan de rest.
- Een authenticator-app is veiliger dan een code per sms.
- Bewaar je herstelcodes buiten je telefoon en zorg voor een tweede beheerder.
- Ruim meteen oude beheerders en verouderde herstelgegevens op.