Een aanmeld-QR kan de sleutel voor toekomstige codes bevatten

Herken de twee veelvoorkomende soorten

De QR voor het instellen van TOTP kan een otpauth://-adres met geheime sleutel bevatten. Een export-QR uit Google Authenticator kan meerdere bestaande accountconfiguraties vertegenwoordigen.

Beide soorten zijn anders dan de tijdelijke zescijferige code die je op dat moment ziet. De waarde van de afbeelding kan blijven bestaan tot de tweede factor bij de oorspronkelijke dienst wordt vernieuwd.

Vermijd onnodige tussenstappen

Scan een export bij voorkeur lokaal op een toestel dat je vertrouwt, na expliciete cameratoestemming of met een lokaal bestand. Een onbekende online QR-lezer kan een extra partij toegang tot de configuratie geven.

Controleer in de importvoorbeeldlijst welke accounts en waarschuwingen worden getoond. Een naam in een QR-bestand is niet automatisch een bewijs dat de sleutel van de genoemde dienst afkomstig is.

Wat als een screenshot toch is gedeeld?

Een foto verwijderen beperkt mogelijk verdere verspreiding maar maakt reeds gekopieerde sleutels niet ongeldig. Open daarom de beveiligingsinstellingen van de betrokken dienst en vervang de tweede factor waar nodig.

Controleer ook of een afbeelding in gedeelde fotoalbums, chatgeschiedenissen of automatische back-ups staat. Gebruik bij hulpvragen alleen speciaal gemaakte test-QR's.

Mag ik een QR van mijn account in een supportticket zetten?

Nee, deel geen echte instel- of export-QR. Beschrijf de fout met fictieve gegevens of een niet-werkende demonstratie.