De instelsleutel blijft, de getoonde cijfers veranderen

Twee kanten gebruiken dezelfde instelling

Wanneer je tweestapsverificatie bij een dienst activeert, krijg je soms een QR-code of handmatige sleutel. De dienst en je authenticator bewaren een overeenkomstige configuratie en kunnen daardoor dezelfde tijdelijke code berekenen.

Vaak is het tijdvak dertig seconden. De zichtbare code verloopt, maar de onderliggende sleutel kan geldig blijven zolang je hem niet via de dienst wijzigt of intrekt.

Waarom het tabblad een afteller toont

De afteller helpt je voorkomen dat je een code invoert die halverwege een aanmeldpoging verandert. Als je computerklok verkeerd staat, kan zelfs de juiste sleutel een code voor een ander tijdvak opleveren.

Zet de tijdinstelling van je toestel op automatisch en controleer eerst of je de goede accountregel hebt geselecteerd voordat je een authenticator verwijdert.

Een foto van de QR-code is geen onschuldige notitie

De instel-QR kan het geheim bevatten waarmee alle volgende codes worden berekend. Een screenshot in een gedeelde map of supportticket is daarom riskanter dan een kopie van één bijna verlopen code.

Een tijdelijke code blijft gevoelig voor phishing: vul hem alleen in op de legitieme website die je werkelijk wilt gebruiken. Waar mogelijk kunnen phishingbestendige toegangssleutels een andere keuze zijn.

Heb ik internet nodig om de TOTP-code te berekenen?

Het lokale rekenwerk vereist geen voortdurende verbinding wanneer de sleutel en klok beschikbaar zijn. De website waar je inlogt moet de code nog wel kunnen controleren.