Waarom je nooit je eigen website-wachtwoorden moet delen via WhatsApp

"Stuur je me even het wachtwoord van de website via WhatsApp?" Een zin die dagelijks ergens wordt getypt, tussen bedrijven, met een webbouwer, of intern tussen collega's. Het voelt snel en praktisch, maar het is een van de meest onderschatte beveiligingsrisico's voor een website.

## Waarom dit riskanter is dan het lijkt

Berichten blijven permanent bewaard
Een wachtwoord dat je ooit via WhatsApp hebt gestuurd, staat daar in principe voor altijd, tenzij je actief de hele chat verwijdert bij alle betrokkenen. Verlies je je telefoon, wordt een account gehackt, of krijgt iemand anders toegang tot het gesprek, dan ligt het wachtwoord alsnog op straat, soms jaren later.

Geen controle over wie het uiteindelijk ziet
Een bericht kan doorgestuurd worden, een telefoon kan gedeeld worden binnen een gezin, of een oud toestel wordt zonder juiste wissing doorverkocht. Zodra een wachtwoord eenmaal via een chatbericht is verstuurd, verlies je feitelijk de controle over waar het uiteindelijk terechtkomt.

E-mail heeft vergelijkbare risico's
Hetzelfde geldt voor e-mail: onversleuteld verstuurd, soms jarenlang bewaard in een inbox, en kwetsbaar als een e-mailaccount ooit gehackt wordt.

Eén zwakke schakel is genoeg
Het maakt niet uit hoe goed je eigen beveiliging is als het wachtwoord zelf via een onveilig kanaal is gedeeld. Een aanvaller hoeft dan niet eens je website te hacken, hij hoeft alleen toegang te krijgen tot dat ene WhatsApp-gesprek of die ene mailbox.

## Wat je wel kunt doen

Gebruik een wachtwoordmanager met deelfunctie
Tools zoals een wachtwoordmanager maken het mogelijk om inloggegevens veilig te delen, zonder dat het wachtwoord zelf ooit zichtbaar in een chatbericht of mail terechtkomt. De ontvanger krijgt toegang, zonder dat het wachtwoord blijvend ergens rondzwerft.

Werk met aparte gebruikersaccounts in plaats van gedeelde wachtwoorden
In plaats van één wachtwoord te delen met een webbouwer of collega, is het veiliger om een eigen inlogaccount voor die persoon aan te maken, met precies de rechten die nodig zijn. Zo kun je toegang later ook eenvoudig weer intrekken, zonder dat je het hoofdwachtwoord hoeft te wijzigen.

Zet twee-factor-authenticatie aan waar mogelijk
Zelfs als een wachtwoord toch ooit uitlekt, biedt een tweede beveiligingslaag (zoals een code via een app) een belangrijke extra horde voor iemand die ongeautoriseerd probeert in te loggen.

## Waarom dit relevant is voor je website

Toegang tot je website-beheeromgeving is precies het soort toegang dat je het minst zou willen delen via een onveilig kanaal. Zoals we eerder schreven over gehackte WordPress-sites, begint een groot deel van de hacks simpelweg met toegang die op de verkeerde manier is verkregen of gedeeld.

## Onze aanpak

Bij AIMI werken we met aparte, beheerde toegang in plaats van het losjes rondsturen van wachtwoorden. Zo blijft duidelijk wie waar toegang toe heeft, en kan die toegang eenvoudig worden aangepast of ingetrokken zonder dat er een wachtwoord door meerdere kanalen heeft gezworven.