2FA-code werkt niet? Waarom een authenticator-code wordt geweigerd, en hoe je het oplost

Hier lopen de meeste mensen tijdens het instellen tegenaan. Een website maakt een nieuw geheim — en een nieuwe QR-code — telkens als de instelpagina voor 2FA opnieuw wordt geladen, opnieuw wordt geopend of opnieuw wordt gestart. Het helpcentrum van Remote beschrijft precies dit: elke eerder gescande QR-code werkt dan niet meer. Je authenticator toont nog steeds codes voor de eerste QR-code, de website verwacht nu codes voor de nieuwe, en niets op het scherm vertelt je dat ze niet meer bij elkaar passen.

Oplossing: begin opnieuw met het instellen van 2FA op de website en blijf op die pagina. Voeg de QR-code toe die nu op het scherm staat — met onze extensie via Account toevoegen → QR-code → “QR scannen van scherm” — en typ de code die verschijnt meteen terug op de website, zonder de pagina opnieuw te laden of te verlaten. Bewaar daarna de back-upcodes die de website aanbiedt.

Hetzelfde gebeurt als je 2FA uit- en weer aanzet, of op “authenticator-app wijzigen” klikt: de oude vermelding in je app werkt niet meer en alleen de nieuwe QR-code telt.

Na een tweede poging om in te stellen staat dezelfde website vaak twee keer in de lijst, met dezelfde naam. Alleen de vermelding van de QR-code die je het laatst hebt toegevoegd werkt — de oudere hoort bij een QR-code die de website al heeft weggegooid. Tijdens het instellen wil de website altijd de code van het account dat je net hebt toegevoegd.

Dezelfde verwarring ontstaat bij twee accounts op één website — bijvoorbeeld een persoonlijk en een zakelijk Google-account. Google raadt bij een onjuiste code zelf aan te controleren of de code voor de juiste dienst en het juiste account is. Kijk naar de naam onder de code, niet alleen naar het logo.

Oplossing: gebruik de nieuwste vermelding. Zodra een code daaruit is geaccepteerd, kun je de oude verwijderen — exporteer eerst een back-up (Instellingen → “Exporteren”), voor het geval je de verkeerde kiest.

Een authenticator toont alleen codes voor de accounts die eraan zijn toegevoegd. Heb je maanden geleden 2FA voor een website aangezet met Google Authenticator, Microsoft Authenticator of een oude telefoon, dan staan de codes daar — een vermelding die je later ergens anders toevoegt, klopt niet, tenzij die van precies dezelfde QR-code is gemaakt.

Oplossing: neem de code uit de app die je bij het instellen hebt gebruikt. Wil je het account overzetten, exporteer het dan uit die app — de export-QR-code van Google Authenticator importeer je rechtstreeks in onze extensie, zie importeren uit Google Authenticator — of log in, open de 2FA-instellingen van de website en stel de authenticator opnieuw in, dit keer met de nieuwe app. Houd de oude app tot een code uit de nieuwe is geaccepteerd. Meer hierover in 2FA overzetten naar een nieuwe telefoon.

Niet elk vakje voor zes cijfers wacht op je authenticator. Veel websites sturen een code per sms of e-mail — bij het inloggen, of om je adres te bevestigen voordat 2FA überhaupt aanstaat — en daar werkt alleen die code. Het helpcentrum van Remote zegt hetzelfde: een code die naar je e-mail is gestuurd, is geen 2FA-code uit een authenticator-app. Staat er op de pagina “we hebben een code gestuurd naar…”, kijk dan in je berichten of inbox, niet in de app.

Sommige inlogpagina’s vragen in plaats daarvan om een back-upcode (ook wel herstelcode genoemd): een van de eenmalige codes die de website je als lijst gaf toen je 2FA instelde. Die staan op het papier of in het bestand waarin je ze hebt bewaard, niet in de authenticator — en het zijn geen geheime sleutels, dus als je er een als account aan een authenticator toevoegt, krijg je codes die geen enkele website accepteert. Kwijt? Bij Google bijvoorbeeld kun je nieuwe back-upcodes ophalen in de instellingen van Verificatie in 2 stappen, zolang je nog bent ingelogd.

Oplossing: lees de tekst boven het vakje. “Authenticator-app”, “verificatie-app” of “code uit je app” betekent de authenticator; al het andere betekent het bericht, de e-mail of de back-uplijst.

De meeste authenticator-codes veranderen elke 30 seconden — de FAQ van Microsoft over zijn eigen app zegt hetzelfde. Een code die je in de laatste paar seconden intypt, kan bij de website aankomen als hij al is veranderd.

Oplossing: is de timer bijna leeg, wacht dan op de volgende code en voer die meteen in. In onze extensie kopieer je een code door erop te klikken, zodat je hem kunt plakken in plaats van typen.

Heb je het account toegevoegd door de geheime sleutel te typen in plaats van de QR-code te scannen, dan geeft één verkeerd teken een andere sleutel. De codes daarvan zien er heel normaal uit en worden gewoon geweigerd.

Oplossing: kopieer de sleutel opnieuw op de instelpagina van de website — dezelfde, niet opnieuw geladen — en plak hem in onze TOTP-codegenerator, die in je browser draait en niets opslaat. Vergelijk de code daarvan met die in je authenticator. Verschillen ze, dan staat de verkeerde sleutel in je authenticator: verwijder die vermelding en voeg hem opnieuw toe door de sleutel te plakken of de QR-code te scannen. Komen ze overeen en weigert de website ze toch, ga dan terug naar de eerste oorzaak.

Een paar diensten gebruiken acht cijfers, SHA256 of een periode van 60 seconden in plaats van de gebruikelijke zes cijfers, SHA1 en 30 seconden. Een QR-code bevat die instellingen; een sleutel die je met de hand intypt niet, dus stel ze in zoals de website aangeeft — zie algoritme, cijfers en periode.

Een code wordt gemaakt uit de geheime sleutel en de huidige tijd, dus een app op een apparaat met een verkeerde klok maakt codes die worden geweigerd. Gebruik je een telefoonapp, zet dan automatische datum en tijd aan in de instellingen van je telefoon. Google Authenticator vertrouwt op de klok van de telefoon zelf — Google heeft de aparte instelling voor tijdcorrectie in versie 7.0 verwijderd.

Met 2FA Authenticator hoef je niets te veranderen: de extensie controleert de tijd zelf aan de hand van meerdere bronnen en past de codes aan als de klok van je computer afwijkt. Alleen als dat niet lukt, toont hij een waarschuwing over de tijd — volg dan de stappen in de FAQ.

Log op een andere manier in — met een back-upcode, een sms of een code per e-mail, wat de website ook aanbiedt — open daarna de 2FA-instellingen, zet de authenticator uit en weer aan en voeg de nieuwe QR-code toe. Onze handleidingen laten zien waar die instelling zit bij 108 diensten.

Verwijder geen vermeldingen en installeer je authenticator niet opnieuw in de hoop een code te repareren: de codes veranderen daar niet door, en je kunt de enige vermelding kwijtraken die wel werkt. Als je onze extensie verwijdert, verdwijnen ook de automatische kopieën — heb je al een account verwijderd, zet het dan terug uit een automatische kopie.