Authenticator-app zonder telefoon: zo krijg je 2FA-codes op je computer

Je logt bijna overal in via Chrome. Een browserextensie houdt de codes waar je ze typt. 2FA Authenticator zet de code in het veld met een rechtsklik of Ctrl+Shift+Y en scant een QR-code voor het instellen direct van de pagina; op een nieuwe installatie kan een limiet gelden voor het aantal gratis accounts, en Pro heft die op. Authenticator (authenticator.cc) is gratis, heeft veel meer gebruikers en ondersteunt meer soorten codes, al is de versie in de Chrome Web Store voor het laatst bijgewerkt in augustus 2024.

Je wilt een app buiten de browser. Proton Authenticator en Ente Auth zijn gratis en open source, draaien op Windows, macOS en Linux en ook op telefoons, en hebben alleen een account nodig als je wilt synchroniseren — een telefoon kan dus later een tweede kopie worden, of nooit. KeePassXC bewaart codes in zijn versleutelde databasebestand op je computer en kan ze via zijn extensie in de browser invullen.

Je betaalt al voor een wachtwoordmanager. Bitwarden (Premium, $19.80/jaar) en 1Password maken codes en vullen ze direct na het wachtwoord in, en beide documenteren hoe je een QR-code voor het instellen van het scherm leest. Het nadeel staat hieronder, in het deel over codes en wachtwoorden op één plek.

Je wilt de geheimen helemaal van de computer af. Een YubiKey met de app Yubico Authenticator bewaart het geheim van elk account in het secure element van de sleutel, waar het er volgens Yubico niet uit te halen is. De app draait op Windows, macOS en Linux, scant de QR-code voor het instellen van het scherm en toont de codes zolang de sleutel is aangesloten. Een YubiKey 5 bewaart tot 64 accounts met firmware 5.7 en nieuwer, 32 met oudere firmware. De sleutel koop je zelf — en omdat de geheimen er niet af te kopiëren zijn, raadt Yubico aan een tweede sleutel als back-up te registreren.

Een computer kan een authenticator-app vervangen. Een telefoon kan hij niet vervangen als de dienst zelf de telefoon tot tweede factor heeft gemaakt:

Codes alleen per sms of e-mail. Sommige diensten bieden helemaal geen optie voor een authenticator-app: de code komt per sms of e-mail, en er valt voor een authenticator niets te maken. Apple Account is een bekend voorbeeld — volgens de help van Apple wordt de code getoond op je vertrouwde Apple-apparaten of naar je vertrouwde telefoonnummer gestuurd, en een authenticator-app van een andere partij wordt niet beschreven.

De eigen app van de dienst. Sommige banken bevestigen het inloggen in hun eigen app in plaats van met standaardcodes; Truist gebruikt bijvoorbeeld zijn mobiele app Truist Authenticator. Vereist je werkgever goedkeuring in een bepaalde app, dan is dat ook zijn keuze, en codes uit een andere app worden niet geaccepteerd.

Instellen alleen in de telefoonapp. Volgens de help van TikTok zet je tweestapsverificatie met een authenticator-app alleen aan in de mobiele TikTok-app, en vraagt TikTok om een tweede methode, zoals een telefoonnummer of e-mailadres. Is het eenmaal ingesteld, dan kunnen de codes overal staan — onze TikTok-handleiding laat zien hoe je de QR-code van de telefoon in de extensie krijgt.

Codes die al op een telefoon staan. Staan je accounts nu in Google Authenticator, dan heb je de telefoon één keer nodig om ze te exporteren — zie importeren uit Google Authenticator — of je stelt elk account opnieuw in vanaf de computer.

Tweestapsverificatie hoort twee verschillende dingen te vereisen. Als de computer die je wachtwoorden onthoudt ook je codes maakt, kan iemand die die computer overneemt — malware die browsergegevens kopieert, of iemand aan je onvergrendelde bureau — beide in handen krijgen. De handleiding van KeePassXC zegt het zonder omwegen: TOTP-codes in dezelfde database als het wachtwoord bewaren, maakt de voordelen van tweestapsverificatie ongedaan, en hij raadt een aparte database aan die je alleen ontgrendelt als dat nodig is.

Wat codes op een computer wel tegenhouden, is waar de meeste accountovernames uit bestaan: een wachtwoord dat bij een andere site is gelekt, is geraden of op een phishingpagina is ingetypt. De aanvaller heeft het wachtwoord, maar niet je computer, dus ook geen code. Een telefoon beschermt vooral extra tegen iemand die je computer al in handen heeft.

1. Vergrendel de codes. Zet wachtwoordbeveiliging aan in 2FA Authenticator: de codes worden dan versleuteld op je apparaat, back-ups inbegrepen, en zijn zonder je wachtwoord niet te lezen. Desktopapps en wachtwoordmanagers hebben hun eigen vergrendeling — gebruik die.

2. Houd codes en wachtwoorden gescheiden. Codes in een aparte app of extensie, en niet in de kluis met de wachtwoorden, betekent dat één gestolen hoofdwachtwoord niet genoeg is.

3. Bewaar een back-up buiten de computer. 2FA Authenticator maakt één keer per dag automatisch een kopie en bewaart de laatste zeven, maar die kopieën staan in de extensie en verdwijnen mee als je hem verwijdert. Exporteer een met wachtwoord beveiligd bestand naar een usb-stick of een andere plek die je zelf beheert — zo maak je een back-up.

4. Bewaar de herstelcodes van elke site. Daarmee kom je weer binnen als de computer kwijt of kapot is, helemaal zonder authenticator. Druk ze af of bewaar ze buiten deze computer.

5. Voeg later een telefoon toe als je er een krijgt. Scan je tijdens het instellen dezelfde QR-code ook met een telefoonapp, dan heb je een tweede apparaat met dezelfde codes — een back-up, geen vereiste.

1. Installeer een authenticator op de computer — die van ons is 2FA Authenticator.

2. Log in op de site en open de beveiligingsinstellingen. Zet tweestapsverificatie aan (soms “verificatie in twee stappen” genoemd), en als de site eerst sms aanbiedt, kies dan authenticator-app. Onze handleidingen laten zien waar dat zit bij 108 diensten.

3. De site toont een QR-code. In 2FA Authenticator: Account toevoegen → QR-code → “QR scannen van scherm”. Lukt het scannen niet, gebruik dan de link “Kun je de QR-code niet scannen?” of “Handmatig invoeren” van de site en plak de tekstsleutel — waar je de geheime sleutel vindt.

4. Typ de zescijferige code uit de extensie terug op de site. Zolang je dat niet hebt gedaan, staat 2FA niet aan.

5. Bewaar de herstelcodes die de site daarna toont, en maak vervolgens een back-up van de authenticator zelf.

Weigert de site de code, dan heeft hij meestal een nieuwe QR-code gemaakt nadat je de eerste had gescand — begin opnieuw met instellen en scan de code die nu op het scherm staat. Meer oorzaken in waarom codes niet werken.