Google Authenticator

Analyse door Mobxio

Een inlogcode zoeken in je e-mail of wachten op een sms is precies het soort klein oponthoud dat je pas echt irritant vindt wanneer je haast hebt. Google Authenticator pakt dat moment anders aan: de app toont tijdelijke verificatiecodes op je telefoon, zodat je ze bij het inloggen kunt overnemen. In mijn ogen zit de waarde vooral in die voorspelbaarheid. Je hoeft niet telkens op een bericht te wachten, maar moet wel vooraf tweestapsverificatie instellen bij de accounts die je wilt beveiligen.

Wanneer een codegenerator beter past dan sms

De praktische winst merk je vooral wanneer sms-verificatie steeds net op het verkeerde moment hapert: je zit in een kelder, reist met een simkaart die weinig bereik heeft of gebruikt een tablet zonder mobiele verbinding. In zulke situaties kan een code die al in je authenticator staat de login eenvoudiger maken. Dat is geen reden om elk account blind om te zetten; het is een reden om te kijken welke methode je in je echte dagelijkse omstandigheden het betrouwbaarst kunt gebruiken.

Een codegenerator is ook anders dan een melding waarop je alleen maar op ‘goedkeuren’ hoeft te tikken. Je ziet de code, zoekt de juiste accountvermelding en voert hem zelf in. Dat kost een paar handelingen, maar geeft je tegelijk een duidelijk controlemoment: je ziet voor welk account je een tweede factor gebruikt en deelt niet automatisch een goedkeuring uit na een onverwachte melding. Bij diensten die een passkey of een andere sterke inlogmethode aanbieden, kan die optie nog eenvoudiger zijn; Authenticator is vooral zinvol waar een code de passende keuze is.

Van terugkerende inloghindernis naar vaste routine

Ik kijk bij deze app vooral naar één praktische vraag: voorkomt hij dat een beveiligde login vastloopt terwijl ik op een sms wacht? In dit gedeelte staat die terugkerende onderbreking centraal, maar ook het verschil tussen een code klaar hebben en zonder nadenken kunnen inloggen. Daarna wordt duidelijk waarom een zorgvuldige eerste koppeling belangrijker is dan zo snel mogelijk al je accounts toevoegen.

Wat de app oplost — en wat niet

Als je tweestapsverificatie inschakelt, vraagt een dienst naast je wachtwoord om een tweede bewijs dat jij het bent. Google Authenticator is een eenvoudige tool van Google LLC voor het genereren van zulke codes. Dat maakt het inloggen niet volledig automatisch: je opent de app, leest de code af en voert die in bij de betreffende dienst. De winst is dat je niet hoeft te wachten tot een sms of e-mail aankomt.

Die aanpak is vooral handig als je regelmatig wisselt tussen accounts, apparaten of plekken met matige ontvangst. De codes worden op je telefoon gegenereerd, waardoor je voor het bekijken ervan niet eerst een bericht hoeft te ontvangen. Wel moet de website of app waarop je inlogt deze vorm van verificatie ondersteunen en moet je de koppeling daar eerst activeren. De Authenticator-app kan die beveiligingsinstelling niet namens al je diensten inschakelen.

Ik zou de app dus niet zien als een wachtwoordmanager of als een complete beveiligingsoplossing. Hij vervangt je wachtwoord niet en voorkomt ook niet dat iemand je gegevens afhandig probeert te maken. Zijn rol is smaller, maar nuttig: een extra controle toevoegen aan accounts die je belangrijk genoeg vindt om beter te beschermen.

De eerste koppeling zorgvuldig doen

De nuttigste eerste stap is niet zomaar accounts toevoegen, maar één account kiezen dat je geregeld gebruikt en waarvan je herstelopties begrijpt. Zet bij die dienst tweestapsverificatie aan en volg de aangeboden koppeling met Authenticator. Controleer daarna meteen of je de code kunt invoeren en of je nog toegang hebt tot de herstelmethode van de dienst. Zo ontdek je een probleem terwijl je nog bent ingelogd, in plaats van tijdens een dringende login.

Een praktische nuance: de code hoort bij het account dat je koppelt, niet bij het apparaat waarop je toevallig bent ingelogd. Geef de vermeldingen daarom een herkenbare naam wanneer je meerdere codes bewaart. Als je een werkaccount en een privéaccount door elkaar gebruikt, voorkomt een duidelijke aanduiding dat je bij het inloggen steeds de verkeerde code probeert. Dat is een klein beetje onderhoud dat later tijd kan besparen.

Ook is het verstandig om herstelcodes of andere door de dienst aangeboden terugvalopties op een veilige plek te bewaren. Een authenticator is pas echt handig als je ook hebt nagedacht over wat er gebeurt wanneer je telefoon kwijtraakt of niet beschikbaar is. De herstelprocedure verschilt per dienst; vertrouw er daarom niet op dat één app automatisch toegang tot ieder account kan teruggeven.

Een overstap testen zonder jezelf buiten te sluiten

Bij de eerste activatie zou ik niet meteen de oude verificatiemethode verwijderen als de dienst die tijdelijk naast de nieuwe optie kan laten bestaan. Test eerst een nieuwe login, liefst op een moment waarop je niet haastig iets moet afronden. Controleer of de code werkt en zoek daarna opnieuw waar de herstelopties staan. Pas wanneer je weet hoe je weer binnenkomt, kun je beslissen of je de eerdere methode nog wilt bewaren. De precieze instellingen verschillen per account, dus volg daarbij de aanwijzingen van de dienst zelf.

Dit is extra nuttig wanneer je een account niet dagelijks gebruikt. Een codevermelding die maandenlang onaangeroerd blijft, kan bij een plotselinge login vragen oproepen: hoort deze naam bij mijn persoonlijke profiel of bij een oud werkaccount? Een korte controle na het koppelen voorkomt dat je later op basis van giswerk probeert in te loggen. Ik zou zulke vermeldingen bovendien meteen begrijpelijk benoemen, zonder gevoelige informatie in de naam te zetten die je liever niet op een zichtbaar scherm hebt.

Waar de tijdwinst in het dagelijks gebruik zit

Stel dat je onderweg een account moet openen en op dat moment geen sms ontvangt. Met een gekoppelde code kun je die doorgaans direct in de app bekijken en invoeren, zonder eerst je berichten te vernieuwen of een bezorging af te wachten. Dat maakt de routine niet spectaculair, maar wel korter en minder afhankelijk van bereik. Voor iemand die geregeld op reis is of vaak inlogt op diensten vanaf verschillende locaties, is dat een merkbaar voordeel.

Een ander bruikbaar scenario is het controleren van een werkaccount op een gedeeld of tijdelijk gebruikt apparaat. Je logt daar zelf in, houdt je tweede factor bij de hand op je eigen telefoon en voert de code in zonder je persoonlijke mailbox op dat apparaat te openen. Dat is geen garantie dat een gedeelde computer veilig is, maar het voorkomt wel dat je voor de verificatie een extra persoonlijk account op die computer hoeft te gebruiken.

Bij dagelijks gebruik helpt een vaste volgorde: eerst de dienst openen, dan de bijbehorende vermelding in Authenticator zoeken, en pas daarna de code invoeren. Codes zijn tijdelijk, dus een code die bijna verloopt kan onhandig zijn als je nog moet zoeken. Ik wacht liever op het volgende vernieuwde moment dan dat ik een code haastig overtyp. Dat kost hooguit een korte pauze en voorkomt onnodige mislukte pogingen.

Wanneer je toestel of accounts veranderen

Een nieuwe telefoon is een moment om niet alleen je apps, maar ook je toegang tot belangrijke accounts bewust over te zetten. Controleer vóór je oude toestel wegdoet welke herstelopties de gekoppelde diensten bieden en volg de stappen van die diensten voor het instellen van de tweede factor op je nieuwe toestel. Ga er niet van uit dat het installeren van dezelfde app vanzelf alle koppelingen herstelt. De codes zijn onderdeel van een accountbeveiliging, geen gewone lijst die je zonder nadenken kunt vervangen.

Bij een account dat je met meerdere apparaten gebruikt, denk dan ook na over wie die apparaten kan ontgrendelen en waar je herstelgegevens bewaart. Een reserveoptie is alleen nuttig als je die later kunt terugvinden, maar hij moet niet naast je telefoon liggen op een plek waar iemand met toegang tot het toestel ook meteen bij je accounts kan. Ik vind het verstandig om herstelinformatie apart en zorgvuldig te bewaren, en af en toe te controleren of je nog weet hoe je die gebruikt.

Minder wachten, maar nog steeds een handmatige stap

Vergeleken met sms-verificatie haalt Authenticator de afhankelijkheid van een ontvangen bericht weg. Vergeleken met een ingebouwde goedkeuringsmelding blijft het proces wel handmatig: je moet de app openen en de code overnemen. Welke methode prettiger is, hangt af van hoe je inlogt. Wie zo min mogelijk tussen apps wil wisselen, kan een goedkeuringsmelding of een andere verificatiemethode fijner vinden als de betreffende dienst die aanbiedt.

De eenvoud is tegelijk een kracht en een beperking. Er is weinig om aan te wennen: je kijkt naar de juiste accountvermelding en gebruikt de actuele code. Maar bij veel gekoppelde accounts wordt het belangrijker om de lijst overzichtelijk te houden. De app neemt het denkwerk van het herkennen van je account niet volledig weg. Een logische naamgeving is daarom geen cosmetische keuze, maar onderdeel van een vlotte routine.

Ik vind het ook belangrijk om de beveiligingswinst niet te overschatten. Een tweede factor maakt het lastiger om met alleen een gestolen wachtwoord binnen te komen, maar iemand die je telefoon én toegang tot je account weet te bemachtigen, kan nog steeds problemen veroorzaken. Houd je toestel dus zelf onder controle en behandel codes als tijdelijke toegangssleutels: deel ze niet met iemand die je erom vraagt, ook niet wanneer die persoon zich voordoet als ondersteuning.

Voor wie de eenvoudige aanpak echt werkt

Deze app past goed bij mensen die geregeld op websites of apps inloggen die authenticatorcodes ondersteunen, en die hun telefoon meestal bij de hand hebben. Ook voor wie vaak zonder betrouwbaar mobiel bereik werkt, kan het prettig zijn dat het ophalen van een code niet afhangt van een sms. De werkwijze is overzichtelijk zolang je een beperkt aantal vermeldingen hebt en bereid bent bij een login zelf de code over te nemen.

Ik zou juist verder kijken als je een volledig handsfree ervaring wilt, je tweede factor vaak op een ander apparaat nodig hebt of het risico van een verloren telefoon niet goed kunt opvangen. Dat geldt ook als je belangrijkste diensten een andere methode aanbieden die voor jouw situatie eenvoudiger én goed herstelbaar is. Een authenticatorcode is geen universeel antwoord: de dienst moet hem ondersteunen en jij moet de herstelroute begrijpen. Kies dus niet op basis van de naam van de app, maar op basis van de inlogopties bij je eigen accounts.

Past bij een praktische, niet ingewikkelde aanpak

Google Authenticator is gratis en valt onder de tools. De app heeft een gemiddelde beoordeling van 3,7 uit ongeveer 684 duizend beoordelingen en is meer dan 100 miljoen keer geïnstalleerd. Voor mij zeggen die aantallen vooral dat dit een breed gebruikte, bekende keuze is; ze vertellen niet of de werkwijze bij jouw accounts past. De app is geschikt voor PEGI 3 en verscheen op 21 maart 2012.

De naam kan doen vermoeden dat je hem alleen voor Google-accounts nodig hebt, maar de bruikbaarheid hangt af van de diensten die je eraan koppelt. Kijk daarom bij je belangrijke accounts naar de beschikbare opties voor tweestapsverificatie. Als een dienst een authenticatorcode ondersteunt, kan de app een eenvoudige manier zijn om die tweede stap bij de hand te houden. Als een dienst een andere methode vereist, lost deze app dat niet op.

Voor wie vooral sms gebruikt en daar nooit vertraging mee ervaart, kan overstappen minder aantrekkelijk zijn dan het klinkt. Je voegt immers een aparte handeling toe en moet een plan hebben voor telefoonverlies. Andersom is de app juist interessant als wachten op berichten je regelmatig ophoudt, of als je verificatie liever niet aan mobiele ontvangst laat hangen. De beste keuze is niet per se dezelfde voor elk account: gebruik waar mogelijk de methode die je betrouwbaar kunt herstellen én consequent zult gebruiken.

Mijn oordeel: nuttig zodra je de herstelkant meeneemt

Ik zou Google Authenticator aanraden aan iemand die meerdere belangrijke accounts wil beveiligen en bereid is bij het inloggen één korte handmatige stap te doen. De tijdwinst komt niet doordat iedere login verdwijnt, maar doordat je niet op een codebericht hoeft te wachten. Een herkenbare accountnaamgeving en vooraf geregelde herstelopties maken het verschil tussen een handige routine en een lastig probleem wanneer je telefoon niet beschikbaar is.

Wie een volledig automatische ervaring zoekt, vaak codes op een ander apparaat nodig heeft of geen extra verantwoordelijkheid rond toestelverlies wil, kan beter eerst de alternatieven bekijken die de betreffende diensten zelf aanbieden. Voor de rest is dit een nuchtere keuze: weinig om te leren, een duidelijke taak en een concrete verbetering voor terugkerende verificatiemomenten. Ik zou beginnen met één account, de toegang testen en pas daarna de rest toevoegen. Zo merk je snel of de extra controle jouw inloggen daadwerkelijk soepeler maakt.

Download Google Authenticator in een andere taal