Welke digitale vaardigheden helpen je om webapps veilig te gebruiken

Een afspraak maken, een document uploaden of een rekening bekijken kan rechtstreeks in je browser. Een webapp lijkt soms op een gewone website, maar laat je ook handelingen uitvoeren binnen een account. Je hoeft daarvoor geen software te installeren. Die toegankelijkheid vraagt wel om vaardigheden die verder gaan dan weten waar de inlogknop staat.

Je moet kunnen beoordelen waar je gegevens invult, welke toestemming je geeft en hoe je toegang tot je account bewaart. Een herkenbaar logo of een verzorgde vormgeving geeft daar op zichzelf geen uitsluitsel over. De controles die je vóór het inloggen uitvoert, zijn minstens zo relevant als het wachtwoord dat je daarna gebruikt.

Je controleert het adres voordat je gegevens deelt

Een link in een bericht kan naar een andere bestemming leiden dan de tekst suggereert. Open daarom de adresbalk en lees de domeinnaam. Een extra woord, verwisselde letter of onverwachte uitgang verdient nader onderzoek. Een zoekresultaat is evenmin automatisch de officiële website van een organisatie.

Webwinkels, boekingssites en het Nederlandse online casino hebben accountfuncties waarmee gebruikers gegevens delen en toegang beheren. De controle begint telkens bij de identiteit van de aanbieder en de bestemming van je gegevens. Het artikel over online transacties beschrijft de bredere context van digitaal betalen. Een verzorgde accountpagina vervangt de controle van het webadres niet.

De beveiligde verbinding herken je aan HTTPS. Die versleutelt het verkeer tussen je browser en de website. HTTPS vertelt echter niet of de eigenaar eerlijk handelt of de inhoud klopt. Een nagebouwde website kan eveneens een beveiligde verbinding gebruiken. Je controleert dus zowel de verbinding als de bestemming.

Elk account krijgt een eigen wachtwoord

Een wachtwoord dat je op verschillende websites gebruikt, maakt die accounts van elkaar afhankelijk. Een gelekte combinatie van gebruikersnaam en wachtwoord kan ook elders worden geprobeerd. Een afzonderlijk wachtwoord per dienst beperkt die afhankelijkheid.

Een wachtwoordmanager kan wachtwoorden maken en bewaren. Je hoeft dan niet voor iedere website zelf een nieuwe combinatie te verzinnen. De toegang tot de wachtwoordmanager verdient extra bescherming. Je bewaart ook de herstelgegevens op een plek die bereikbaar blijft wanneer je telefoon zoekraakt.

Je mailaccount verdient bijzondere aandacht. Berichten om andere wachtwoorden opnieuw in te stellen komen daar vaak binnen. Iemand die toegang heeft tot je mailbox, kan daardoor mogelijk ook andere accounts overnemen. Begin bij de beveiliging van die mailbox wanneer je je accounts gaat nalopen.

Je begrijpt wat een tweede inlogcontrole doet

Tweestapsverificatie voegt een controle toe aan het inloggen, bijvoorbeeld met een authenticatorapp. Een buitgemaakt wachtwoord is daardoor niet zonder meer voldoende om toegang te krijgen. De uitleg over tweestapsverificatie van Veiliginternetten.nl beschrijft hoe deze extra controle werkt.

Die controle werkt alleen wanneer je de bevestiging bewust uitvoert. Een onverwacht verzoek om een login goed te keuren, vraagt om onderzoek. Je wijst het verzoek af en opent de betreffende dienst zelf. Een helpdeskmedewerker heeft jouw tijdelijke inlogcode niet nodig om een algemeen probleem te bespreken.

Herstelcodes horen buiten je gewone mailbox of telefoon beschikbaar te zijn. Je kunt ze bijvoorbeeld veilig op papier bewaren. Je controleert daarbij welke herstelopties de dienst werkelijk aanbiedt, zodat je bij een defect toestel geen toegang verliest.

Toestemmingen passen bij de functie

Een webapp kan toegang vragen tot je camera, locatie of meldingen. Die verzoeken verdienen een afzonderlijke afweging. Een videogesprek heeft een camera nodig. Een pagina waarop je alleen openingstijden leest, heeft daar meestal geen reden voor.

Je kunt toestemming weigeren en nagaan of de gewenste functie blijft werken. De browserinstellingen laten zien welke websites eerder toegang kregen. Een toestemming van maanden geleden hoeft niet te blijven gelden omdat je haar ooit hebt gegeven. Je trekt toegang in zodra de bijbehorende functie niet meer nodig is.

Een privacyverklaring moet duidelijk maken welke organisatie gegevens verwerkt en voor welke doeleinden. Je zoekt vooral naar informatie die aansluit bij jouw handeling. Een document uploaden roept andere vragen op dan toestemming geven voor een nieuwsbrief.

Je herkent verzoeken die je onder druk zetten

Een bericht over een geblokkeerd account kan je aansporen direct te handelen. Die haast maakt zorgvuldig lezen lastiger. Je kunt het bericht sluiten en de website openen via een zelf ingevoerd adres of een eerder opgeslagen favoriet. Een werkelijke melding is vaak ook binnen het account terug te vinden.

Deze signalen verdienen extra controle

• Een afzender vraagt je om een wachtwoord of herstelcode door te sturen.
• Een bericht dreigt met onmiddellijke afsluiting zonder controleerbare toelichting.
• Een document vraagt je om software te installeren voordat je het kunt lezen.
• Een link leidt naar een domeinnaam die afwijkt van de genoemde organisatie.

Je hoeft een verdacht bericht niet te beantwoorden om duidelijkheid te krijgen. Contactgegevens op de officiële website geven je een andere route naar de organisatie.

Je sluit sessies af en houdt je browser bij

Een gesloten tabblad is niet hetzelfde als uitloggen. Een sessie kan actief blijven, vooral op een gedeelde computer. Je gebruikt daarom de uitlogfunctie en bewaart daar geen wachtwoorden. Diensten met een lijst van actieve sessies laten je soms ook toegang op andere apparaten beëindigen.

Updates van je browser en besturingssysteem verhelpen onder meer beveiligingsproblemen. Je installeert ze via de ingebouwde updatefunctie. Een onbekende webpagina die beweert dat je browser dringend een losse installatie nodig heeft, is geen geschikte plek om die update te halen.

Een upload verdient eveneens een korte controle. Je opent het juiste bestand en verwijdert pagina’s die de ontvanger niet nodig heeft. Je controleert of een gedeelde link alleen voor de bedoelde personen bereikbaar is. Een openbare link naar een document kan ook na het sluiten van je account blijven werken. De instelling voor delen en de instelling voor inloggen zijn twee verschillende zaken. Je beoordeelt ze daarom afzonderlijk.

Je weet wat je doet bij een verdachte login

Een onverwachte inlogmelding vraagt om gerichte actie. Je opent de dienst zelf, wijzigt het wachtwoord en beëindigt onbekende sessies wanneer die mogelijkheid aanwezig is. Je controleert ook het hersteladres en de gekoppelde telefoonnummers. Een aanvaller kan die hebben aangepast om later opnieuw toegang te krijgen. Je bewaart de melding en neemt via het officiële contactkanaal contact op met de aanbieder wanneer er handelingen in je account staan die je niet herkent.