Google-passkey instellen met een reserveoptie

Open op je eigen telefoon of computer de inlogopties van je Google-account, kies ‘Toegangssleutel maken’ en ontgrendel het apparaat zoals de Google-handleiding voor toegangssleutels beschrijft. Dit werkt op computers met Windows 10, macOS Ventura of ChromeOS 109 en hoger, op telefoons met Android 9 of iOS 16 en hoger, en met een fysieke sleutel die FIDO2 ondersteunt.

Regel daarnaast een aanmeldmethode die je ook zonder dit apparaat kunt gebruiken. Een passkey maakt inloggen zonder wachtwoord mogelijk, maar verwijdert je bestaande wachtwoord en herstelmethoden niet. Een afzonderlijk bewaarde beveiligingssleutel of een tweede bereikbaar apparaat geeft je een route naar je account als je telefoon verdwijnt.

Controleer apparaat en herstelmogelijkheden

Een passkey wordt ontgrendeld met de schermvergrendeling van het apparaat, bijvoorbeeld een pincode, vingerafdruk of gezichtsscan. Zet die vergrendeling aan en werk je besturingssysteem en browser bij. Op een iPhone, iPad of Mac moet iCloud-sleutelhanger zijn ingeschakeld; wil je met de passkey op je telefoon inloggen op een andere computer, zet dan ook bluetooth aan.

Controleer vóór het aanmaken of je herstelmailadres bereikbaar is zonder de telefoon die je als primaire sleutel gaat gebruiken. Kijk ook of je hersteltelefoonnummer nog klopt en of je je bestaande wachtwoord en eventuele extra verificatiemethode kunt gebruiken. Een hersteladres in een mailbox waar je uitsluitend via dezelfde verloren telefoon bij kunt, biedt in die situatie weinig houvast.

Een passkey hoort bij de website waarvoor hij is gemaakt en geeft niet zomaar een bruikbare aanmelding af op een nagemaakte inlogpagina. Het NCSC over passkeys beschrijft ze daarom als phishingbestendig, maar merkt ook op dat ze nog niet overal worden ondersteund. Houd je andere aanmeldmethoden bruikbaar voor situaties waarin een passkey niet beschikbaar is.

Maak de passkey op je telefoon of computer

Ga op een apparaat dat je persoonlijk bezit naar de inlogopties voor toegangssleutels van je Google-account. Meld je aan of bevestig je identiteit als daarom wordt gevraagd.
Kies ‘Toegangssleutel maken’ en kies nogmaals voor aanmaken op het apparaat dat je gebruikt. Ontgrendel dat apparaat wanneer de melding verschijnt.
Bekijk daarna de lijst met toegangssleutels in dezelfde accountinstellingen. Controleer bij een volgende aanmelding of je het apparaat met de gebruikelijke schermvergrendeling kunt gebruiken.

Wil je een sleutel op nog een persoonlijk apparaat, herhaal dan het aanmaken op dat apparaat. Let op de opslaglocatie die het besturingssysteem of de wachtwoordbeheerder aanbiedt: een sleutel kan worden gesynchroniseerd en daardoor op meer apparaten beschikbaar komen. De lijst in je Google-account laat zien welke sleutels geregistreerd zijn, maar vertelt je niet vanzelf hoe je ze op een vervangend apparaat terugkrijgt.

Een pas aangemaakte sleutel verschijnt soms nog niet als inlogoptie. Gebruik in dat geval ‘Andere manier proberen’ om terug te keren naar je eerdere aanmeldkeuzes. Controleer ook of de schermvergrendeling aanstaat en of de instelling ‘Wachtwoord overslaan als dat mogelijk is’ past bij de manier waarop je wilt inloggen.

Voeg een fysieke reserve toe

Een fysieke FIDO2-beveiligingssleutel is een reserve die je apart van je telefoon kunt bewaren. Kies in de toegangssleutelinstellingen ‘Toegangssleutel maken’ en daarna ‘Ander apparaat gebruiken’. Plaats de beveiligingssleutel en volg de melding om de pincode in te voeren of, als het model die heeft, de vingerafdruksensor te gebruiken.

Controleer of de sleutel in je Google-account verschijnt en probeer ermee in te loggen voordat je hem opbergt. Bewaar hem op een andere plek dan je telefoon: samen in één tas vormen ze geen bruikbare reserve als die tas verdwijnt. Een tweede telefoon kan eveneens helpen bij verlies van het eerste toestel, zolang je dat tweede apparaat zelfstandig kunt ontgrendelen en gebruiken.

Je kunt ook op een computer inloggen met de passkey van je telefoon zonder daar een nieuwe sleutel aan te maken. Kies op de inlogpagina ‘Andere manier proberen’ en vervolgens ‘Je toegangssleutel gebruiken’, scan de QR-code met je telefoon en bevestig de aanmelding daarop. Zorg dat bluetooth aanstaat; controleer op een geleende computer na afloop ook dat je Google-sessie is afgemeld.

Kies bewust waar je sleutel wordt gesynchroniseerd

Synchronisatie kan een toestelwissel eenvoudiger maken. De documentatie over Android en Chrome beschrijft hoe Google Wachtwoordmanager passkeys opslaat en tussen ondersteunde omgevingen synchroniseert; op Apple-apparaten kan iCloud-sleutelhanger de opslag verzorgen. Welke sleutel op je nieuwe apparaat beschikbaar is, hangt dus af van de beheerder waarin je hem hebt opgeslagen en de toegang tot die beheerder.

Bij Google Wachtwoordmanager moet je op een nieuwe omgeving bij je Google-account kunnen inloggen en de gesynchroniseerde sleutel ontsleutelen met de schermvergrendeling van je Android-apparaat of een pincode voor Google Wachtwoordmanager. Vertrouw daarom bij verlies van je enige telefoon niet uitsluitend op de verwachting dat de sleutel na synchronisatie vanzelf op een nieuw toestel verschijnt. Een apart geregistreerde FIDO2-sleutel biedt een aanmeldroute terwijl je de toegang tot je wachtwoordbeheerder herstelt.

Wie van telefoonplatform of browser verandert, kan vooraf nagaan welke beheerder de passkey bewaart en of die op het nieuwe apparaat beschikbaar is. Dat voorkomt ook afhankelijkheid van één leverancier voor zowel de sleutel als de weg terug naar het account. Verwijder een oude, nog werkende aanmeldmethode pas als je de vervangende route daadwerkelijk kunt gebruiken.

Verwijder een sleutel na verlies of gebruik op een gedeeld apparaat

Raak je een apparaat kwijt, meld je dan met je reserveoptie aan op een apparaat dat je nog bezit. Ga in je Google-account naar ‘Beveiliging en inloggen’, open onder ‘Inloggen bij Google’ de sectie ‘Toegangssleutels en beveiligingssleutels’, selecteer de sleutel van het verloren apparaat en verwijder die. Controleer de apparaatnaam zorgvuldig voordat je een sleutel weghaalt die je nog nodig hebt.

Voor een toegangssleutel die automatisch is geregistreerd op een aangemeld Android-apparaat loopt de route via ‘Je apparaten’ en ‘Alle apparaten beheren’: selecteer het verloren toestel en meld het af. Verschijnen meerdere sessies met dezelfde apparaatnaam, bekijk ze dan allemaal. Als een verwijderde sleutel nog als optie verschijnt, controleer dan ook de wachtwoordbeheerder waarin hij is opgeslagen en verwijder hem daar.

Maak op een gedeelde of geleende computer geen eigen passkey aan. Iemand die dat apparaat kan ontgrendelen, kan anders mogelijk toegang krijgen tot je Google-account, ook nadat je bent uitgelogd. Heb je er toch een gemaakt, verwijder de sleutel uit je account en controleer de wachtwoordbeheerder op die computer. Voor tijdelijk gebruik kun je de aanmelding met de passkey op je eigen telefoon bevestigen.

Houd rekening met Google Workspace-beperkingen

Bij een Google Workspace-account van je werk of school bepaalt ook de beheerder hoe je een passkey mag gebruiken. Je kunt mogelijk wel een sleutel aanmaken, terwijl inloggen met alleen die sleutel niet is toegestaan. De sleutel kan dan dienen als extra stap bij tweestapsverificatie, als hersteloptie of als bevestiging bij bepaalde gevoelige accountacties.

In de instelling ‘Wachtwoord overslaan als dat mogelijk is’ kun je zien of jouw organisatie inloggen met alleen een passkey toestaat. Stem je reserveoptie af op het beleid van je organisatie voordat je een oud apparaat inlevert of vervangt. Zo weet je welke aanmeldroute beschikbaar blijft wanneer je de passkey op dat apparaat niet meer kunt gebruiken.