Een ex-leverancier staat nog als herstelcontact

Een herstelcontact is de route waarlangs een account terug in jouw handen komt als je het wachtwoord kwijt bent. Staat daar nog het e-mailadres of nummer van een ex-leverancier, dan kan die persoon in het slechtste geval herstelcodes ontvangen, of kun jij zelf niet meer herstellen als dat adres verdwijnt. Het gaat dus om twee tegengestelde risico's: iemand anders heeft toegang, of niemand heeft nog toegang.

Daarom werk je nooit met de volgorde verwijderen en daarna vervangen. De regel is: toevoegen, testen, pas dan verwijderen. Elke stap hieronder volgt die regel.

Maak een lijst van alle accounts waar je bedrijf van afhangt: e-mail, Google-account, domeinregistratie, hosting, advertentieaccounts, sociale pagina's en betaalomgevingen. Noteer per account vier gegevens: wie is de eigenaar of beheerder, welk herstelmailadres staat ingesteld, welk telefoonnummer staat ingesteld, en welke tweede stap is actief.

Weet je niet wie eigenaar is, ga dan niet gokken. Meld je aan met een toegang die je al hebt en bekijk de beveiligingsgegevens van het account. Waar die gegevens precies staan, verschilt per dienst en kan wijzigen. De beheerder van het account controleert dat in de eigen instellingen of de hulppagina van de dienst.

Voor Google-accounts beschrijft de hulppagina over tweestapsverificatie aanzetten de basis: je voegt een extra beveiligingslaag toe voor als je wachtwoord wordt gestolen. Volgens die pagina kan het tot 7 dagen duren voordat Google een nieuw telefoonnummer voor tweestapsverificatie vertrouwt. Een vertrouwde toegangssleutel of beveiligingssleutel kan dat versnellen. Ook staat erin dat Google een verdacht nieuw nummer kan uitzetten en je 30 dagen geeft om te bevestigen dat jij het hebt toegevoegd.

Praktisch betekent dit dat je het nieuwe nummer en het nieuwe herstelmailadres ruim voor je het oude weghaalt toevoegt. Voor een account via werk of school kunnen de stappen verschillen; de beheerder van die organisatie bepaalt dan wat mogelijk is.

Een toegevoegd kanaal is nog geen werkend kanaal. Test het.

1. Open een privévenster of een ander toestel waar je niet is ingelogd.
2. Start de herstelprocedure van het account en kies het nieuwe kanaal.
3. Controleer of de code echt binnenkomt op een adres of nummer dat je bedrijf beheert.
4. Zorg vóór de test dat back-upopties klaarliggen, bijvoorbeeld opgeslagen back-upcodes op een veilige plek. Gebruik geen Google Voice-nummer als herstelnummer: de bron waarschuwt dat je jezelf kunt buitensluiten.
5. Verwijder daarna het oude mailadres en nummer uit het account. Vertrouw je de ex-leverancier niet meer, verwijder dan het oude contact meteen zodra een werkende toegang bevestigd is, en wacht niet op een volledige inventaris van alle andere accounts.

De hulppagina over problemen met tweestapsverificatie somt op hoe je kunt terugkeren naar je account als je telefoon of sleutel weg is: een andere aangemelde telefoon, een extra nummer, een opgeslagen back-upcode, een beveiligingssleutel of een toegangssleutel op een ander toestel. Zorg dat minstens één van die opties bij jouw bedrijf ligt en niet bij de ex-leverancier. Heb je geen andere tweede stap meer of ben je je wachtwoord vergeten, dan kan het volgens dezelfde pagina 3 tot 5 werkdagen duren voor Google nagaat dat jij het bent. Dat is een indicatie voor die situatie, geen garantie.

Een domein volgt een andere logica dan een Google-account. Hier telt wie als registrant en beheerder bij de registrar staat, en welk e-mailadres daaraan hangt. Zoek de registrar op via een publieke opzoeking van je domein of via je facturen. Controleer vervolgens in het registrar-account zelf wie toegang heeft. Publieke gegevens kunnen afgeschermd of verouderd zijn en bewijzen dus geen eigendom.

Voor juridische kwesties over eigendom of overdracht geef ik geen advies; die leg je voor aan een gespecialiseerde adviseur.

Fictief voorbeeld, enkel invoer en controles: een kmo vindt in het beheerdersaccount van haar Google-account een herstelmailadres van een voormalige freelancer en een nummer dat niemand herkent. Zij begint met de inventaris, voegt een gedeeld bedrijfsmailadres en het nummer van de zaakvoerder toe, en test beide via een herstelpoging op een ander toestel. Verwachte controles: komt de code binnen, staat er nog een werkende tweede stap, liggen back-upcodes op een bekende plek, en is minstens één tweede persoon op de hoogte van de procedure. Pas dan verwijdert zij de oude gegevens.

Plan daarna een herhaling telkens als een leverancier vertrekt. Wil je ook zien welke publieke signalen je website uitstraalt, bijvoorbeeld welk contactadres zichtbaar is? Dat kan via Marketing Scan. Een publieke scan ziet geen accountinstellingen en vervangt je interne controle niet.