Een gedeelde beheerderslogin vervangen door eigen accounts

Maak een lijst van elk systeem waar de gedeelde login werkt: website-beheer, e-mailmarketing, advertentieaccounts, social media, domeinbeheer, bedrijfsprofiel. Noteer per systeem:

• wie nu feitelijk inlogt en waarvoor;
• aan welk e-mailadres of telefoonnummer de login gekoppeld is;
• of er al een tweede verificatiestap actief is;
• welke automatische koppelingen op die login draaien.

Het vierde punt wordt vaak vergeten: een koppeling die onder de gedeelde login is aangemaakt kan stoppen als je die login verwijdert. Controleer dit per platform bij de beheerder.

Geef elke persoon alleen wat die voor het werk nodig heeft. De beveiligingsgids van MDN noemt het beheersen van toegang tot broncode, het veilig omgaan met geheimen en het beheersen van afhankelijkheden als onderdeel van goede operationele beveiliging voor webontwikkelaars. Als eigen vertaling naar een kmo: niet iedereen hoeft eigenaar te zijn.

Maak een eenvoudige rolkaart:

• Eigenaar: maximaal twee personen, beheert gebruikers en betaalgegevens;
• Beheerder: voert instellingen door;
• Bewerker: publiceert inhoud;
• Lezer: ziet rapporten.

De exacte rolnamen verschillen per platform. Verzin ze dus niet vooraf, maar koppel jouw kaart aan de rollen die het platform werkelijk toont.

Een persoonlijk account is alleen beter als het zelf goed beveiligd is. MDN raadt aan wachtwoorden niet alleen te gebruiken, met toegangssleutels als sterkste optie en tijdgebonden eenmalige codes als betere keuze dan een gewoon wachtwoord. De uitleg van Google over tweestapsverificatie vermeldt dat een toegevoegd telefoonnummer tot 7 dagen nodig kan hebben voordat het wordt vertrouwd, en dat accounts via werk of school andere stappen kunnen vereisen waarvoor je de beheerder nodig hebt.

Plan dus vooraf:

1. Laat elke persoon tweestapsverificatie instellen vóór de omschakeling.
2. Leg per persoon minstens twee herstelmogelijkheden vast, bijvoorbeeld een tweede methode en een tweede contactpersoon.
3. Zet herstelgegevens nooit op de gedeelde mailbox die je net afschaft.

Dit is de stap die lockouts voorkomt. Laat de oude login actief tot de test geslaagd is. Voer per systeem uit:

1. Laat de nieuwe gebruiker inloggen op een schoon apparaat of browserprofiel.
2. Laat die persoon precies de taak uitvoeren waarvoor de rol bedoeld is, bijvoorbeeld een concept opslaan of een rapport openen.
3. Controleer dat een taak buiten de rol netjes wordt geweigerd.
4. Test het herstelpad: laat een tweede persoon bevestigen dat de herstelmethode werkt, zonder het account echt te blokkeren.
5. Pas nadat alle systemen zijn getest en alle koppelingen zijn overgezet het oude wachtwoord aan en sluit actieve sessies. Controleer daarna of koppelingen en geplande taken nog werken; dit bewijst niet dat niemand nog toegang heeft via een andere route, zoals een apart opgeslagen sessie of een gedeelde mailbox.

MDN adviseert websitebouwers om de levensduur van cookies voor ingelogde gebruikers zo kort mogelijk te houden. Dat gaat over je eigen website, niet over diensten van derden. Of een platform de sessieduur laat instellen, controleer je in de instellingen of bij de beheerder.

Fictief voorbeeld, enkel invoer en controles: vier personen delen één login voor zes systemen. Invoer: één eigenaar, twee bewerkers, één lezer, elk met tweestapsverificatie en twee herstelmogelijkheden. Verwachte controles: per systeem zijn vier persoonlijke inlogs getest, rolgrenzen werken, herstelpad bevestigd, koppelingen blijven functioneren en pas daarna is het oude wachtwoord gewijzigd.

Leg het resultaat vast in een kort overzicht: systeem, persoon, rol, datum van de test, herstelmethode en wie het overzicht onderhoudt. Herhaal de lijst bij elke indiensttreding of uitdiensttreding.

Houd rekening met grenzen. De bronnen beschrijven algemene aanbevelingen en één accountdienst. Instellingen, rechten en schermnamen kunnen wijzigen en verschillen per platform, dus bevestig ze bij de beheerder van elk systeem. Deze procedure garandeert geen volledige beveiliging en is geen juridisch advies over bijvoorbeeld gegevensbescherming.

Wil je zien welke publieke signalen je website uitstraalt, bekijk ze dan via Marketing Scan. Interne toegang en accountinstellingen kan een publieke scan niet beoordelen.