Hoe veilig is mijn
wachtwoord?

Hoe maak je een sterk wachtwoord?

Kies bij voorkeur een lang, uniek wachtwoord dat willekeurig is gegenereerd door een wachtwoordmanager. Onthoud je liever zelf een wachtwoord? Een langere wachtwoordzin met meerdere willekeurig gekozen woorden kan helpen. Gebruik geen bekende citaten, persoonlijke gegevens of voorspelbare vervangingen zoals ‘a’ door ‘@’.

• Gebruik voor elke website en app een ander wachtwoord.
• Laat een wachtwoordmanager unieke wachtwoorden maken en bewaren.
• Schakel waar mogelijk tweestapsverificatie (2FA/MFA) in.
• Verander een wachtwoord direct als er aanwijzingen zijn dat het is gelekt.

Moderne richtlijnen leggen nadruk op lengte en blokkeren van veelgebruikte of gelekte wachtwoorden. Verplichte mixen van hoofdletters, cijfers en symbolen geven op zichzelf geen betrouwbare zekerheid.

Waarom moet elk wachtwoord uniek zijn?

Criminelen proberen gelekte combinaties van e-mailadressen en wachtwoorden automatisch opnieuw uit bij andere diensten. Dit heet credential stuffing. Als je hetzelfde wachtwoord hergebruikt, kan een lek bij één dienst gevolgen hebben voor meerdere accounts. Een wachtwoordmanager maakt unieke wachtwoorden eenvoudiger.

Als een account belangrijk is, beveilig ook het bijbehorende e-mailadres met een uniek wachtwoord en extra verificatie. Je e-mailaccount wordt vaak gebruikt om andere accounts te herstellen.

Hoe werkt wachtwoorden kraken?

Bij een online aanval probeert iemand in te loggen. Een goede dienst beperkt pogingen, detecteert misbruik en kan extra verificatie vragen. Daardoor is het aantal pogingen vaak sterk begrensd. Bij een offline aanval heeft de aanvaller een database met wachtwoordhashes in handen en kan die lokaal gokken. De snelheid hangt dan sterk af van de gebruikte hashmethode en hardware.

Deze tester gebruikt een eenvoudige, lokale indicatie op basis van lengte, karaktervariatie en veelvoorkomende patronen. De scenario’s rekenen met vaste, illustratieve snelheden: online 10 pogingen per uur; een snelle offline hash 10 miljard pogingen per seconde; een trage, goed geconfigureerde wachtwoordhash 100 pogingen per seconde. Dat zijn aannames om het verschil uit te leggen, geen actuele meting van een specifieke aanvaller. De werkelijke uitkomst kan vele ordes van grootte verschillen. Een aanvaller begint bovendien vaak met woordenlijsten, gelekte wachtwoorden en persoonlijke informatie. De weergegeven tijd is daarom geen voorspelling en meet geen phishing, malware, hergebruik of social engineering.

De score is een voorlichtingsindicatie, geen certificering of garantie. Gebruik een lange, unieke combinatie en schakel extra verificatie in waar dat kan.

Wat gebeurt er met mijn wachtwoord?

De wachtwoordanalyse en wachtwoordgeneratie draaien in JavaScript op je eigen apparaat. De site verstuurt het volledige wachtwoord niet naar onze server. De website slaat het wachtwoord niet op in cookies, lokale opslag of een account. Sluit of vernieuw de pagina om je invoer uit het geheugen van de pagina te verwijderen.

De optionele controle op datalekken werkt via de gratis Pwned Passwords-range-API van Have I Been Pwned. Je browser maakt lokaal een SHA-1-hash van het ingevoerde wachtwoord en stuurt alleen de eerste vijf tekens van die hash naar hun dienst. De browser vergelijkt het antwoord lokaal. Dit beschermt de volledige hash en het wachtwoord, maar is geen garantie dat niemand het gedeeltelijke hashverzoek kan observeren. Gebruik deze functie alleen als je dat goed vindt. Deze check toont of een wachtwoord in die verzameling voorkomt; een uitslag zonder treffer bewijst niet dat het wachtwoord nooit is gelekt.

De sterkte-indicatie gebruikt bewust een transparante vereenvoudigde heuristiek en geen woordenboekmodel zoals zxcvbn. Vooral patronen en samengestelde woorden kunnen daardoor verkeerd worden ingeschat. Behandel de score als een aanwijzing, niet als technisch bewijs.

Gebaseerd op richtlijnen van NIST SP 800-63B, OWASP Authentication Cheat Sheet en de HIBP Pwned Passwords API-documentatie.