Iemand die één keer per jaar inlogt op je LMS voor een opfriscursus compliance, onthoudt zijn of haar wachtwoord nooit. Dus klikt die persoon op ‘wachtwoord vergeten’, wacht op een e-mail, verzint een nieuw wachtwoord dat straks weer wordt vergeten of geeft het op en meldt een ticket. Inloggen zonder wachtwoord haalt het wachtwoord helemaal weg. Deze gids legt uit hoe het werkt, waar de beveiligingsafwegingen echt zitten en wanneer het de moeite waard is om er SAML single sign-on bovenop te zetten.
Waarom wachtwoorden falen bij incidentele cursisten
Wachtwoorden werken het best voor systemen die mensen elke dag gebruiken. Een trainingsplatform is vaak het tegenovergestelde: mensen loggen in als ze zijn ingeschreven, als er een herinnering komt of als een certificaat bijna verloopt.
Dat geeft een voorspelbare reeks problemen:
- Vergeten wachtwoorden. Met maanden tussen twee keer inloggen begint menig cursist met een reset, vaak op de dag dat de training af moet zijn.
- Hergebruik. Mensen die nog een wachtwoord niet kunnen onthouden, hergebruiken er een van elders. Wordt die andere site gehackt, dan kan dezelfde combinatie van e-mailadres en wachtwoord bij je LMS worden geprobeerd.
- Noodoplossingen. Strikte wachtwoordregels leiden tot wachtwoorden op gele briefjes of voorspelbare variaties, zoals elke keer een cijfer erbij.
- Belasting voor support. Elke blokkade en reset is een ticket voor je helpdesk of L&D-team.
Er is ook een stillere kwestie. De meeste wachtwoordsystemen laten mensen hun wachtwoord per e-mail resetten, wat betekent dat de mailbox al de baas is over het account. Het wachtwoord is het deel dat mensen vergeten, niet het deel dat hen beschermt. Inloggen zonder wachtwoord maakt dat gewoon expliciet.
Hoe inloggen zonder wachtwoord werkt
Eenmalige codes per e-mail
- De cursist vult zijn of haar e-mailadres in.
- Het LMS genereert een korte willekeurige code en mailt die.
- De cursist typt de code in en het LMS controleert hem.
Een goed ontworpen code werkt één keer, verloopt binnen minuten en werkt niet meer na een paar foute pogingen. Er is niets te onthouden, niets hergebruikt van een andere site en geen wachtwoord dat kan lekken.
Sommige systemen mailen een inloglink in plaats van een code. Codes zijn handig als iemand e-mail op zijn of haar telefoon leest maar op een werkcomputer inlogt, omdat de code gewoon kan worden overgetypt.
Google-, Microsoft- of LinkedIn-accounts
Met knoppen als ‘inloggen met’ draagt het LMS het inloggen over aan de provider met standaardprotocollen zoals OAuth 2.0 en OpenID Connect. De provider stelt vast wie de persoon is, inclusief eventuele tweestapsverificatie op het account, en vertelt het LMS wie het is en wat het geverifieerde e-mailadres is. Het LMS ziet het wachtwoord nooit.
Dat past bij medewerkers die al elke dag inloggen bij Microsoft 365 of Google Workspace: één klik en ze zijn binnen.
De beveiligingsafwegingen, eerlijk
Inloggen zonder wachtwoord is geen toverkunst. Het verplaatst vertrouwen naar een andere plek en die moet je kennen.
| Methode | Wat het account beschermt | Waar je op moet letten |
|---|---|---|
| Wachtwoord | Iets wat de cursist onthoudt | Hergebruik, zwakke keuzes en toch resets per e-mail |
| E-mailcode | Toegang tot de mailbox van de cursist | Een gehackte mailbox betekent een gehackt LMS-account |
| Google, Microsoft of LinkedIn | Het account bij de provider en de tweestapsverificatie daarvan | Persoonlijke accounts vallen buiten je controle |
| SAML single sign-on | Je identiteitsprovider en zijn beleid | Instelwerk en afhankelijkheid van de beschikbaarheid van de provider |
Een paar punten die het waard zijn om te begrijpen:
- Het e-mailaccount is het belangrijkst. Wie de e-mail van een cursist kan lezen, kan als die cursist inloggen. Meerfactorauthenticatie op zakelijke mailboxen doet meer voor de beveiliging van je LMS dan welke wachtwoordregel ook.
- Verlooptijd en beperkte pogingen stoppen raden. Een zescijferige code heeft ongeveer een miljoen mogelijke waarden, dus met drie pogingen heeft een gokker maar een paar op een miljoen kans, en elke code leeft een paar minuten. Beperkingen op hoe vaak codes kunnen worden aangevraagd vertragen het nog verder.
- Codes kunnen nog steeds worden gephisht. Een nep-inlogpagina kan om een code vragen en die meteen gebruiken. Leer mensen codes alleen in te vullen op het echte adres van je LMS en dat niemand, support inbegrepen, er ooit om zal vragen.
- Gedeelde mailboxen verzwakken je dossiers. Als meerdere mensen één inbox kunnen lezen, kan ieder van hen als de eigenaar inloggen. Elke cursist heeft een eigen adres nodig om trainingsdossiers iets te laten betekenen.
- Vertrekkende medewerkers moeten overal worden verwijderd. Een persoonlijk Google- of LinkedIn-account verdwijnt niet als iemand vertrekt. Schors of archiveer iemand in het LMS als onderdeel van het uitdienstproces, niet alleen in je directory.
- E-mailbezorging is onderdeel van het systeem. Codes die in de spam belanden of te laat aankomen, veroorzaken mislukte aanmeldingen. Vraag de IT-afdeling om e-mails van het LMS door je mailfilters te laten.
Plan het herstel voordat je het nodig hebt
Bij inloggen zonder wachtwoord verdwijnen tickets voor ‘wachtwoord vergeten’ grotendeels. De gebruikelijke supportvraag wordt ‘ik heb mijn code niet ontvangen’ en het antwoord is bijna altijd: de spammap controleren, het adres bevestigen en een nieuwe code aanvragen.
Beheerders vragen meer aandacht. Als je op single sign-on vertrouwt en je identiteitsprovider heeft een storing, of een instelling wordt per ongeluk gewijzigd, heb je een weg naar binnen nodig die niet afhangt van wat er kapot is gegaan. Goede werkwijze:
- Houd minstens twee beheerders aan, zodat het verlies van toegang van één persoon de organisatie niet buitensluit.
- Zorg dat beheerders een herstelroute hebben die niet van je identiteitsprovider afhangt.
- Probeer die herstelroute één keer, rustig, voordat je hem op een slechte dag nodig hebt.
- Als je beheerders beperkt tot IP-bereiken van het kantoor, controleer dan hoe beheerders op afstand binnenkomen.
Wanneer je SAML single sign-on toevoegt
E-mailcodes en inloggen met een sociaal account passen bij de meeste cursisten. SAML single sign-on is de moeite waard als:
- Je medewerkers al worden beheerd in Microsoft Entra ID, Okta of Google Workspace.
- Je wilt dat de meerfactor- en toegangsregels van je identiteitsprovider ook voor training gelden.
- Je wilt dat mensen hun toegang verliezen zodra ze in je directory worden uitgeschakeld.
- Beveiligingsbeoordelingen of vragenlijsten van klanten om single sign-on vragen.
Het is niet het hele antwoord als veel cursisten buiten je directory vallen, zoals externen, vrijwilligers, klanten of medewerkers van andere organisaties. Gebruik SSO dan voor je eigen medewerkers en houd e-mailcodes voor alle anderen. We behandelen het instellen uitgebreider in single sign-on voor je LMS.
Zo doet Acadenix het
Acadenix heeft helemaal geen wachtwoorden. Mensen loggen op een van deze manieren in:
- Codes per e-mail. Mensen vullen hun e-mailadres in en krijgen een zescijferige code. Die werkt één keer, vijf minuten lang, en werkt niet meer na drie foute pogingen. Vraag je te vaak om codes, dan word je gevraagd te wachten.
- Google, Microsoft en LinkedIn. Elke methode zet je aan of uit in Settings → Authentication (instellingen → authenticatie) en kan worden beperkt tot bepaalde geverifieerde e-maildomeinen. Voordat een wijziging wordt opgeslagen, zie je hoeveel mensen en sessies erdoor worden geraakt.
- Je eigen inlog-apps. Organisaties kunnen hun eigen Google-, Microsoft- of LinkedIn-app gebruiken. Met je eigen Microsoft-app kunnen alleen accounts in jouw tenant hem gebruiken.
- SAML single sign-on met Gold. Koppel Microsoft Entra ID, Okta of Google Workspace. Cursistaccounts kunnen worden aangemaakt bij de eerste keer inloggen, maar alleen voor adressen op de e-maildomeinen van je organisatie. De eerste keer dat iemand via SAML inlogt, wordt een code gemaild om de koppeling te bevestigen, één keer per persoon. Andere methoden die je hebt ingeschakeld blijven het terugvalpunt. Zie abonnementen en prijzen.
Voor beheerders zijn er extra waarborgen. Beheerders kunnen worden beperkt tot je IP-bereiken zonder dat cursisten daar last van hebben en inactieve sessies worden afgesloten. Als je gebruikelijke manier van inloggen niet meer werkt, kan een beheerder nog steeds binnenkomen met een herstelcode die naar zijn of haar e-mail wordt gestuurd, en die route kan niet worden uitgezet. Het schorsen van iemands account stopt het inloggen meteen en Email History (e-mailgeschiedenis) toont welke e-mails de afgelopen 30 dagen zijn verstuurd of mislukt, zonder de inhoud van berichten of codes te bewaren. Meer details staan op onze beveiligingspagina.
Belangrijkste punten
- Voor incidentele cursisten zorgen wachtwoorden voor resets, hergebruik en tickets zonder veel extra bescherming te bieden.
- E-mailcodes en inloggen met een werkaccount halen het wachtwoord weg; de mailbox of het provideraccount wordt de sleutel, dus bescherm die met meerfactorauthenticatie.
- Codes voor eenmalig gebruik die snel verlopen en weinig pogingen toestaan, maken raden onpraktisch, maar mensen moeten nog steeds weten dat ze er nooit een delen.
- Plan het herstel voor beheerders en het uitdienstproces voordat je methoden inschakelt.
- Voeg SAML single sign-on toe als je medewerkers in een centrale identiteitsprovider leven en houd e-mailcodes voor alle anderen.
Zijn wachtwoorden de grootste bron van supporttickets rond je trainingen? Kijk hoe inloggen zonder wachtwoord werkt met je eigen mensen. Vraag een evaluatie aan en stel de inlogmethoden in die bij je organisatie passen.
