Eén wachtwoord per apparaat, beperkt tot je postbus en niets anders, en per stuk in te trekken zonder dat er iets verandert aan wat je gebruikt. Wat app-wachtwoorden zijn, de twee dingen die de onze bewust niet kunnen, en waarom we niet simpelweg overal een browser verplichten.
Iedereen heeft dit gedaan. Je voegt je werkmail toe aan je telefoon, de telefoon vraagt om je wachtwoord, dus typ je het wachtwoord. Het echte. Datzelfde wachtwoord opent ook je bestanden, je chat, je facturatie-instellingen en het beheerscherm waar je een collega kunt verwijderen.
Nu staat dat wachtwoord op een apparaat dat in je zak woont, in taxi's blijft liggen en software draait die je niet hebt doorgelicht. En het is hetzelfde wachtwoord in de mailapp op je laptop, je tablet, en die oude machine in de hoek die om een of andere reden nog contacten synchroniseert. Raakt één daarvan kwijt, dan is je enige knop het wachtwoord overal veranderen en elk apparaat dat je hebt opnieuw instellen.
App-wachtwoorden zijn de oplossing, en het is geen nieuw idee. Ze zijn het standaardantwoord op een echt structureel probleem, en elke serieuze mailprovider biedt er een versie van. Hier is de onze, en waarom hij deze vorm heeft.
Het is een lang, willekeurig wachtwoord dat wij genereren, gekoppeld aan één postbus, dat je aan één programma geeft in plaats van je echte wachtwoord. Je mailprogramma, je telefoon, je agenda-app, alles wat verbindt met een gebruikersnaam en een wachtwoord in plaats van door een browser te openen.
Je maakt er een aan vanaf je accountpagina in ongeveer tien seconden. Geef hem een label zodat je hem later terugkent, iets als "iPhone" of "Thunderbird thuis". We laten het wachtwoord precies één keer zien, op dat moment, en daarna nooit meer. Daarna toont de lijst alleen je label en wanneer je hem maakte.
Hem één keer laten zien is geen bekakt gedoe van ons. Een wachtwoord dat we je opnieuw zouden kunnen tonen is een wachtwoord dat we bewaren in een vorm die we kunnen lezen, en dat is precies wat we onmogelijk willen maken. Raak je hem kwijt, dan haal je hem niet terug. Je trekt hem in en maakt een nieuwe, wat tien seconden kost.
| Je accountwachtwoord | Een app-wachtwoord | |
|---|---|---|
| Opent | Elk product in de werkomgeving | Eén postbus |
| Hoeveel je er hebt | Eén | Eén per apparaat, zoveel als je wilt |
| Als een apparaat kwijtraakt | Overal veranderen, alles opnieuw instellen | Die ene intrekken, verder verandert er niets |
| Waar je hem typt | Op een aanmeldpagina in een browser | In het programma dat hem nodig heeft |
| Opnieuw te bekijken | Jij hebt hem gekozen, dus je kent hem | Nee, één keer getoond bij aanmaken |
Hier wordt het ontwerp interessant, en dit is het deel dat het begrijpen waard is.
Een app-wachtwoord opent alleen je postbus. Het is geen wachtwoord voor de werkomgeving. Het laat niemand inloggen op de beheeromgeving, je drive, je chat of je wiki. Die zitten allemaal achter de ene voordeur van eenmalig aanmelden, waar app-wachtwoorden niets mee te maken hebben. Het wachtwoord op je telefoon is dus beperkt tot het enige waar de telefoon iets aan heeft.
Die afbakening is het hele argument. Een gestolen laptop is een mailprobleem en niet een bedrijfsprobleem.
Het is één wachtwoord tussen vele, en je kunt er elk afzonderlijk doodmaken. Elk apparaat krijgt zijn eigen. Telefoon kwijt, telefoon intrekken, en al het andere blijft ononderbroken werken, zonder iets opnieuw in te stellen en zonder een bericht aan je collega's dat je het gedeelde wachtwoord weer hebt veranderd. Je echte wachtwoord verandert niet, want het stond nooit op het apparaat.
Vergelijk dat met het alternatief: één wachtwoord overal betekent dat het enige antwoord op elk incident is om het overal te veranderen en een avond te besteden aan het opnieuw intypen op zes apparaten, en dat is precies waarom mensen het niet doen.
Elke gebruiker kan zijn eigen wachtwoorden aanmaken en intrekken, zonder beheerder, zonder supportticket. Er is niets dat een beheerder hoeft goed te keuren en niets dat wij aan onze kant hoeven te doen.
Dat maakt meer uit dan het klinkt. Beveiligingsfuncties waarvoor je een verzoek bij IT moet doen worden één keer gebruikt, tijdens de inrichting, door de persoon die toch al voorzichtig was. Beveiligingsfuncties die je zelf in tien seconden kunt gebruiken worden gebruikt op het moment dat iemand op een zaterdag zijn telefoon verliest, en dat is het moment waar ze voor zijn.
Elke aanmaak en elke intrekking wordt weggeschreven naar het auditlogboek van je werkomgeving, dus er is een vastlegging zonder dat er een poortwachter is.
Vraagt een programma je een wachtwoord in zijn eigen scherm te typen, geef het dan een app-wachtwoord. Dat geldt voor Apple Mail, Thunderbird, de mail- en agenda-apps op telefoons, en alles wat contacten of agenda's synchroniseert over de standaardprotocollen.
Opent een programma een browservenster en vraagt het je daar aan te melden, doe dat dan en maak niets aan. Dat is onze normale aanmelding die zijn werk doet.
De meeste mensen komen uit op twee of drie, één per apparaat, één keer gemaakt en daarna vergeten. Het juiste moment om de lijst weer te bekijken is als je een apparaat vervangt, of als iemand vertrekt. Oude labels die in de lijst blijven staan zijn een kleine, stille rommel die het opruimen waard is.
Omdat we dan zouden liegen over hoe mensen e-mail gebruiken. Een dienst op standaarden betekent dat echte mailprogramma's er verbinding mee maken, en een groot deel van de programma's die vandaag in de wereld geïnstalleerd staan meldt zich aan met een gebruikersnaam en een wachtwoord, punt. Dat weigeren zou betekenen dat de automatische configuratie die migraties pijnloos maakt tegen een muur eindigt voor iedereen die onze webmail niet gebruikt.
Het eerlijke technische antwoord is niet doen alsof die programma's niet bestaan. Het is zorgen dat het wachtwoord dat ze bijhouden smal is, weggooibaar, en van jou om dood te maken.
App-wachtwoorden zitten in elk abonnement, zonder limiet, onder Account zodra je postbus actief is.