Een Google verificatiecode is een tijdelijke reeks, meestal van zes cijfers, die wordt gegenereerd of verzonden bij het inloggen op een Google-account dat is beveiligd met twee-staps verificatie. Deze code vormt de tweede laag van authenticatie, na het wachtwoord. Er zijn verschillende methoden om deze te ontvangen of te genereren, en de keuze van de methode heeft directe invloed op het beveiligingsniveau van het account.
TOTP, SMS of Google-prompt: de mechanismen achter de verificatiecode
Niet alle verificatiecodes zijn gelijk. Het begrijpen van hun technische werking maakt het mogelijk om de meest geschikte methode voor gebruik te kiezen.
Het TOTP (tijdgebaseerd eenmalig wachtwoord) protocol is gebaseerd op een geheime sleutel die wordt gedeeld tussen de Google-server en het apparaat tijdens de initiële configuratie. De Google Authenticator-app genereert een zes-cijferige code die elke dertig seconden verandert, zonder internetverbinding of mobiel netwerk.
De code via SMS of spraakoproep gaat via het telefoonnetwerk. Deze methode blijft functioneel, maar is kwetsbaar voor onderschepping (SIM-swapping, oproepdoorverlegging). In Google Workspace kunnen beheerders nu de methoden voor de tweede stap beperken en codes ontvangen via SMS of oproep uitsluiten, die als minder betrouwbaar worden beschouwd, ten gunste van beveiligingssleutels of authenticatie-apps.
De procedure om een Google verificatiecode te verkrijgen hangt dus af van de configuratie van de validatiemethode op het account. De Google-prompt (pushmelding op een vertrouwd apparaat) is een derde, soepelere manier die simpelweg vraagt om de verbinding goed te keuren vanaf de gekoppelde telefoon.
Twee-staps verificatie instellen op een Google-account
Twee-staps verificatie wordt geactiveerd vanuit de beveiligingsinstellingen van het Google-account. Het proces volgt een geleidelijke logica die het wachtwoord koppelt aan een tweede authenticatiemethode.
Stappen voor configuratie in de beveiligingsinstellingen
Ga naar uw Google-account en vervolgens naar de sectie Beveiliging. Selecteer “Twee-staps verificatie” en volg de instructies. Google biedt eerst de prompt op de telefoon aan, en laat daarna andere methoden toevoegen.
- Installeer Google Authenticator (versie 6.0 of hoger op Android, 4.0 of hoger op iOS) en scan de QR-code die door Google wordt weergegeven om het account te koppelen
- Voeg een hersteltelefoonnummer toe om codes via SMS als back-up te ontvangen
- Genereer een set van noodcodes (tien eenmalige codes) die op een veilige plaats moeten worden bewaard, zoals men een paspoort zou bewaren
Eenmaal geactiveerd, zal elke nieuwe inlogpoging vanaf een niet-herkend apparaat eerst om het wachtwoord en vervolgens om de verificatiecode vragen.
Synchronisatie van Authenticator-codes tussen apparaten
Google Authenticator maakt het nu mogelijk om de verificatiecodes op meerdere apparaten te synchroniseren door in te loggen op uw Google-account in de app. De codes zijn versleuteld tijdens verzending en in rust. Het verliezen van een telefoon betekent niet langer het verliezen van toegang tot al uw accounts, mits deze synchronisatie vooraf is geactiveerd.
Google noodcodes: het vaak verwaarloosde vangnet
Noodcodes zijn een set van tien eenmalige codes, te downloaden vanaf de beveiligingspagina van het account. Elke code werkt maar één keer. Wanneer een nieuwe set wordt gegenereerd, wordt de oude automatisch gedeactiveerd.
Deze codes zijn nuttig wanneer de telefoon verloren, gestolen of ontoegankelijk is. Zonder hen wordt het herstellen van het account aanzienlijk complexer en kan het een langdurig identiteitsverificatieproces vereisen.
Een aandachtspunt: Google zal nooit om een noodcode vragen buiten een inlogprocedure die door de gebruiker is geïnitieerd. Elke aanvraag per e-mail of bericht om een noodcode te verstrekken is een poging tot phishing.
Passkeys en de toekomst van de Google verificatiecode
Vanaf 2023-2024 generaliseert Google de passkeys (toegangssleutels gebaseerd op de FIDO/WebAuthn standaard). Deze technologie verandert de logica van de klassieke verificatiecode. Met een passkey vindt de validatie direct plaats op het vertrouwde apparaat via biometrie (vingerafdruk, gezichtsherkenning) of de vergrendelcode van het apparaat.
Concreet, op een account dat is geconfigureerd met een passkey, zijn er geen SMS-codes of TOTP-codes meer nodig bij elke inlog. De tweede stap is geïntegreerd in de ontgrendelingshandeling. Voor Google Workspace-accounts kunnen beheerders het gebruik van passkeys of fysieke beveiligingssleutels verplicht stellen en een verplichte aanmeldperiode instellen.
Passkeys maken noodcodes niet overbodig. In het geval dat alle vertrouwde apparaten verloren gaan, blijven de noodcodes de laatste redmiddel om toegang tot het account te herstellen. Het bewaren van een geprinte set op een veilige plaats blijft een relevante voorzorgsmaatregel, ongeacht de gekozen primaire authenticatiemethode.
De Google verificatiecode coëxisteert dus met nieuwere technologieën. Accounts die nog niet zijn gemigreerd naar passkeys blijven vertrouwen op Authenticator, SMS of prompts. De technische aanbeveling blijft duidelijk: geef de voorkeur aan de authenticatie-app of passkeys, houd de noodcodes up-to-date en deactiveer SMS als de primaire methode zodra er een robuustere alternatieve methode beschikbaar is.
