Wie heeft de wachtwoorden van je website? Bitwarden instellen voor je zaak

Je kluis wordt op je eigen toestel versleuteld met je hoofdwachtwoord. Bitwarden bewaart alleen die versleutelde versie en kent je hoofdwachtwoord niet. De broncode staat publiek online en het bedrijf publiceert de rapporten van externe beveiligingsaudits.

De wachtwoorden die Chrome of je iPhone onthoudt, zijn prima voor één persoon op één soort toestel. Ze schieten tekort zodra je logins met collega's wilt delen, of als de ene een iPhone heeft en de andere Windows. 1Password is ook een goede keuze, maar heeft geen gratis versie.

Voor een zaak met drie mensen kost Teams dus 144 dollar per jaar, of 12 dollar per maand voor het hele team.

1. 1 Kies de Europese server. Bij het aanmaken van je account kies je de regio waar je gegevens staan. Kies EU. Bitwarden kan een persoonlijk account achteraf niet naar een andere regio verhuizen, dus doe dit meteen goed.
2. 2 Kies een hoofdwachtwoord dat je onthoudt. Neem vier of vijf willekeurige woorden met spaties of streepjes ertussen, zoals de generator van Bitwarden ze maakt. Gebruik het nergens anders. Vergeet je het, dan kan Bitwarden je kluis niet openen, ook niet op jouw vraag.
3. 3 Zet tweestapsverificatie aan. Gebruik een authenticator-app op je gsm, zoals Google Authenticator, Microsoft Authenticator of Bitwarden Authenticator. Schrijf de herstelcode op papier en leg die bij je belangrijke documenten.
4. 4 Installeer de browserextensie en de app. Op je computer de extensie voor Chrome, Edge, Firefox of Safari, op je gsm de app. Zet in de app automatisch invullen aan.
5. 5 Verhuis je bestaande wachtwoorden. Exporteer ze uit je browser als CSV-bestand, importeer dat bestand in Bitwarden en verwijder het daarna meteen. Zet het opslaan van wachtwoorden in je browser uit, anders heb je twee plekken die uit elkaar groeien.
6. 6 Maak een organisatie aan. Kies het gratis plan als je met twee bent, of Teams. Maak collecties per onderwerp, bijvoorbeeld "Website en domein" en "Sociale media", en nodig je mensen uit per e-mail.

• Domeinnaam. Het account bij je registrar, zoals Combell, One.com of Cloudflare. Hier hangt ook je e-mail aan.
• Hosting en website. Het hostingpaneel en de beheeromgeving van je site.
• Google-account van de zaak. Vaak zitten Search Console, Analytics en je bedrijfsprofiel daaronder.
• Betalingen. Mollie, Stripe of je kassasysteem.
• Kleinere zaken. De wifi, het alarmsysteem, de printer, het leveranciersportaal.

Google Bedrijfsprofiel, Meta Business en de meeste boekhoudpakketten laten je meerdere gebruikers toevoegen, elk met een eigen login. Doe dat waar het kan. Vertrekt iemand, dan haal je die ene persoon eruit en blijft de rest werken.

Laat je een website maken, vraag dan dat domein, hosting en code op jouw naam staan en dat je de logins krijgt. In website-offertes vergelijken staat dat als een van de vragen voor je tekent.

Met Send stel je zelf in hoe lang de link werkt (maximaal 31 dagen), hoe vaak hij geopend mag worden en of er een extra wachtwoord op moet. De ontvanger heeft geen Bitwarden-account nodig. Tekst versturen is gratis. Voor bestanden heb je Premium of Teams nodig.

Moet een ontwikkelaar of boekhouder tijdelijk ergens bij, geef dan liefst een eigen gebruiker in die dienst. Kan dat niet, stuur het wachtwoord met Send en verander het als de opdracht klaar is.

Staan wachtwoord en code op dezelfde plek, dan heeft wie je kluis opent beide stappen. Daarom zijn er twee scholen: alles in Bitwarden voor het gemak, of de codes apart in een authenticator-app op je gsm. Voor een kleine zaak is elk van die twee een grote stap vooruit tegenover sms-codes op de gsm van één persoon.

Eén regel geldt in beide gevallen: de code waarmee je in Bitwarden zelf inlogt, staat in een aparte app op je gsm, met de herstelcode op papier.

1. 1 Verwijder de persoon uit de Bitwarden-organisatie.
2. 2 Verwijder de eigen gebruiker in diensten die dat toelaten, zoals Google, Meta en je boekhoudpakket.
3. 3 Verander de wachtwoorden in de collecties waar die persoon toegang toe had. Begin bij domein, hosting en betalingen.
4. 4 Met Teams kun je in het logboek nakijken welke items die persoon de laatste tijd bekeken heeft.

Denk ook aan jezelf. Met noodtoegang (Premium en Teams) duid je een vertrouwenspersoon aan die na een wachttijd die jij kiest bij je kluis kan, als jou iets overkomt. Zonder die regeling kan niemand nog bij de logins van je zaak.

Bitwarden heeft daar een apart product voor, Secrets Manager. Een ontwikkelaar haalt de sleutels op het moment dat de app start (met het commando bws run) in plaats van ze in een los .env-bestand op elke laptop te bewaren. Het gratis plan dekt twee gebruikers en drie projecten.

Je hoeft dat als zaakvoerder niet zelf in te stellen. Vraag je ontwikkelaar wel waar de sleutels van jouw app staan en wie erbij kan. In App gebouwd met Lovable? Dit moet je nakijken lees je wat er misgaat als zo'n sleutel in de verkeerde code belandt.

Wil je dat iemand meekijkt wie welke toegang heeft tot je website en de accounts errond? Laat het me weten. Dat bekijk ik ook bij website onderhoud.