Je hoofdwachtwoord: maken, bewaren en nooit kwijtraken

Je hoofdwachtwoord is de sleutel van je hele kluis. Bij een goede wachtwoordmanager wordt je kluis op je eigen apparaat versleuteld met dat wachtwoord. De maker van de manager kent het niet en kan het dus ook niet voor je terugzetten. Vergeet je het, dan ben je je wachtwoorden in het ergste geval allemaal kwijt.

Zo maak je een goed hoofdwachtwoord

1. Maak een wachtwoordzin van vijf of zes willekeurige woorden, bijvoorbeeld bureau-zomer-kabel-tulp-oven-plein. Gebruik dit voorbeeld niet zelf.
2. Laat de woorden kiezen door de generator van je wachtwoordmanager (zie Sterke wachtwoorden en wachtwoordzinnen genereren), niet door jezelf. Een zin uit een liedje, een spreekwoord of de namen van je kinderen zijn te raden.
3. Gebruik dit wachtwoord nergens anders. Ook niet een beetje aangepast.

Bitwarden vraagt minstens 12 tekens voor je hoofdwachtwoord. Een wachtwoordzin van vijf of zes woorden is ruim langer, en dat is de bedoeling.

Zo raak je het nooit kwijt

• Schrijf het op papier en bewaar dat thuis op een veilige plek, bijvoorbeeld bij je paspoort. Het NCSC vindt dat prima: het hoofdwachtwoord moet je goed onthouden, noteren en veilig opbergen. Schrijf er niet bij waarvoor het is.
• Oefen het de eerste weken elke dag. Typ het in plaats van te ontgrendelen met je vingerafdruk, tot je het zeker weet.
• Bewaar je herstelcode. Zet je tweestapsaanmelding aan op je Bitwarden-account, dan krijg je een herstelcode. Die bewaar je bij het papier (zie Je Bitwarden-account beveiligen met tweestapsaanmelding).
• Regel noodtoegang voor als jij er niet meer bent of je wachtwoord echt kwijt is (zie Noodtoegang regelen voor als jij wegvalt).
• Maak een back-up van je kluis (zie Een back-up of export van je kluis maken).

Waar je het wel en niet intypt

• Typ je hoofdwachtwoord alleen in de app of browserextensie van je manager zelf, of op de website van je kluis (bij Bitwarden in de EU: vault.bitwarden.eu).
• Vraagt een mail of een website je om je hoofdwachtwoord in te vullen? Doe het niet. Open de app zelf.
• Zet automatisch vergrendelen aan, bijvoorbeeld na een paar minuten niets doen. Dan moet je je kluis opnieuw openen met je hoofdwachtwoord, je pincode of je vingerafdruk.

Let op: Tweestapsaanmelding op je kluis is goed, maar geen reden voor een korter hoofdwachtwoord. Wordt de maker van je manager ooit gehackt en worden versleutelde kluizen gestolen, dan beschermt alleen je hoofdwachtwoord je kluis. Het NCSC zegt het ook: de extra beveiligingslaag rechtvaardigt geen zwak hoofdwachtwoord.

Ben je je hoofdwachtwoord toch vergeten? Lees Hoofdwachtwoord vergeten: wat kan nog wel?.