Authentication (Auth)

Authentication is het proces waarbij een systeem controleert of een gebruiker werkelijk is wie hij of zij beweert te zijn, voordat toegang tot data of functionaliteit wordt verleend. Dit gebeurt door het vergelijken van inloggegevens zoals een wachtwoord, biometrische gegevens of een tijdelijke code met wat het systeem al van die gebruiker weet. Voor een MKB-bedrijf met een webshop, klantportaal of interne systemen vormt authentication de eerste verdedigingslijn tegen ongeautoriseerde toegang tot klantgegevens, bestellingen en bedrijfsinformatie.

Hoe authentication in de praktijk werkt

Een authentication-proces bestaat uit drie elementen: identificatie (wie ben je?), verificatie (kun je dat bewijzen?) en toegangsverlening. Wanneer een klant inlogt op je webshop met een e-mailadres en wachtwoord, stuurt het systeem deze gegevens naar de server. Die vergelijkt de ingevoerde gegevens met de opgeslagen hash van het wachtwoord in de database. Bij een match krijgt de gebruiker een sessietoken of JSON Web Token waarmee het systeem bij elk volgend verzoek controleert of de gebruiker nog steeds geautoriseerd is. Dit token verloopt na een bepaalde tijd, waardoor een oude sessie automatisch ongeldig wordt. In de praktijk zien we bij MKB-klanten vaak dat dit proces binnen 200 milliseconden verloopt, onzichtbaar voor de eindgebruiker maar cruciaal voor de veiligheid.

Waarom authentication ontstond en waarom het nu telt

Authentication is zo oud als gedeelde computersystemen. Zodra meerdere gebruikers toegang tot dezelfde gegevens kregen, ontstond de behoefte om te controleren wie wat mocht inzien of wijzigen. Met de opkomst van webapplicaties en cloud-diensten werd het proces complexer: systemen moesten gebruikers herkennen over verschillende apparaten en sessies heen. Voor Nederlandse bedrijven is authentication sinds de AVG ook een wettelijke verplichting. Je moet kunnen aantonen dat alleen geautoriseerde personen toegang hebben tot persoonsgegevens. Een datalek door zwakke authentication kan leiden tot boetes tot 4% van de jaaromzet, naast reputatieschade.

Wat authentication oplevert voor MKB-bedrijven

Voor een webshop met klantaccounts voorkomt sterke authentication dat kwaadwillenden toegang krijgen tot bestelgeschiedenis, adresgegevens of opgeslagen betaalmethoden. Bij een B2B-portaal waar klanten offertes inzien of orders plaatsen, beschermt het concurrentiegevoelige informatie. In combinatie met een doordachte webshop-architectuur kun je verschillende authenticatieniveaus instellen: basistoegang voor productcatalogi, verificatie voor prijzen en strikte controle voor bestelgeschiedenis. Uit onze trajecten blijkt dat bedrijven die multi-factor authentication invoeren voor adminpanelen het aantal ongeautoriseerde toegangspogingen met meer dan 90% zien dalen. Meer informatie over veilige implementatie vind je bij de Autoriteit Persoonsgegevens.

Authentication speelt een rol in vrijwel elk digitaal systeem waar gebruikers of medewerkers toegang tot beschermde gegevens nodig hebben. De manier waarop je het inricht, hangt af van het risiconiveau van de data, de gebruikerservaring die je wilt bieden en de wettelijke eisen die op jouw sector van toepassing zijn. Hieronder vier concrete situaties waarin MKB-bedrijven authentication toepassen, en wanneer welke aanpak past.

Klantaccounts in webshops en portalen

Een webshop met terugkerende klanten biedt vaak een account aan waar bestelgeschiedenis, verlanglijstjes en opgeslagen adressen staan. Authentication zorgt ervoor dat alleen de eigenaar van dat account deze gegevens kan inzien of wijzigen. De meest gebruikte methode is een combinatie van e-mailadres en wachtwoord, aangevuld met een wachtwoordherstel-flow via e-mail. Voor webshops met hogere orderwaarden of gevoelige producten, zoals medische hulpmiddelen of zakelijke software, zie je steeds vaker two-factor authentication: na het invoeren van het wachtwoord ontvangt de klant een code per sms of authenticator-app. Dit verlaagt het risico op accountovername, vooral bij klanten die hetzelfde wachtwoord op meerdere sites gebruiken. Bij een professionele webshop wordt authentication gekoppeld aan autorisatie, zodat zakelijke klanten andere prijzen of producten zien dan particulieren.

Interne systemen en bedrijfsapplicaties

Medewerkers die toegang nodig hebben tot een CRM, ERP of projectmanagement-tool loggen in via authentication. In veel MKB-bedrijven gebeurt dit nog met losse wachtwoorden per systeem, wat leidt tot wachtwoordmoeheid en zwakke combinaties. Een betere aanpak is Single Sign-On, waarbij medewerkers eenmaal inloggen en daarna automatisch toegang krijgen tot alle gekoppelde systemen. Dit vermindert het aantal wachtwoorden, verlaagt de kans op phishing en maakt het eenvoudiger om toegang in te trekken wanneer iemand uit dienst gaat. Voor bedrijven met remote medewerkers of externe adviseurs is het verstandig om inlogpogingen te loggen en afwijkende patronen te signaleren, zoals inloggen vanaf ongebruikelijke locaties of op vreemde tijdstippen.

API-toegang voor koppelingen en integraties

Wanneer je webshop of website communiceert met externe systemen, zoals een boekhoudsysteem, verzendpartner of marketingautomatisering, gebeurt dat via een API. Ook die verbindingen moeten worden geauthenticeerd, maar dan zonder menselijke tussenkomst. Hiervoor gebruiken systemen API-keys, OAuth-tokens of client credentials. Een veelgemaakte fout is het hardcoded opslaan van API-keys in de broncode van een website, waardoor ze zichtbaar worden voor iedereen die toegang tot de code krijgt. Beter is om keys op te slaan in omgevingsvariabelen op de server en ze regelmatig te roteren. Bij een professioneel ontwikkelde webapplicatie worden API-keys gekoppeld aan specifieke rechten, zodat een koppeling alleen de data kan ophalen of wijzigen waarvoor die bedoeld is.

Wanneer authentication de juiste keuze is en wanneer niet

Authentication is noodzakelijk zodra je persoonsgegevens opslaat, betalingen verwerkt of gebruikers toegang geeft tot gepersonaliseerde content. Het is ook verplicht onder de AVG voor systemen die toegang bieden tot identificeerbare gegevens. Wanneer authentication niet nodig is: voor volledig openbare content zoals een blog of productcatalogus zonder prijzen. In die gevallen voegt een inlogscherm alleen wrijving toe zonder meerwaarde. Let op: authentication lost geen autorisatieproblemen op. Het bevestigt wie iemand is, maar niet wat iemand mag. Daarvoor heb je een apart autorisatiesysteem nodig dat rollen en rechten beheert. Een gebruiker kan succesvol inloggen maar toch geen toegang krijgen tot bepaalde functies, afhankelijk van zijn rol.