Veilig inloggen op een webapp: wat NIST zegt over tweestapsverificatie en e-mail

Gecontroleerd op 10 november 2026. Bron: NIST SP 800-63B-4 (Rev 4), pagina gedateerd 26 augustus 2025.

Kort antwoord

NIST eist bij het hogere betrouwbaarheidsniveau (AAL2) een tweede factor: "At AAL2, authentication SHALL use either a multi-factor authenticator or a combination of two separate authentication factors." Daarnaast moet het systeem minstens één phishing-bestendige optie aanbieden. E-mail mag niet als out-of-band-factor worden gebruikt.

Wat de richtlijn zegt

• Een inlogcode per e-mail telt niet als out-of-band-factor: "Email SHALL NOT be used for out-of-band authentication because it may be vulnerable to:" (de opsomming volgt in de richtlijn).
• Bevestigingscodes om een e-mailadres te controleren, of herstelcodes, zijn volgens NIST geen authenticatieproces en vallen niet onder dat verbod.
• Over magic links zegt de richtlijn niets op de gelezen pagina. Of een inloglink per e-mail past, is dus niet door NIST beoordeeld.

Wat betekent dit voor je website

De Webapp van darioa bevat inloggen voor medewerkers of klanten, elk met eigen rechten (€999 eenmalig en €150 per jaar, beide excl. btw; eerste betaling €1.149 excl. btw). Wat het systeem doet, wordt vooraf op één pagina vastgelegd; zet daar ook de inlogmethode op en of er een tweede factor nodig is. Zie de prijzen en winkel, kassa en weegschaal.

Algemene informatie, geen juridisch advies; lees de officiële tekst via https://pages.nist.gov/800-63-4/sp800-63b.html