2FA instellen in Magento Admin: stap voor stap met QR-code
Sinds Magento 2.4 is tweestapsverificatie (2FA) voor het beheerpaneel standaard verplicht. Naast uw wachtwoord vult u bij het inloggen een code in die elke 30 seconden verandert op uw telefoon. Zelfs als iemand uw wachtwoord bemachtigt, komt diegene zonder uw telefoon niet binnen. In deze visuele handleiding stelt u 2FA in zes stappen in — in ongeveer vijf minuten.
Wat heeft u nodig?
- Een smartphone (iPhone of Android) met een authenticator-app — zie stap 1.
- Uw Magento Admin-inloggegevens (gebruikersnaam en wachtwoord).
- Toegang tot de mailbox die aan uw admin-account is gekoppeld.
2FA instellen in 6 stappen
Installeer een authenticator-app op uw telefoon
Open de App Store (iPhone) of Google Play (Android), zoek op authenticator en installeer een van deze apps. Ze zijn allemaal gratis en werken met Magento:
- Google AuthenticatorEenvoudig, meest gebruikt
- Microsoft AuthenticatorHandig als u al Microsoft 365 gebruikt
- AuthyMet versleutelde cloud-backup
- 1Password / BitwardenAls u al een wachtwoordmanager heeft
Open de app na installatie één keer, zodat u klaar bent voor stap 4.
Log in op uw Magento Admin
Ga op uw computer naar het beheerpaneel van uw webshop, bijvoorbeeld https://www.uwwebshop.nl/admin, en log in met uw gebruikersnaam en wachtwoord zoals u gewend bent.
Is 2FA nog niet ingesteld voor uw account, dan laat Magento u nu niet direct door, maar toont de melding: "You need to configure Two-Factor Authorization in order to proceed to your store's admin area. An e-mail was sent to you with further instructions."
Open de configuratielink in uw mailbox
Magento stuurt een bericht naar het adres van uw admin-account. Open dit bericht en klik op de link of knop om de configuratie te starten. U komt op een pagina in het beheerpaneel met een QR-code (zie de illustratie bovenaan dit artikel).
Geen bericht ontvangen? Controleer uw spam- of ongewenste-mailmap. Komt er na enkele minuten niets binnen, dan is de mailverzending van de shop mogelijk niet goed ingesteld — neem contact op met uw beheerder of met ons.
Zijn er meerdere 2FA-methoden ingeschakeld (bijvoorbeeld Google Authenticator én Duo), dan kiest u eerst Google Authenticator. Deze werkt met alle apps uit stap 1.
Open de app en kies "QR-code scannen"
Pak uw telefoon en open de authenticator-app uit stap 1. Tik op de plus-knop (+) — meestal rechtsonder of rechtsboven — en kies QR-code scannen.
- Google Authenticator: + → Een QR-code scannen
- Microsoft Authenticator: + → Ander account → QR-code scannen
- Authy: + → Scan QR Code
De eerste keer vraagt de app toestemming om de camera te gebruiken. Kies Toestaan.
Scan de QR-code op het Magento-scherm
Houd uw telefoon voor het computerscherm en richt de camera op de QR-code die Magento toont. Zodra de code in het kader staat, herkent de app hem automatisch — u hoeft niets te tikken.
In de app verschijnt nu een nieuw account, bijvoorbeeld "Magento Admin: beheerder@uwwebshop.nl", met daaronder een 6-cijferige code die elke 30 seconden verandert.
Lukt scannen niet? Kies in de app Instelsleutel invoeren en typ de tekstsleutel over die Magento onder de QR-code toont (in het voorbeeld JBSW Y3DP EHPK 3PXP). Kies bij het type Tijdgebaseerd.
Vul de 6-cijferige code in en bevestig
Typ de code die de app op dat moment toont over in het veld Authenticator code op het Magento-scherm en klik op Confirm. Doe dit terwijl de code nog geldig is; staat de teller bijna op nul, wacht dan even op de volgende code.
Klopt de code, dan bent u direct ingelogd. 2FA is nu actief. Bij elke volgende login vult u na uw wachtwoord de actuele code uit de app in.
Tip: verwijder de authenticator-app niet en wis uw telefoon niet zonder eerst de sleutel te verhuizen (de meeste apps hebben een export- of overzetfunctie). Zonder app én zonder sleutel moet een beheerder uw 2FA resetten — zie hieronder.
Veelgestelde vragen en problemen
De code wordt steeds geweigerd ("Invalid code")
Bijna altijd loopt de klok van uw telefoon of van de server iets uit de pas. Zet op uw telefoon de tijd op automatisch. In Google Authenticator kunt u bovendien via ⋮ → Instellingen → Tijdcorrectie voor codes → Nu synchroniseren de tijd gelijkzetten. Controleer ook dat u het juiste account in de app afleest als u meerdere shops beheert.
Ik heb een nieuwe telefoon of ben mijn telefoon kwijt
Een Magento-beheerder met servertoegang kan uw 2FA-koppeling resetten, waarna u bij de volgende login opnieuw een configuratiebericht ontvangt en stap 3 tot en met 6 herhaalt:
bin/magento security:tfa:reset <gebruikersnaam> googleBeheert WEBSHOT uw hosting, dien dan een support ticket in; wij verifiëren uw identiteit en resetten de koppeling.
Ik krijg geen configuratiebericht
Controleer eerst de spammap. Komt er niets binnen, dan is het adres van uw admin-account mogelijk verouderd of verstuurt de shop geen berichten. Een beheerder kan het adres aanpassen onder System → Permissions → All Users, of kan de configuratie-URL rechtstreeks voor u genereren.
Welke 2FA-methoden ondersteunt Magento?
Magento 2.4 levert standaard vier providers: Google Authenticator (TOTP, werkt met alle apps uit stap 1), Duo Security, Authy (via Twilio) en U2F-hardwaresleutels zoals een YubiKey. Welke actief zijn, bepaalt de beheerder onder Stores → Configuration → Security → 2FA. Voor de meeste organisaties is Google Authenticator de eenvoudigste keuze.
Kan ik 2FA uitschakelen?
Technisch wel (via bin/magento module:disable Magento_TwoFactorAuth), maar wij raden dit sterk af. Het beheerpaneel geeft toegang tot klantgegevens, bestellingen en betaalinstellingen; 2FA is de meest effectieve bescherming tegen gestolen of geraden wachtwoorden en is een vereiste in vrijwel elke security-audit en PCI-DSS-beoordeling.
Waarom 2FA onmisbaar is voor uw webshop
Het overgrote deel van de inbraken in webshopbeheerpanelen begint met een gelekt of hergebruikt wachtwoord. Met tweestapsverificatie is een wachtwoord alleen niet meer genoeg: de aanvaller heeft ook fysiek uw telefoon nodig. Dat maakt phishing, credential stuffing en brute-force-aanvallen op de admin-login vrijwel kansloos. Combineer 2FA met een IP-beperking op het admin-pad, sterke unieke wachtwoorden en regelmatige security-patches, en uw Magento-beheeromgeving is goed beschermd.