Je router heeft twee wachtwoorden, en bijna niemand weet dat.
Het ene is dat van de wifi: dat je door de telefoon opnoemt, dat op een briefje in de keuken staat, dat je aan de loodgieter voorleest. Het andere is het beheerwachtwoord van het apparaat zelf, dat het paneel opent waarin alles wordt ingesteld. Aan dat tweede komt bijna nooit iemand, en als jij er nooit aan gekomen bent, is het nog precies wat er onderop de sticker gedrukt staat.
Ze beschermen verschillende dingen en gaan op verschillende manieren stuk. Het loont om ze uit elkaar te trekken, want twintig jaar praten over “het wifiwachtwoord” heeft er onder meer voor gezorgd dat het andere onzichtbaar bleef.
Dat wat je uit je hoofd kent en dat wat je nooit bekeken hebt
De wifisleutel bepaalt wie er verbinding mag maken. Het is een toegangsbewijs: daarmee komt een apparaat je lokale netwerk binnen en staat het naast alle andere.
Het beheerwachtwoord bepaalt wie mag veranderen hoe het netwerk werkt. Vanuit dat paneel gaan de netwerknaam, het soort versleuteling, welke DNS-servers je hele huis gebruikt, welke poorten naar buiten openstaan en of de router überhaupt vanaf internet te beheren is. Het is niet zomaar nog een deur: het is de deur van waaruit de andere opnieuw worden ingesteld.
Daar zit de ongemakkelijke asymmetrie. Heeft iemand je wifisleutel, dan zit die op je netwerk. Heeft iemand je beheerwachtwoord, dan is je netwerk van hem: die kan de wifisleutel wijzigen, de versleuteling omlaag zetten of omleiden waar je verkeer naar buiten gaat, en jij zou het merken aan het effect, nooit aan een melding.
De aanbeveling van CISA hierover kent geen nuances: verander de gebruikersnaam en het wachtwoord waarmee je op de router inlogt, want de fabrieksgegevens kunnen openbaar zijn en voor iedereen te vinden, en kies er een die lang, willekeurig en uniek is. En daar hoort er nog een bij waar bijna iedereen ongemerkt tegen zondigt: hij mag niet dezelfde zijn als die van de wifi. Het zijn twee verschillende dingen, en ze worden op heel verschillende manieren gedeeld — de ene kent de halve buurt, de andere zou niemand moeten kennen.
2011 de knop die zo handig leek
Er zit nog een derde geheim in je router waar bijna nooit over wordt gesproken: de WPS-pincode, het systeem voor snel koppelen dat als knop op het apparaat en als achtcijferig getal op de sticker verschijnt.
In december 2011 publiceerde CERT/CC de kwetsbaarheidsmelding VU#723755, op basis van het werk van Stefan Viehböck, over een ontwerpzwakte in de controle van die pincode. Wat voor jou telt is niet het technische detail: het is het officiële antwoord, dat vijftien jaar later nog altijd hetzelfde is. Er was geen patch; er was een schakelaar. Het advies was — en is — de instellingen in te gaan en WPS uit te zetten. CISA herhaalt het vandaag in haar handleiding voor thuisnetwerken, op dezelfde lijst waar ze vraagt om beheer op afstand uit te zetten.
Het is het meest rendabele deel van dit hele artikel: twee vinkjes die je één keer weghaalt en die je daarna nooit meer lastigvallen.
2015 toen de fabriekssleutel al berekend binnenkwam
Een fabriekswachtwoord is geen geheim van jou. Het is een waarde die de fabrikant heeft gekozen, die op het apparaat gedrukt staat, die in de handleiding staat en die vaak op alle exemplaren van een model hetzelfde is.
En er zijn gepubliceerde gevallen van iets ergers: fabriekssleutels die niet willekeurig waren maar berekend uit gegevens die de router zelf de lucht in stuurt. In de catalogus van NIST staat CVE-2015-0558, over een thuisrouter die zijn WPA-sleutel maakte uit een vaste tekenreeks en zijn eigen MAC-adres. Kort daarna vatte een openbare melding van SEARCH-LAB over een in Europa wijdverbreid kabelmodem het samen in één zin: “de SSID en het standaardwachtwoord worden uitsluitend afgeleid van het MAC-adres. Omdat het MAC-adres van het apparaat via wifi wordt uitgezonden, is het standaardwachtwoord eenvoudig te berekenen.” De provider schreef zijn klanten uiteindelijk aan met het verzoek het te wijzigen.
Je hoeft niet te weten hoe dat werd gedaan — en hier wordt het ook niet verteld — om het enige mee te nemen wat telt: een sleutel die de fabrikant kon maken, kon iemand anders namaken. Je fabriekssleutel is niet willekeurig omdat hij lang en lelijk is. Hij is lelijk omdat hij uit een procedure kwam, en procedures worden bestudeerd.
Het wachtwoord dat je het makkelijkst lang maakt
Nu het goede nieuws, en dat is zeldzaam, want beveiligingsadvies komt bijna nooit gratis.
Alle wachtwoorden in je leven slepen dezelfde verborgen vijand mee: je moet ze intypen. Vaak met de hand, op een telefoon, met haast. Daarom maken mensen ze kort, en daarom klinkt “neem er een van dertig tekens” als een straf.
Dat van de wifi heeft dat probleem niet. Je typt hem één keer per apparaat en je ziet hem nooit meer terug: de telefoon, de laptop en de tv onthouden hem voor altijd. En als je hem toch aan iemand moet geven, delen bijna alle telefoons en een flink deel van de moderne routers hem als QR-code, zonder dat iemand iets intypt.
Oftewel: lengte is hier praktisch gratis, en daarom is er geen excuus voor een korte. De standaard IEEE 802.11i, die dit sinds 2004 vastlegt, staat wachtwoordzinnen tot 63 tekens toe. Bijna niemand komt zelfs maar op de helft.
Wat dan wel? CISA stelt iets heel concreets voor dat makkelijk te volgen is: een onthoudbare wachtwoordzin van vijf tot zeven woorden zonder onderling verband, minstens zestien tekens in totaal, en die je op geen enkel ander account gebruikt. Het is de diceware-logica toegepast op je woonkamer. Wil je liever een willekeurige reeks en laat je de QR-code het werk doen, dan is dat nog beter: haal hem uit de generator en kijk er nooit meer naar. En twijfel je aan degene die je nu hebt, haal hem dan door de checker voordat je iets beslist.
2018 wat WPA3 is en waarom het de rekensom verandert
In 2018 presenteerde de Wi-Fi Alliance WPA3, de opvolger van WPA2. Het is inmiddels verplicht voor elk apparaat dat het keurmerk Wi-Fi CERTIFIED wil dragen.
De onderliggende verandering heeft een lelijke naam, SAE, en een heel begrijpelijk gevolg. Onder WPA2 kon iemand in de buurt de eerste begroeting tussen je telefoon en de router opvangen, naar huis gaan en tegen dat bestand miljoenen sleutels per seconde uitproberen, zonder pogingslimiet en zonder dat iemand het merkte. Het is precies het probleem van een wachtwoordlek: zodra het materiaal op de schijf van de aanvaller staat, zit er niemand meer aan de andere kant die nee zegt.
WPA3 breekt dat. In de woorden van de Wi-Fi Alliance zelf: “WPA3-Personal vervangt de pre-shared key van WPA2 (WPA2-PSK) door Simultaneous Authentication of Equals (SAE). Anders dan WPA2-PSK is SAE bestand tegen offline woordenboekaanvallen.” Elke poging vereist opnieuw contact met de router, en een router die duizenden mislukte pogingen ziet, kan dat opmerken en afremmen.
En dan is er het eerlijke deel, dat hetzelfde document uitdrukkelijk vermeldt. Die weerbaarheid betekent dat “de last van wachtwoordbeveiliging niet meer bij de gebruikers ligt”, en dat hoofdletters en speciale tekens eisen onder SAE geen geldige eis meer is. Maar het is geen toestemming om een slechte te kiezen: de actieve aanval bestaat nog steeds, en de specificatie zegt het zonder omhaal — wachtwoorden die met SAE worden gebruikt, moeten buitengewoon moeilijk te raden zijn. Precies wat NIST al jaren zegt over al je andere wachtwoorden: lengte gaat boven verwringing.
Twee praktische waarschuwingen. Haalt je router geen WPA3, dan keurt CISA WPA3 Personal en WPA2 met AES goed, en alleen die twee; een open netwerk, WEP of TKIP zijn geen zwak wachtwoord, dat is helemaal geen wachtwoord. En zet je de overgangsmodus aan, dan accepteert je netwerk WPA3 en WPA2 tegelijk zodat oude apparaten er nog in kunnen: een redelijke keuze in een huis met een printer uit 2013, maar weet wat het is — zolang die aanstaat, houdt je netwerk een WPA2-deur. Kan alles wat je hebt overweg met WPA3, zet hem dan uit.
2024 de wet komt onder de sticker
Decennialang was dit een kwestie van adviezen. Nu is het ook een kwestie van regelgeving.
Op 29 april 2024 trad in het Verenigd Koninkrijk het regime van de PSTI in werking, de wet op de beveiliging van verbonden producten, die universele standaardwachtwoorden verbiedt op consumentenapparaten: voorbij is het model waarbij alle exemplaren van een product met dezelfde sleutel de fabriek verlieten. Een standaardwachtwoord dat per exemplaar uniek is, staat de wet wél toe — en dat is precies het geval van de sticker met op elke router een andere reeks. In de Europese Unie zijn de cyberbeveiligingseisen van de Radioapparatuurrichtlijn — Gedelegeerde Verordening (EU) 2022/30 — sinds 1 augustus 2025 verplicht van toepassing.
Daar volgen twee dingen uit, en ze zijn niet hetzelfde. Ten eerste: nieuwe routers komen beter uit de fabriek. Ten tweede, en dat is wat jou aangaat: niets hiervan werkt met terugwerkende kracht op het apparaat dat al in je gang staat. Hangt hij daar al zes jaar, dan geldt bij jou thuis nog steeds de oude wereld.
Het gastnetwerk, of stoppen met je sleutel opnoemen
Denk eens na hoeveel mensen jouw wifisleutel kennen. De zwager, de oppas, de vriend die in 2022 kwam eten en zijn telefoon nog ingesteld heeft, de monteur die iets kwam installeren.
Geen van hen kreeg alleen toestemming om op internet te komen: ieder van hen heeft een apparaat binnen je lokale netwerk, naast je netwerkschijf, je printer en je camera’s. En je hebt geen idee in wat voor staat dat apparaat verkeert.
Het gastnetwerk is het antwoord, en het is een functie die je al hebt en niet gebruikt. CISA zegt het met zoveel woorden: heeft je router een gastnetwerk, zet het aan, geef het een eigen wachtwoord — lang, willekeurig en uniek — en laat iedereen die niet routinematig op je wifi zit daarvan gebruikmaken. En doe er dan bij wat bijna niemand doet: stuur er ook de verbonden apparaten heen — de slimme stekker, de tv, de stofzuigrobot — als internettoegang het enige is wat ze nodig hebben, zodat ze de rest van de apparaten in huis niet kunnen ontdekken.
Het is het principe van deze hele blog toegepast op de woonkamer: één inlog per plek. Je hoofdwifi is een plek. Bezoek is een andere.
Wat je doet, op volgorde
- Ga het routerpaneel in en verander het beheerwachtwoord. Het is het enige op deze lijst waar je waarschijnlijk nooit aan gezeten hebt, en het is het machtigste. Lang, willekeurig en anders dan dat van de wifi.
- Zet een lange wifisleutel. Vijf tot zeven woorden zonder verband, of een reeks uit de generator. Je typt hem één keer en deelt hem daarna via QR.
- Ga naar WPA3 als je router het aankan. Zo niet, WPA2 met AES.
- Zet WPS en beheer op afstand uit. Twee vinkjes, één keer.
- Zet het gastnetwerk aan en stuur bezoek en apparaten daarheen.
- Werk de firmware bij en laat automatische updates aan staan, als die er zijn.
- Hergebruik geen van beide ergens anders. Twijfel je aan een wachtwoord dat je al gebruikt, haal het dan door de checker.
Niets hiervan kost meer dan twintig minuten, en het zijn twintig minuten die je één keer besteedt.
De router is het belangrijkste apparaat in je huis en het enige dat zichzelf beheert zolang niemand het beheert. Hij staat al jaren in een hoek aan, doet zijn werk zonder klagen, en juist daarom lijkt het nooit het moment om ernaar te kijken.
Het fabriekswachtwoord deugt niet omdat het kort of lelijk is. Het deugt niet omdat het niet van jou is. Iemand anders koos het, drukte het op een sticker en stuurde het naar duizenden huizen die precies op het jouwe lijken. Het veranderen is het dichtste wat de thuis-ICT komt bij het slot vervangen als je verhuist.
Bronnen: CISA, “Project Upskill · Module 5: Securing Your Home Wi-Fi”, van het Joint Cyber Defense Collaborative — gebruikersnaam en wachtwoord voor de router wijzigen omdat fabrieksgegevens openbaar kunnen zijn, een wachtwoordzin van vijf tot zeven woorden zonder verband en minstens zestien tekens, WPA3 Personal of WPA2 AES als enige versleutelingen die als veilig gelden, WPS en beheer op afstand uitzetten, en het gastnetwerk aanzetten, ook voor verbonden apparaten · Wi-Fi Alliance, “WPA3 Security Considerations Overview” (april 2019), over het vervangen van WPA2-PSK door SAE, de weerbaarheid daarvan tegen offline woordenboekaanvallen en de eis dat wachtwoorden buitengewoon moeilijk te raden blijven · CERT/CC, kwetsbaarheidsmelding VU#723755 (27 december 2011), gemeld door Stefan Viehböck, met als aanbevolen oplossing WPS uitzetten · NVD (NIST), CVE-2015-0558, over een thuisrouter die zijn WPA-sleutel maakte uit een vaste tekenreeks en zijn MAC-adres · openbare melding van SEARCH-LAB (Gergely Eberhardt) over het Ubee EVW3226-modem, gepubliceerd op Full Disclosure in juli 2016 · IEEE 802.11i, dat de wachtwoordzin op 8 tot 63 tekens vastlegt · Verenigd Koninkrijk, het regime van de Product Security and Telecommunications Infrastructure Act, van kracht sinds 29 april 2024 · Europese Unie, Gedelegeerde Verordening (EU) 2022/30 bij de Radioapparatuurrichtlijn, verplicht sinds 1 augustus 2025 · NIST SP 800-63B, over lengte boven complexiteit.
Foto van Jakub Zerdzicki · Pexels