# Waar je opgeslagen wachtwoorden staan, en wie ze nog meer kan openen

> Wie ooit op «Wachtwoord opslaan» heeft geklikt, gebruikt al een wachtwoordmanager. De interessante vraag is niet waar je wachtwoorden staan, maar wat er nodig is om ze te openen: en daarin lijken Chrome, Safari en Firefox nergens op elkaar.

2026-08-30 · David Carrero · password.es
Original: https://password.es/nl/blog/waar-je-opgeslagen-wachtwoorden-staan/

---

Als je ooit op «Wachtwoord opslaan» hebt geklikt in dat venstertje onderaan, dan
gebruik je al een wachtwoordmanager. **Niemand heeft het je verteld, je hebt er
geen gekozen, en je hebt er toch een.** Waarschijnlijk met honderd items erin.

Dat verklaart waarom de meestgestelde vraag over wachtwoorden niet is «hoe maak ik
een goede», maar «waar staan de mijne». Mensen zoeken geen beveiligingshandboek:
ze zoeken een lijst waarvan ze weten dat die bestaat en die ze niet vinden.

De lijst bestaat. Maar waar hij bewaard wordt doet veel minder ertoe dan het
antwoord op de volgende vraag, die bijna niemand stelt: **wat is er nodig om hem
te openen?**

## Waar ze staan, afhankelijk van wat je gebruikt

In **Chrome** staan ze in de wachtwoordmanager van Google. Ze leven op twee
plaatsen tegelijk: een kopie op je computer en een in je Google-account,
gesynchroniseerd. Te zien op `passwords.google.com` of in de instellingen van de
browser zelf.

Op **Safari, iPhone en Mac** staan ze in de iCloud-sleutelhanger, die sinds kort
een eigen app heeft: Wachtwoorden. Zelfde idee: op het apparaat en in je
Apple-account.

In **Firefox** staan ze in twee bestanden in je profiel, en de namen zijn het
kennen waard: `logins.json`, met de versleutelde gebruikersnamen en wachtwoorden,
en `key4.db`, met de sleutel die ze ontsleutelt. Mozilla documenteert het precies
zo, met die namen.

In **Edge** staan ze in je Microsoft-account, volgens hetzelfde schema als Chrome.
En op **Android** is het dezelfde Google-manager die Chrome gebruikt, ook als je
hem via de telefooninstellingen opent.

Tot zover het antwoord waarvoor je kwam. Nu het deel dat iets verandert.

## Drie modellen, en waarom ze niet gelijkwaardig zijn

Alle drie zeggen ze «je wachtwoorden zijn versleuteld». Dat klopt in alle drie de
gevallen en het betekent in geen enkel geval hetzelfde, want wat verschilt is
**wie de sleutel heeft**.

**De sleutelhanger van Apple is end-to-end versleuteld.** De sleutels die hem
openen kent Apple niet; die bestaan alleen op je vertrouwde apparaten. Apple
publiceert dat in zijn beveiligingsdocumentatie en voegt er een prettig detail aan
toe: het systeem beperkt het aantal pogingen, juist zodat zelfs vanuit de eigen
infrastructuur niemand er brute kracht op kan loslaten. Er valt niets aan te
zetten. Zo is het al.

**Bij Google bestaat die stand wel, maar hij is optioneel.** Standaard reizen je
wachtwoorden versleuteld en worden ze versleuteld bewaard, maar met sleutels die
Google beheert. Je kunt dat veranderen: een *synchronisatiewachtwoordzin* —of
versleuteling op het apparaat, afhankelijk van waar je binnenkomt— legt de
sleutels uitsluitend in jouw handen. Het praktische verschil is enorm en de
meeste mensen hebben het nooit aangezet, omdat niemand ze heeft verteld dat het
bestond. Het heeft een prijs, en die moet volledig genoemd worden: **als je die
zin vergeet, krijgt niemand je opgeslagen wachtwoorden terug.** Dat is precies wat
«alleen jij» betekent.

**In Firefox beschermt versleuteling je zonder hoofdwachtwoord niet tegen wie je
bestanden heeft.** Dit is het ongemakkelijkste deel van dit artikel, en het komt
van Mozilla, niet van ons: zonder ingesteld hoofdwachtwoord kan iedereen die
`logins.json` en `key4.db` uit je profiel kopieert je inloggegevens lezen. De twee
bestanden reizen samen: het ene draagt het slot, het andere de sleutel. Een
hoofdwachtwoord instellen is wat die sleutel versleutelt en het paar verbreekt.

## Het echte scenario is geen film

Wie zich voorstelt dat zijn wachtwoorden worden gestolen, denkt aan iemand die
servers aanvalt. In de praktijk zijn de twee gevallen die echt gebeuren veel
huiselijker.

Het eerste: **iemand met toegang tot je ontgrendelde computer.** Daar is geen
kunde voor nodig. De lijst zit twee klikken diep in de browserinstellingen, en
zelfs als er om je systeemwachtwoord wordt gevraagd om ze zichtbaar te maken —
dat wachtwoord kent degene die bij je woont of je heeft zien typen.

Het tweede: **een programma dat je browserprofiel kopieert.** Het breekt niets
open. Het neemt de bestanden mee en opent ze elders op zijn gemak. Dat soort
software komt vaak genoeg voor om een eigen naam in de sector te hebben,
*infostealer*, en het is precies de reden waarom «maar ze zijn toch versleuteld»
altijd de vervolgvraag nodig heeft: versleuteld, prima — en waar is de sleutel?

Tegen dat tweede scenario houdt het model van Apple stand, dat van Google houdt
stand als je de wachtwoordzin hebt aangezet, en Firefox zonder hoofdwachtwoord
houdt niets tegen.

## Wat te doen, op volgorde van wat het meest uitmaakt

**Eén.** Gebruik je Firefox, stel dan een hoofdwachtwoord in. Het is een vinkje in
de privacy-instellingen en het is met afstand de wijziging op deze lijst die het
meest beschermt voor de minste moeite.

**Twee.** Gebruik je Chrome of Android, ga dan naar de manager van Google en zet
versleuteling op het apparaat of de synchronisatiewachtwoordzin aan. Schrijf hem
ergens fysiek op vóór je hem aanzet, en begrijp wat je tekent: vanaf dat moment is
die zin de enige deur.

**Drie.** Kijk naar het wachtwoord van het account dat al het andere bewaart. Je
Google-account, je Apple ID of je Microsoft-account hield op «zomaar een account»
te zijn op het moment dat je er wachtwoorden in ging bewaren: ze zijn nu de
sleutel tot de rest. Als je dat wachtwoord acht jaar geleden zelf hebt bedacht,
haal het dan door de [wachtwoord-checker](/nl/wachtwoord-checker/) en kijk wat er
staat. En als je zin hebt, vervang het door een uit de [generator](/nl/).

**Vier.** Zet de tweede factor aan op dat account. Dat is de stap die «ze kennen
je wachtwoord» verandert in «ze komen er toch niet in».

## Is dit genoeg, of heb ik een echte manager nodig?

Dat hangt ervan af waarvoor, en hier is het eerlijke antwoord niet het antwoord
dat verkoopt.

Voor de meeste mensen **is** de manager van de browser met goed ingestelde
versleuteling genoeg, en hij is oneindig veel beter dan het echte alternatief, dat
geen betere manager is: hetzelfde wachtwoord op veertig sites.

Een aparte manager wint zodra er dingen opduiken die die van de browser slecht of
niet doet: twee verschillende browsers gebruiken zonder gek te worden, een
wachtwoord delen met je partner zonder het via WhatsApp te sturen, dingen bewaren
die geen wachtwoorden zijn, een ecosysteem verlaten zonder alles kwijt te raken,
of de code kunnen controleren van wie je geheimen bewaart. Daarover gaat een ander
artikel, en de samenvatting is dat de grote sprong niet van de ene manager naar de
andere gaat: hij gaat van geen enkele naar welke dan ook.

## Wat je eigenlijk zocht

Je zocht een lijst. Die staat op `passwords.google.com`, in de app Wachtwoorden op
je iPhone of in de instellingen van je browser, afhankelijk van wat je gebruikt.

Maar nu je er toch bent, kijk nog naar één ding: **hoe vaak hetzelfde wachtwoord
zich in die lijst herhaalt.** Alle drie de managers vertellen het je als je het
vraagt. Dat getal verklaart je werkelijke situatie beter dan wat je ook over
versleuteling kunt lezen, dit artikel inbegrepen.

---

*Bronnen: Apple's beveiligingsdocumentatie over de iCloud-sleutelhanger
—end-to-end versleuteld met sleutels die Apple niet kent, en met beperkte
pogingen— · Google Chrome-help over synchronisatie, de synchronisatiewachtwoordzin
en versleuteling op het apparaat · Mozilla-documentatie over hoe Firefox
wachtwoorden opslaat (`logins.json` en `key4.db`) en over het hoofdwachtwoord.*