Praktische gids
Nieuwe inloggegevens voor medewerkers veiliger versturen
Een eenvoudige werkwijze om een eerste wachtwoord niet in de onboardingmail te zetten.
Gepubliceerd: 18 mei 2026
Grenzen van de huidige implementatie
De huidige client versleutelt tekst in de browser en draagt de versleutelde inhoud in de URL. Het apart gedeelde wachtwoord staat niet in de link. Er is geen applicatieserver die berichten opslaat, ophaalt, verwijdert of als eenmalig bericht verwerkt.
Verdere context
Direct antwoord: Controleer het contactkanaal van de medewerker, maak een tijdelijk wachtwoord dat bij de eerste aanmelding moet worden gewijzigd, verstuur het via een privélink van Collogue, eis inschrijving voor MFA en trek de toegangsgegevens in als link en wachtwoord mogelijk zijn blootgesteld.
Onboarding is een beveiligingsritueel dat onder tijdsdruk wordt uitgevoerd.
De medewerker heeft toegang nodig. IT moet zeker weten dat de identiteit klopt. HR moet het proces afronden. E-mail is beschikbaar, dus het tijdelijke wachtwoord wordt vaak rechtstreeks in het welkomstbericht gezet.
Dat werkt. Het creëert ook een langdurig leesbaar record van de toegangsgegevens.
Een beter proces scheidt instructies van het tijdelijke geheim.
- de goedgekeurde startdatum;
- de identiteit van de medewerker;
- het bestemmingsadres;
- of persoonlijke e-mail volgens het beleid is toegestaan;
- de manager of sponsor van de medewerker;
- de systemen die daadwerkelijk nodig zijn.
Verleen geen geprivilegieerde toegang alleen omdat die in een doorgestuurde onboarding-spreadsheet staat.
De medewerker mag het door IT verstrekte wachtwoord nooit blijven gebruiken.
Het gewone kanaal kan het volgende bevatten:
- de officiële inlog-URL;
- de gebruikersnaam;
- startinstructies;
- het supportcontact;
- stappen voor MFA-inschrijving;
- een herinnering om link en afzonderlijk gedeeld wachtwoord privé te houden.
Het Collogue-bericht bevat het tijdelijke wachtwoord.
Geef in omgevingen met een hoger risico een deel van de context via de manager of een ander geverifieerd kanaal. Volg het organisatiebeleid in plaats van een geïmproviseerd ritueel te bedenken.
Je tijdelijke wachtwoord staat in de privélink hieronder. Gebruik het afzonderlijk gedeelde wachtwoord, kies na je eerste aanmelding een nieuw wachtwoord en schrijf je in voor multifactorauthenticatie. Als een van beide delen mogelijk is blootgesteld, neem dan contact op met IT zodat we de toegangsgegevens kunnen vervangen.
De medewerker hoeft ciphertext, URL-fragmenten of geauthenticeerde versleuteling niet te begrijpen om veilig te kunnen beginnen.
Stuur geen permanente herstelcodes in dezelfde onboardingmail, tenzij het beleid dat vereist en het risico is beoordeeld.
Het doelsysteem moet dit afdwingen. Collogue beheert de beschikbaarheid van het bericht, niet de geldigheid van het account.
Behandel het tijdelijke wachtwoord als blootgesteld.
- reset het;
- controleer de inlogactiviteit;
- verifieer het adres van de medewerker;
- maak een nieuw wachtwoord;
- verstuur een nieuwe privélink;
- test het gedrag van de e-mailscanner van de organisatie als het probleem terugkeert.
Omdat het wachtwoord tijdelijk is, moet vervanging eenvoudig zijn.
Dat is een ontwerpvoordeel, geen ongemak.
- toegangsgegevens aangemaakt;
- link verzonden;
- ontvanger geverifieerd;
- eerste aanmelding voltooid;
- wachtwoord gewijzigd;
- MFA ingeschreven;
- tijdelijke toegang ingetrokken.
Het logboek mag het wachtwoord of de volledige privélink niet bevatten.
Goede controleerbaarheid legt acties vast, geen geheimen.
- de medewerker krijgt beheerderstoegang;
- identiteitsbewijs is vereist;
- gereguleerde systemen zijn betrokken;
- goedkeuringen moeten worden afgedwongen;
- geografische of contractuele controles gelden;
- de organisatie heeft een goedgekeurd onboardingplatform.
Collogue kan de bezorging ondersteunen. Het vervangt geen identiteitsbeheer.
Alleen als het organisatiebeleid dit toestaat en het adres is geverifieerd. Bedrijfsbeleid kan een door de manager begeleid of identiteitsgecontroleerd proces vereisen.
Nee. Gebruik een tijdelijk startwachtwoord en eis een onmiddellijke wijziging.
Vermijd het bezorgen van alle authenticatiefactoren via één kanaal. Volg het goedgekeurde inschrijvings- en herstelproces van het doelsysteem.
Maak een privélink van Collogue, eis een wachtwoordwijziging bij de eerste aanmelding en voltooi de MFA-inschrijving.