Het is vanaf nu niet meer mogelijk om in te loggen op de app met een wachtwoord dat ooit gelekt is (en bekend is bij Have I Been Pwned: Pwned Passwords). Overlast van deze wijziging zou niet extreem moeten zijn, gebruikers die al ingelogd zijn, blijven dat gewoon. Deze check wordt gedaan bij registreren en inloggen.
Een gelekt wachtwoord is pas een beveiligingsissue in combinatie met een login. Stel dat de banken alle pincodes zouden blokkeren welke eens zijn gelekt⊠dan zitten we snel aan pincodes met 14 cijfers. Wel een leuke tool⊠best veel impact. Ik heb ook een wachtwoord welke ooit gelekt is (dat weet ik) maar dat wachtwoord is bij gebruik door iemand anders daardoor niet minder veilig. Of zie ik dat verkeerd?
Wel een enorm handige tool. Gebruikers welke steevast hetzelfde wachtwoord blijven gebruiken worden hiermee geattendeerd op een mogelijk veiligheidsissue. Zou deze wijziging niet zo ingesteld kunnen worden dat je als gebruiker wel een melding krijgt, maar vervolgens via een button âtoch inloggenâ zelf de keuze kunnen maken om dit te negeren? Stel dat je api met de server ooit een storing heeft kan straks niemand meer inloggen, of is er een backuproute dat bij een storing de verificatie wordt overgeslagen?
Zou bij de âoeps meldingâ naast de opties ânogmaals proberenâ en âaccount aanmakenâ ook niet gewoon een knop ânieuw wachtwoord instellenâ erbij gezet kunnen worden?
Ik vind het altijd een beetje mehh wanneer je tekstueel naar een link verwijst 
.
Die vergelijking gaat niet helemaal op, je kunt maar bij weinig banken kunt inloggen met alleen je rekeningnummer en pincode. Omdat dat onveilig zou zijn.
Wat je wil voorkomen is dat kwaadwillenden een paar e-mailadressen van de website van de kerk kopiĂ«ren en deze combineren met een wachtwoordenlijst en een brute force aanval starten. Bij een aanval zal altijd eerst een âwoordenboekâ van wachtwoorden gebruikt worden voordat het helemaal willekeurig wordt. Dus is een wachtwoord dat ooit gelekt is wat mij betreft onveiliger. Hoeveel onveiliger hangt natuurlijk af van veel factoren.
Dat zou wel kunnen, maar de moeite is vrij groot in verhouding met wat het oplevert en het zorgt niet voor extra veiligheid, alleen voor bewustwording.
Verificatie wordt inderdaad overgeslagen in dat geval.
In chrch2 kan dat toegevoegd worden. 
Dank je Peter. Duidelijk. En fijn dat je niet spontaan wordt uitgelogd als je eenmaal erin zit. Qua bewustwording is dit denk ik wel de kant die we steeds meer opgaan. Dat chrch hierin redelijk voorop loopt zie ik dan ook niet als een nadeel. Het zal voor sommige mensen we lastig zijn als hun favoriete wachtwoord niet wordt geaccepteerd. Maar je verklaring is helder, waarvoor dank.
Peter, Als ik via de App mijn bestaande wachtwoord verander vind de controle niet plaats. Dat is erg onhandig, aangezien gebruikers nu denken dat het geregeld is en bij inloggen ineens hun toegang kwijt raken. Het zou handig zijn als bij instellen van een nieuw wachtwoord de controle ook wordt gedaan met de op dat moment actuele database of api van bij haveibeenpwned.com en de verandering van het wachtwoord in het âonveilige wachtwoordâ wordt voorkomen.
Beetje jammer dat er nu weer een minimum is van 10 tekens (was 6). Ben je van de App een vesting aan het maken? 
Wel bedankt voor de aanpassing mbt de controle.
Ik hoor van diverse gemeenteleden bij ons dat ze de agenda en gemeente leden tabblad niet meer kunnen inzien. Wachtwoord wijzigen wil bij velen ook niet door de hier genoemde foutmelding, ook al gebruiken ze een password manager, komt dat door deze wijzigingen en hoe kan dit verholpen worden? Wat is bijvoorbeeld het beleid voor nieuwe wachtwoorden?
zelf vind ik de tekst in de melding te veel onrust veroorzaken. het gaat vooral om de tekst âhet wachtwoord is gelektâ ook al staat er bij --niet door deze app!-- dit woord gelekt leidt bij ons tot vragen.
wellicht kan er beter neergezet worden: het wachtwoord voldoet niet meer aan de eisen. ivm de privacygevoelige gevens is er een strenger wachtwoord beleid toegepast. stel een nieuw wachtwoord in (minimaal 8 tekens) en zorg dat het wachtwoord een combinatie heeft van cijfers, tekens en letters.
De melding is inderdaad niet optimaal, ga ik aanpassen.
Melding is aangepast, in chrch2 is dit beter omdat de meldingen bij de velden komen te staan en er instructies staan bij het instellen van een wachtwoord.
Minimaal tien tekens, een hoofdletter, kleine letter, cijfer en speciaal teken zoals @$!%*#?&
Ik ben toch kritisch tegen een al te streng wachtwoordbeleid. We proberen het gebruik van de App te stimuleren ook bij ouderen in onze gemeente:
Wat ik mis in het âwachtwoordbeleidâ is het maximum aantal keren verkeerd intoetsen. Niet dat ik graag wil dat met 3x verkeerd intoetsen direct de chrch beheerder weer aan de slag kan⊠maar kun je niet bij elke verkeerde login een e-mail sturen naar het mailadres van de persoon⊠er is geprobeerd in te loggen⊠en maak een blokkade na x mislukte pogingen (waarbij je rekening houdt dat ouderen wellicht moeite hebben met invoeren van het wachtwoord, dus niet op 3 instellen?)
Het is veiliger het wachtwoord na 6 keer te laten vergrendelen dan een wachtwoord van 10 karakters te eisen met hoofdletters, kleine letters, speciale tekens, etc. Mijn wens zou zijn⊠maak het de mensen niet te lastig⊠maar monitor aan de achtergrond het inloggen op verdachte activiteiten en speel daar op in. Maar misschien ben ik de enige?
Goede punten @hans.
Er is een maximaal aantal keren inloggen per uur toegestaan, dus daar is al iets rekening mee gehouden.
Dat is waar, maar dan zou je in theorie als kwajongen een hele stapel accounts kunnen blokkeren. Alles heeft voor- en nadelen.
Even van mijn kant gezien. Eisen stellen aan een wachtwoord is veel eenvoudiger te implementeren dan vergrendelen, mail sturen, etc. Dus daar maak ik een afweging om tot iets redelijks te komen. Verder is dit een mooie mogelijkheid om wachtwoordbeheerprogrammaâs (password managers zoals Bitwarden) onder de aandacht te brengen. Als je het eenmaal opgezet hebt, is dat nog weer eenvoudiger.
Dat neemt niet weg dat ik de eisen kan versoepelen.
0 stemmers
8 karakters⊠bijvoorkeur of cijfer of bijzonder karakter⊠ipv en en
8 posities lijkt mij voldoende: wel hoofdletter, kleline letters, cijfer en leesteken.
gisteren was er een gebruiker die zijn wachtwoord was vergeten.
hij klikte op [wachtwoord vergeten] het [nieuw wachtwoord scherm] verschijnt.
de gebruiker voert zijn [emailadres] in en klikt op [wachtwoord opnieuw instellen]
de gebruiker krijgt netjes een code in zijn mail
hij vult de code in de app en daarna twee maal een nieuw wachtwoord en klikt op [OK]
daarna verschijnt de melding dat het wachtwoord niet voldoet aan de eisen
(welke eisen dat zijn staat niet in de melding)
daarna springt het scherm weer terug op het [nieuw wachtwoord scherm]
de gebruiker voert opnieuw zijn [emailadres] in en klikt op [wachtwoord opnieuw instellen]
de gebruiker krijgt netjes een code in zijn mail
hij vult de code in de app en daarna twee maal een nieuw wachtwoord en klikt op [OK]
daarna verschijnt de melding dat het wachtwoord niet voldoet aan de eisen
daarna springt het scherm weer terug op het [nieuw wachtwoord scherm]
de gebruiker voert opnieuw zijn [emailadres] in en klikt op [wachtwoord opnieuw instellen]
etc etc
de gebruiker heeft de Vrucht van de Geest -geduld- getest maar geeft na zes pogingen toch op.
hierbij het verzoek om dit proces te versimpelen. nu zijn er menig senioren gebruikers die de app niet meer kunnen gebruiken.
Dit zijn de eisen (die wel in de melding staan voor zover ik weet). In chrch2 is het verbeterd, daar zie je de eisen bij het instellen.
het proces gaat vooral verkeerd doordat je na een verkeerde invoer van het wachtwoord weer terug springt naar het [nieuw wachtwoord scherm]
Citaat Dit zijn de eisen (die wel in de melding staan voor zover ik weet)
Ja dat zou kunnen dan hebben we het scherm niet volledig gelezen of het werd niet volledig getoond. Fijn dat dit in chrch2 verbeterd is.