Vanavond rond 21:00 uur starten we met het gefaseerd uitleveren van een tussentijdse release waarmee de beveiliging rondom het inloggen in Loket verder wordt verbeterd. Deze release rollen we in tegenstelling tot andere releases per Loket-omgeving uit. Het kan dus voorkomen dat deze nieuwe functionaliteit pas in de loop van de volgende dag voor jou beschikbaar is.
Door deze tussentijdse oplevering schuift de normale release van Sprint 2026 Q3-3 door en zal er dus op 10 augustus geen reguliere update plaatsvinden.
Wat is er nieuw in Loket?
Toevoeging IP-verificatie bij inloggen Loket
Voor wie?
Alle gebruikers van Loket.
Wat levert dit op?
Een extra beveiliging rondom het inloggen in Loket. Hiermee wordt de mogelijkheid voor ongeautoriseerde toegang tot de applicatie verder beperkt.
Hoe werkt het?
Wanneer een Loket-gebruiker inlogt vanaf een voor Loket onbekend IP-adres, zal er voortaan eerst een 6-cijferige verificatiecode per e-mail verstuurd worden naar het emailadres van de betreffende gebruiker. Zonder deze code kan de gebruiker niet inloggen. Heeft de gebruiker ook 2FA (2 factor authenticatie) aanstaan, dan komt dit e-mailcodescherm vóór het bestaande 2FA-scherm.
Hoe ziet dit eruit voor de gebruiker?
De gebruiker logt eerst zoals gebruikelijk in met een gebruikersnaam en wachtwoord.
Vervolgens verschijnt onderstaand scherm waarin de gebruiker gevraagd wordt om een 6-cijferige verificatiecode in te vullen.
Deze code wordt per e-mail verstuurd. Zie het voorbeeldbericht hieronder. De getoonde code is 10 minuten geldig.
Mocht de gebruiker 2FA (zie dit artikel) aan hebben staan dan verschijnt ná de IP-controle nog een extra verificatiescherm waarin de gebruiker verzocht wordt om de verificatiecode van de 2FA in te voeren.
Hierna is de gebruiker succesvol ingelogd.
Wanneer wordt deze controle overgeslagen?
- De gebruiker logt niet in bij Loket maar bijvoorbeeld in MijnLoket. Hiervoor geldt deze beveiliging niet.
- De gebruiker logt in zonder wachtwoord (Magic link, SSO-koppeling).
- De gebruiker maakt gebruikt van 2FA en heeft tijdens het inloggen hiermee het apparaat vertrouwd.
- De gebruikersbeheerder heeft aangegeven dat bij de gebruiker eerst 2FA ingericht dient te worden.
- Wanneer het IP-adres vanaf waar de gebruiker inlogt reeds bij ons bekend is.