5 cijferige codes meest gebruikte: pincodes en authenticatie

Mogelijke 4-cijferige codes: 10.000 · Mogelijke 5-cijferige codes: 100.000 · Mogelijke 6-cijferige codes (TOTP): 1.000.000 · Standaard TOTP-code lengte: 6 cijfers · Gemiddelde lengte pincode in Nederland: 4–6 cijfers

Vier cijfers, vijf cijfers, zes cijfers – elke extra cijfer voegt een factor tien toe aan de combinatieruimte, een eenvoudig patroon dat veiligheidskeuzes bepaalt bij banken, apps en webshops.

Hoeveel codes kan je maken met 4 cijfers?

De basisrekensom: met vier cijfers van 0 tot 9 zijn er 10⁴ = 10.000 unieke combinaties. Dat klinkt veel, maar een simpele brute-force-aanval kan in enkele minuten alle opties proberen. Vijf cijfers verhoogt dat naar 100.000, zes cijfers naar een miljoen.

Verschil tussen 4-, 5- en 6-cijferige codes

• 4 cijfers: 10.000 combinaties
• 5 cijfers: 10⁵ = 100.000 combinaties
• 6 cijfers: 1.000.000 combinaties

Waarom zijn langere codes veiliger? Elk extra cijfer vermenigvuldigt de combinatieruimte met een factor tien, wat brute-force-aanvallen exponentieel vertraagt.

De rekensom blijft simpel: elk extra cijfer maakt een code tien keer lastiger te raden, maar alleen als de code willekeurig is gekozen.

Wat zijn de meest voorkomende kortingscodes?

Kortingscodes komen vaak van 5 tot 8 tekens voor, zowel cijfers als letters. Eenmalige codes zijn uniek per klant; validatiecodes kunnen door meerdere klanten worden gebruikt.

Soorten kortingscodes: eenmalig vs. validatie

• Eenmalige kortingscode: uniek per gebruiker, hoge beveiliging
• Validatiekortingscode: herbruikbaar, lagere beveiliging

Hoeveel cijfers hebben kortingscodes vaak?

• Lengte varieert van 5 tot 8 tekens
• Ook combinaties met letters

De afweging is daarmee helder: kortingscodes hebben geen vaste standaard zoals TOTP; de lengte hangt af van het risico dat de webshop accepteert.

Wat is een 6-cijferige code authenticator?

Een 6-cijferige authenticatorcode – ook wel TOTP – is een tijdelijke code die elke 30 seconden verandert, gebaseerd op een gedeelde sleutel.

Hoe werkt een TOTP-code?

• Generatie op basis van tijd en een geheim (RFC 6238)
• Code wordt elke 30 seconden vernieuwd

Waarom is het 6 cijfers?

• 6 cijfers bieden een miljoen opties – voldoende tegen brute-force bij een 30-secondenvenster
• De RFC 6238-standaard is 6 cijfers

De consequentie: 6 cijfers zijn geen garantie, maar in combinatie met een tijdsvenster van 30 seconden is de kans dat een aanvaller de code raadt verwaarloosbaar klein.

Waarom krijg ik geen code van Authenticator?

Als de code niet verschijnt of niet werkt, is de tijd op uw apparaat vaak niet gesynchroniseerd. Andere oorzaken: netwerkproblemen bij cloud-apps of verstoorde back-up.

Tijd- en apparaatsynchronisatie

• Controleer of de klok exact overeenkomt met de server
• Zorg dat de batterij niet leeg is

Netwerkproblemen bij cloud-apps

• Bij cloud-sync is internettoegang vereist
• Offline-apps zoals Google Authenticator werken dan ook zonder internet

Verkeerd herstel of back-up

• Gebruik herstelcodes of accountprovider
• Reset de authenticator via accountherstel als laatste optie

De belangrijkste les: voorkom dat u afhankelijk bent van één apparaat; een herstelcode is geen extra stap, maar uw tweede sleutel.

Hoe reset ik mijn Authenticator?

Stappenplan voor Google Authenticator

1. Open Google Authenticator-app
2. Klik op het plus-icoon en scan QR-code met de accountsprovider
3. Voer de tijdelijke code in het bevestigingsveld van de webshop

Stappenplan voor Microsoft Authenticator

1. Open Microsoft Authenticator
2. Voeg account toe via QR-code of handmatig
3. Bevestig via de portal van de accountprovider

Wat te doen bij verloren pincode?

• Reset via accountherstel van provider – meestal met e-mail of telefoon
• Gebruik herstelcodes die u bij installatie heeft bewaard

De rode draad: herstelcodes en een tweede verificatiemethode bepalen of u weer toegang krijgt; zonder die gegevens rest alleen accountherstel.

Wat we wel en niet weten

Bevestigde feiten

• 10.000 mogelijke 4-cijferige codes (wiskundig bepaald)
• TOTP-codes zijn 6 cijfers (RFC 6238 – TOTP-standaard)
• Kortingscodes kunnen 5-8 tekens zijn

Wat onduidelijk is

• Exacte verdeling van meest gebruikte 5-cijferige codes – de 22,8%-waarde voor 12345 komt uit een secundaire bespreking en is waarschijnlijk niet representatief (GitHub – Common PIN Analysis)
• Of 5-cijferige codes vaker voorkomen dan 6-cijferige in authenticatie – geen groot onderzoek beschikbaar
• De dataset uit de 22,8%-analyse heeft geen gepubliceerde steekproefomvang, waardoor generalisatie naar Nederlandse pincodes niet mogelijk is (Security Stack Exchange – discussie over pincode-lengtes)

Het patroon is duidelijk: hoe meer cijfers, hoe veiliger, maar in de praktijk kiezen gebruikers vaak 4 cijfers voor gebruiksgemak. Voor authenticatiecodes is 6 cijfers de standaard, maar veel apps vereisen minimaal 5 cijfers. De implicatie: wie een pincode gebruikt voor een belangrijk account, kiest minstens 6 cijfers of een combinatie van letters met cijfers. Voor retailers die kortingscodes uitrollen, is een eenmalige 8-cijferige code het veiligst. Voor de gemiddelde Nederlander: kies voor authenticator-herstelcodes een veilige opbergplaats, anders raakt u buitengesloten van uw eigen account.

“De TOTP-standaard RFC 6238 specificeert dat authenticatiecodes uit 6 cijfers bestaan en elke 30 seconden veranderen. Dit biedt voldoende combinaties voor veilige 2FA.”
RFC 6238 – TOTP-standaard (specificatie)

“In een analyse van 3,4 miljoen codes bleek 1234 ongeveer 11% van de waarnemingen uit te maken. Gebruikers kiezen vaak patronen die makkelijk te onthouden zijn, maar daardoor ook veiligheidsgevoelig.”
Bay Alarm – analyse van 3,4 miljoen PIN-codes

Veelgestelde vragen