Tweestapsverificatie als eis bij het kiezen van een ticketplatform

Kort antwoord

Kies een ticketplatform waar je tweestapsverificatie (2FA) niet alleen voor jezelf kunt aanzetten, maar voor je hele team kunt verplichten. In je ticketbeheer zitten omzet, terugbetalingen en de gegevens van al je bezoekers; een beheeraccount dat alleen met een inloglink of wachtwoord open te krijgen is, is daarmee het zwakste punt van je kaartverkoop. Let daarnaast op drie dingen: of de gevaarlijkste acties om een extra code vragen, of je per teamlid rechten kunt beperken, en of er een logboek is dat niemand kan aanpassen. Bij MijnEvent zit dat er allemaal in, in elk abonnement.

Waarom beveiliging een inkoopcriterium is

Bij het vergelijken van ticketplatforms kijken de meeste organisatoren naar de kosten per ticket, naar wanneer het geld binnenkomt en naar hoe de ticketshop eruitziet. Dat zijn terechte vragen — ze staan ook in onze checklist voor het kiezen van een ticketplatform. Maar er is een vraag die vaak ontbreekt: wie kan er in je beheer, en hoe goed is dat afgeschermd?

Denk aan wat een beheeraccount kan. Bestellingen inzien en terugbetalen. Een complete bezoekerslijst exporteren. De koppeling met je betaalprovider aanpassen. Bij een vereniging of stichting doen vaak vier of vijf mensen dat werk, soms vrijwilligers die inloggen vanaf een gedeelde laptop in de kantine. Eén overgenomen account is genoeg voor een datalek of een verkeerde terugbetaling. Als organisator ben jij verantwoordelijk voor de gegevens van je bezoekers — daar hoort bij dat je een platform kiest dat je helpt ze af te schermen.

Zes vragen om elk ticketplatform te stellen

1. Is tweestapsverificatie beschikbaar voor beheerders?

De basis. Met 2FA is inloggen alleen niet genoeg: je voert daarna ook een code in uit een authenticator-app op je telefoon, die elke 30 seconden verandert. Wie je inloglink of wachtwoord in handen krijgt, heeft zonder je telefoon niets.

Bij MijnEvent stel je dit in onder Instellingen → Beveiliging, bij Jouw tweestapsverificatie: je scant een QR-code met een app als Google Authenticator of Authy en bevestigt met een code. Hoe dat stap voor stap gaat, lees je in magic login en 2FA instellen.

2. Kun je 2FA verplichten voor je hele team?

Hier maakt het echt verschil. Als 2FA optioneel is, is je beveiliging zo sterk als het account van het teamlid dat het nooit heeft aangezet. Vraag daarom of je het voor iedereen verplicht kunt stellen.

Bij MijnEvent staat onder dezelfde kop 2FA verplichten voor je team. Zet je Tweestapsverificatie verplicht voor alle teamleden aan, dan moet elk teamlid 2FA instellen voordat het bij het beheer kan. Wie het nog niet heeft, komt bij de volgende keer inloggen direct in de instelflow. De verplichting geldt ook in de organisator-app, niet alleen in de browser. Bezoekers die een ticket kopen merken er niets van: zij worden nooit verplicht.

Alleen wie de instellingen van de organisatie mag beheren, kan deze schakelaar omzetten.

3. Vragen de gevaarlijkste handelingen om een extra bevestiging?

Een sessie die een uur openstaat op een onbewaakte laptop is ook een risico. Goede platforms vragen daarom bij de meest ingrijpende acties opnieuw om een code, ook als je al ingelogd bent.

MijnEvent doet dat bij drie handelingen: een SEPA-betaalbestand downloaden, persoonsgegevens definitief wissen en de Mollie-koppeling verbreken. Voor elk van die drie voer je vlak vóór de actie een verse tweestapscode in; een code van eerder in de sessie telt niet. Wie nog geen 2FA heeft ingesteld, moet dat eerst doen voordat deze acties beschikbaar zijn.

4. Kun je per teamlid bepalen wat die mag?

2FA regelt wíé er binnenkomt. Rechten regelen wat diegene daarna kan. Een kassavrijwilliger hoeft geen terugbetalingen te kunnen doen, en een marketingcollega geen bezoekerslijsten te exporteren.

In MijnEvent stel je per teamlid Geen, Bekijken of Beheren in per onderdeel, zet je gevoelige acties als losse vinkjes aan, en kun je iemand beperken tot één event. Zie rechten per teamlid instellen. Controleurs aan de deur vallen daar buiten: zij loggen in met een eigen uitnodiging en pincode en komen niet in het beheer — zie controleurs uitnodigen.

5. Wordt vastgelegd wie wat deed — ook rond beveiliging?

Als er toch iets misgaat, wil je kunnen terugzien wat er gebeurde. Vraag of het platform een logboek bijhoudt en of je daar achteraf in kunt knippen.

Bij MijnEvent komt onder meer het aan- en uitzetten van de 2FA-verplichting, het inzien van afgeschermde e-mailadressen en elke terugbetaling in het activiteitenlog. Dat log is append-only: regels kunnen niet worden aangepast of verwijderd.

6. Hoe log je überhaupt in?

Tweestapsverificatie is de tweede stap. De eerste stap telt ook. MijnEvent werkt zonder wachtwoorden: je logt in met een magic link die 15 minuten geldig is. Vanaf een onbekend apparaat komt daar een eenmalige verificatiecode per e-mail bij; een vertrouwd apparaat wordt 90 dagen onthouden. Waarom we voor die opzet kozen, staat in waarom inloggen zonder wachtwoord veiliger is.

Wat als iemand zijn telefoon kwijtraakt?

De meest gehoorde zorg bij het verplichten van 2FA: wat als een vrijwilliger zijn telefoon verliest? Daarom krijgt iedereen bij het instellen 8 herstelcodes. Elke code werkt één keer in plaats van de code uit de app. Spreek met je team af waar die codes bewaard worden — in een wachtwoordmanager of op papier in een afgesloten la, maar niet op dezelfde telefoon.

Zo zet je het vandaag nog aan

1. Ga in je beheer naar Instellingen en open het blok Beveiliging.
2. Stel eerst je eigen tweestapsverificatie in en bewaar je herstelcodes.
3. Zet Tweestapsverificatie verplicht voor alle teamleden aan.
4. Laat je teamleden weten dat ze bij de volgende keer inloggen een authenticator-app nodig hebben.

Meer over hoe we bezoekersgegevens en accounts beschermen, lees je op de pagina Privacy & Veiligheid.

Een platform dat je team beschermt

Tweestapsverificatie, de teamverplichting, de extra check bij gevoelige acties en het activiteitenlog zijn bij MijnEvent geen betaalde extra's: ze zitten gewoon in elk abonnement. De fee is € 0,50 per verkocht ticket, of € 0,25 met het Organisator-plan van € 14,95 per event, en gratis tickets zijn fee-vrij.

Maak gratis een account aan en zet de 2FA-verplichting aan voordat je eerste ticket verkocht is.