Een oude scanner die naar e-mail scant, een oudere mailapp of een script dat via SMTP mailt: zulke toepassingen ondersteunen geen meervoudige verificatie (MFA). Een app-wachtwoord is een lang, willekeurig wachtwoord dat zo'n toepassing gebruikt in plaats van je gewone wachtwoord en MFA. In dit artikel zie je wanneer app-wachtwoorden nog werken in Microsoft 365, hoe je ze aanmaakt en verwijdert, en waarom je ze beter vervangt door een modernere oplossing.
Wanneer werken app-wachtwoorden?
- Alleen met MFA per gebruiker (per-user MFA). Gebruik je security defaults of voorwaardelijke toegang, dan kan je geen app-wachtwoorden gebruiken.
- De beheerder moet app-wachtwoorden toelaten.
- De toepassing moet nog basisverificatie mogen gebruiken. In Exchange Online is dat voor POP, IMAP, EWS en ActiveSync al sinds 2022 uitgeschakeld. Een app-wachtwoord helpt daar dus niet meer.
In de praktijk werkt een app-wachtwoord vandaag vooral nog voor SMTP AUTH (mail versturen via smtp.office365.com) en voor sommige oudere toepassingen.
SMTP AUTH: wat verandert er in 2026?
Microsoft schakelt basisverificatie voor SMTP AUTH (client submission) in Exchange Online eind december 2026 standaard uit. Beheerders kunnen het daarna tijdelijk weer inschakelen; de definitieve einddatum kondigt Microsoft in de tweede helft van 2027 aan. Nieuwe tenants kunnen het vanaf dan niet meer gebruiken. Scanners en toepassingen die met een gebruikersnaam en (app-)wachtwoord mailen, moet je dus nu omzetten.
Een app-wachtwoord aanmaken (als gebruiker)
- Ga naar mysignins.microsoft.com/security-info.
- Klik op Aanmeldingsmethode toevoegen en kies App-wachtwoord.
- Geef het een naam, bijvoorbeeld Scanner 2de verdieping, en klik op Volgende.
- Kopieer het wachtwoord en vul het in de toepassing in. Je ziet het maar één keer.
Zie je App-wachtwoord niet in de lijst? Dan is MFA per gebruiker niet ingeschakeld voor je account, of heeft je beheerder app-wachtwoorden niet toegelaten.
App-wachtwoorden toelaten (als beheerder)
- Ga naar het Microsoft Entra admin center > Entra ID > Gebruikers > Meervoudige verificatie per gebruiker.
- Open Service-instellingen.
- Kies de optie om gebruikers app-wachtwoorden te laten maken (Allow users to create app passwords to sign in to non-browser apps) en klik op Opslaan.
Een app-wachtwoord verwijderen
Ga naar Beveiligingsgegevens, zoek het app-wachtwoord en klik op Verwijderen. Verwijder app-wachtwoorden die je niet meer gebruikt, zeker als een toestel weg is of iemand de organisatie verlaat.
Betere alternatieven
| Situatie | Alternatief |
|---|---|
| Oude mailapp of Outlook-versie | Gebruik een app met moderne verificatie, zoals de nieuwe Outlook of Outlook mobiel |
| Scanner of printer die naar e-mail scant | Firmware-update met OAuth, scannen naar OneDrive/SharePoint, of SMTP-relay via een connector in Exchange Online |
| Toepassing die meldingen mailt | OAuth voor SMTP, Microsoft Graph (sendMail), High Volume Email of Azure Communication Services |
| Script | Microsoft Graph met een app-registratie of beheerde identiteit |
Tips
- Maak per toepassing een apart app-wachtwoord met een duidelijke naam.
- Een app-wachtwoord omzeilt MFA. Behandel het als een gevoelige sleutel en deel het niet.
- Stap je over van MFA per gebruiker naar voorwaardelijke toegang? Zorg dan eerst dat geen enkele toepassing nog een app-wachtwoord nodig heeft.