Tweestapsverificatie en inlogactiviteit op Instagram

Een wachtwoord kan gemakkelijk uitlekken via een valse inlogpagina of een andere website. Met tweestapsverificatie is dat alleen niet genoeg: op een onbekende telefoon of browser vraagt Instagram om een tweede bevestiging. In de Nederlandse interface heet de functie “Tweestapsverificatie” en staat ze in het Accountcentrum, op dezelfde plek als de lijst met ingelogde apparaten.

Waar staat de instelling?

De instellingen voor wachtwoord en inloggen staan in het Accountcentrum dat Instagram deelt met Facebook en Messenger (in de browser: accountscenter.instagram.com). Meta kondigde in april 2026 aan dat het Accountcentrum geleidelijk overgaat in het Meta-account.

1. In de app rechtsonder op de profielfoto en daarna rechtsboven op het menupictogram tikken. In de browser leiden linksonder “Meer” en daarna “Instellingen” hierheen.
2. Bovenaan de lijst met instellingen het “Accountcentrum” openen.
3. In het Accountcentrum “Wachtwoord en beveiliging” kiezen.
4. Hier staat “Tweestapsverificatie”, daaronder de plaatsen waar is ingelogd en de beveiligingscontrole. Zijn meerdere accounts gekoppeld, dan eerst het account kiezen waarvoor de instelling moet gelden.

De drie methoden

Er is minstens één methode nodig; zijn er meerdere ingesteld, dan kan bij het inloggen worden gekozen. Een fysieke beveiligingssleutel staat bij de tweestapsverificatie van Instagram momenteel niet tussen de beschikbare methoden.

• Authenticatie-app (aanbevolen): bijvoorbeeld Google Authenticator, Microsoft Authenticator, Duo Mobile of de codegenerator van een wachtwoordmanager. De app toont elke 30 seconden een nieuwe code, ook zonder bereik, en kan op meerdere apparaten worden ingesteld. Inschakelen kan alleen in de Instagram-app voor Android of iPhone.
• Tekstbericht (sms): de inlogcode komt binnen op het opgegeven telefoonnummer. Eenvoudig, maar kan in het buitenland of na een nummerwissel uitblijven.
• WhatsApp: de code komt binnen in het WhatsApp-account van het telefoonnummer. Alleen in te schakelen als de sms-methode al is ingeschakeld.

Inschakelen met een authenticatie-app

1. Eerst de authenticatie-app op de telefoon installeren.
2. Op de pagina “Tweestapsverificatie” het account en daarna de authenticatie-app kiezen.
3. Instagram toont een QR-code die met de authenticatie-app wordt gescand. Draaien beide apps op dezelfde telefoon, dan in plaats van de QR-code de getoonde sleutel kopiëren.
4. De code uit de authenticatie-app in Instagram invoeren. Bij sms het telefoonnummer opgeven (een nummer dat al bij het account hoort, kan ook) en de ontvangen code invoeren.

Back-upcodes

Back-upcodes zijn codes voor eenmalig gebruik, voor het geval dat de inlogcode niet aankomt, de telefoon kwijtraakt of de gegevens van de authenticatie-app worden gewist.

1. Op de pagina “Tweestapsverificatie” het account en daarna “Aanvullende methoden” kiezen.
2. De optie “Back-upcodes” toont de codes; “Nieuwe codes ophalen” geeft een nieuwe reeks, waarna de oude codes ongeldig worden.
3. De codes zijn alleen ingelogd te bekijken, dus vooraf opslaan: in een wachtwoordmanager of op papier, apart van de telefoon. Wie naast het wachtwoord een back-upcode kent, kan inloggen, dus deze codes aan niemand geven.

Waar is het account ingelogd?

In het onderdeel “Wachtwoord en beveiliging” toont de lijst met aanmeldingen op welke telefoons en in welke browsers het account is ingelogd. De locatie wordt geschat op basis van het IP-adres, dus bij mobiel internet verschijnt vaak een andere stad.

1. De lijst openen en de apparaten, locaties en het tijdstip van de laatste activiteit nalopen.
2. Op het onbekende apparaat tikken en uitloggen kiezen; er kunnen meerdere apparaten tegelijk worden geselecteerd.
3. Was er een onbekend apparaat, dan ook het wachtwoord wijzigen, want daarmee is die persoon binnengekomen. Bij het wijzigen van het wachtwoord biedt Instagram aan ook de andere apparaten uit te loggen.

Vertrouwde apparaten en inlogverzoeken

• Vertrouwd apparaat: bij het inloggen in twee stappen kan de eigen telefoon of computer als vertrouwd worden gemarkeerd, zodat daar de volgende keer geen code nodig is. Op gedeelde of openbare computers deze optie niet aanvinken. Een verkocht of verloren apparaat uit de vertrouwde apparaten verwijderen.
• Goedkeuring op een ander apparaat: in plaats van een code kan het voorkomen dat de nieuwe aanmelding op een al ingelogde telefoon moet worden bevestigd. Een verzoek dat niet van de eigenaar zelf komt, afwijzen. Over een aanmelding vanaf een nieuw apparaat stuurt Instagram ook een e-mail, vanaf het adres mail.instagram.com.
• Ongevraagde code: komt er een inlogcode binnen terwijl niemand probeerde in te loggen, dan kent iemand het wachtwoord en moet het worden gewijzigd. De code aan niemand doorgeven: Veelvoorkomende oplichting op Instagram.