Onbekende link? Open hem in een privévenster en ken de grenzen

De meeste mensen surfen in één venster waarin ze bijna overal zijn ingelogd: e-mail, de bank, webwinkels, sociale media, werkapplicaties. Dat is handig, maar het betekent ook dat elke pagina die je opent binnenkomt in een browser die al bij al die diensten is ingelogd. Browsers houden sites al van elkaar gescheiden, dus een willekeurige pagina kan niet zomaar je mail of je bankrekening lezen. Maar verzoeken die zo'n pagina naar die sites stuurt, kunnen je inlogcookies meesturen, en bij een kwetsbare dienst kan dat genoeg zijn om namens jou iets te doen. Bij links die je vertrouwt is dat geen probleem. Bij een link van een onbekende afzender, een bericht dat je niet verwachtte of een QR-code op een sticker kun je hem daar eenvoudig van weghouden: open hem in een privévenster.

Wat een privévenster verandert

Elke grote browser heeft er een. Firefox noemt het privénavigatie, Safari privévensters, Chrome de incognitomodus en Edge InPrivate. Waar het hier om gaat: zo'n venster deelt je dagelijkse sessie niet. Volgens de Chrome-hulp van Google start Chrome een afzonderlijke browsesessie als je een incognitovenster opent, en logt Chrome je dan niet automatisch in op je Google-account of andere websites. De Safari-handleiding van Apple zegt dat in een privévenster elk tabblad wordt geïsoleerd van de andere tabbladen.

Voor een link die je niet vertrouwt, heeft dat twee praktische gevolgen:

• De pagina kan niet meeliften op je bestaande inlogsessies. Verzoeken die de pagina naar je mail, bank of webwinkel stuurt, gaan zonder de inlogcookies van je gewone venster. Dat beperkt aanvallen die op die cookies leunen, zoals cross-site request forgery tegen een kwetsbare dienst. Werkcomputers die je werkgever beheert, kunnen wel zo zijn ingesteld dat ze ook in een privévenster automatisch inloggen op werksites, zoals Microsoft voor Edge beschrijft.
• Wat de pagina opslaat, blijft niet achter. Volgens Google en Microsoft verwijderen Chrome en Edge de cookies en sitegegevens van de privésessie zodra je alle privévensters sluit, en volgens Apple worden wijzigingen in je cookies of websitegegevens in een privévenster van Safari niet bewaard.

Bovendien krijg je er een duidelijk waarschuwingssignaal bij. Als een pagina die je via een onbekende link hebt geopend vraagt om in te loggen, is dat niet het privévenster dat moeilijk doet. Dan is het tijd om het venster te sluiten en zelf naar de dienst te gaan, door het adres in te typen of de app te openen.

Eén detail is belangrijk. In Chrome en Edge begint een privésessie niet per venster opnieuw: de incognitosessie van Chrome stopt pas als je alle incognitovensters sluit, en Microsoft schrijft dat cookies pas worden verwijderd als je alle InPrivate-vensters sluit. Gebruik het privévenster dus alleen voor die onbekende link, log daar niet in op je echte accounts en sluit alle privévensters als je klaar bent.

Wat een privévenster niet doet

Privé surfen wordt vaak overschat, dus precisie loont. Dit zeggen de browsermakers er zelf over:

• Het maakt je niet anoniem. Volgens Google ben je in de incognitomodus niet onzichtbaar: websites die je bezoekt en organisaties die je netwerk beheren, zoals je school, werkgever of internetprovider, kunnen je activiteit misschien nog steeds zien. Volgens Microsoft hebben je school, werkplek en internetprovider mogelijk toch toegang tot je browsegegevens uit InPrivate, en volgens Mozilla verhindert privénavigatie in Firefox niet dat je internetprovider registreert wat je doet.
• Het beschermt je niet tegen malware. Mozilla schrijft dat privénavigatie je niet beschermt tegen malware of virussen, en Microsoft dat InPrivate je niet beter beschermt tegen schadelijke websites. Bestanden die je downloadt, blijven bovendien op je apparaat staan nadat je het venster sluit, zoals Google en Apple allebei aangeven. Een link kan ook een download starten in plaats van een pagina te tonen: annuleer onverwachte downloads en open het bestand niet. Sommige browsers kunnen bepaalde gedownloade bestanden automatisch openen, zoals Safari met de optie Open "veilige" bestanden na downloaden, dus controleer die instelling ook. Download of open dus niets via een link die je niet vertrouwt, privévenster of niet.
• Het houdt je niet tegen als je zelf je wachtwoord weggeeft. Een nep-inlogpagina ziet er in een privévenster precies hetzelfde uit. Typ je daar je wachtwoord of kaartgegevens in, dan ben je ze kwijt, in welk venster je ook zat.
• Het neemt niet weg wat de link zelf meedraagt. Een gepersonaliseerde link kan jou herkenbaar maken voor wie hem stuurde, en sommige links loggen je in zonder wachtwoord. Open onverwachte links voor inloggen, wachtwoordherstel of je account niet om ze te verkennen; ga zelf naar de officiële dienst.

Zo open je een link in een privévenster

In de meeste browsers biedt het menu dat verschijnt als je op een computer met de rechtermuisknop op een link klikt, of op een telefoon je vinger op de link houdt, de optie om hem in een privévenster te openen. Twee voorbeelden uit de officiële hulppagina's: in Edge klik je met de rechtermuisknop op een link en kies je Koppeling openen in het InPrivate-venster; in Chrome op Android houd je je vinger op de link en tik je op Link openen in nieuw incognitovenster (de Android-instructies van Google).

Links in een mailprogramma, chatapp of QR-codescanner openen waar die app ze naartoe stuurt, en dat is vaak je gewone browservenster. Wil je toch een privévenster, kopieer dan het linkadres zelf in plaats van op de link te tikken, bijvoorbeeld met Linkadres kopiëren in het menu van de link, en niet de zichtbare tekst. Open daarna een nieuw privévenster en plak het adres in de adresbalk. In Chrome op een computer vind je Nieuw incognitovenster in het menu Meer (of druk op Ctrl + Shift + N, op een Mac ⌘ + Shift + N); in Safari op een Mac kies je Archief > Nieuw privévenster.

Eén gewoonte naast andere

Een privévenster beperkt wat een onbekende link kan bereiken. Het vertelt je niet of je hem überhaupt moet openen. Deze gewoontes zijn belangrijker en komen eerst:

1. Kijk naar de echte bestemming voordat je klikt. De woorden in een bericht zijn niet het adres dat je bezoekt. In E-maillink-phishing: waarom je mailprogramma altijd de URL zou moeten tonen pleit ik ervoor dat mailprogramma's dat adres standaard laten zien, en Ander domein achter een link: alarmsignaal of onschuldig? legt uit hoe je een adres beoordeelt dat afwijkt van de tekst.
2. Gaat het om je account of je geld, sla de link dan over. Ga zelf naar de officiële website of app, via een adres dat je kent of de app die je al hebt.
3. Laat een tool zien naar welk adres een e-maillink verwijst. Reveal URLs is een gratis opensource-browserextensie en e-mail-add-on die van elke link de werkelijke onmiddellijke URL toont voordat je klikt. Het toont de onmiddellijke URL en volgt geen doorverwijzingen.
4. Controleer waar een QR-code naartoe gaat voordat je hem opent. Een QR-code met een webadres is een link die je pas kunt lezen als iets hem decodeert. Toont je scanner eerst het adres, lees dat dan net zo zorgvuldig als elke andere link, zoals beschreven in QR-code gescand? Controleer eerst het webadres.

Wil je daarna nog steeds zien waar een onbekende link naartoe gaat, open hem dan in een privévenster, log niet in, download niets en sluit daarna alle privévensters.