Patiëntportaal met magic-link: simpel én veilig

Vraag patiënten naar hun wachtwoord en je krijgt: 'Hallo123!' Magic-link is een betere aanpak.

Wat is magic-link inloggen?

1. Patient typt zijn emailadres in
2. EPD stuurt een mail met een uniek inloglink
3. Patient klikt op de link → ingelogd
4. Link is 1-keer bruikbaar + verloopt na 15-30 min

Geen wachtwoord nodig.

Voordelen

• Veiliger dan wachtwoorden (geen brute-force, geen password reuse)
• Eenvoudiger voor de patient
• Lager support-volume (geen 'wachtwoord vergeten' aanvragen)

Nadelen?

• Vereist toegang tot email
• Iets trager dan ingelogd-blijven met cookie
• Bij gehackt email-account → toegang

(oplossing: 2FA als 2e factor)

Hoe implementeren?

Met Epdee zit het ingebouwd in /portaal:

• Patient typt email
• Er komt een link per mail, die 30 minuten geldig is en maar één keer werkt
• Klik = inloggen
• Sessie 1 uur geldig

Wat ziet de patient?

Bewust weinig: zijn afspraken. Wat de patiënt verder nodig heeft, krijgt hij als directe link in de mail, zonder eerst in te loggen:

• een betaallink bij de factuur (iDEAL of creditcard via Mollie)
• de intake-vragenlijst die bij zijn afspraak hoort — die opent pas nadat hij zijn geboortedatum en de cijfers van zijn postcode heeft ingevuld (woont hij in het buitenland, dan alleen de geboortedatum)
• een link om de afspraak te annuleren

Een dossier inzien of facturen downloaden kan in het portaal (nog) niet.

Waarom een vragenlijstlink een eigen controle heeft

Een inloglink verloopt na een half uur; een vragenlijstlink moet dagen blijven werken, want de patiënt vult hem in wanneer het hem uitkomt. Wie zo'n mail onderschept of doorgestuurd krijgt, zou dan de naam en de vragen van een ander zien. Daarom toont de link niets tot geboortedatum en postcodecijfers kloppen met het dossier, en gaat hij na vijf verkeerde pogingen dicht. Dat is een drempel, geen identiteitsbewijs — maar het houdt de link dicht voor wie hem per ongeluk in handen krijgt.

AVG

• Geen wachtwoorden in de database, dus ook geen wachtwoorden die kunnen lekken
• Inloglinks worden gehasht opgeslagen en werken maar één keer
• Het versturen van een factuur of vragenlijst, het afronden ervan en elke mislukte controle komen in de audittrail van de praktijk — zonder de antwoorden of de ingevulde geboortedatum