Dashview Docs - Beveiliging & 2FA

1. Wat je op deze pagina doet

Beheer van bestaande factoren

Zien welke apparaten of methodes al aan jouw account gekoppeld zijn.
De lijst handmatig verversen.
Verouderde of ongewenste factoren verwijderen.

Nieuwe beveiliging inschakelen

Een authenticator-app koppelen.
De QR-code of geheime sleutel gebruiken.
De setup afronden met een actuele verificatiecode.

Deze pagina gaat alleen over jouw persoonlijke account. Tenantadmins gebruiken hiervoor geen aparte adminroute; MFA-beheer blijft altijd gebruiker-specifiek.

2. Gekoppelde apparaten en factoren

De bovenste kaart toont welke tweede factoren al actief zijn op jouw account.

Onderdeel	Wat het betekent
Naam	Je eigen apparaatlabel, bijvoorbeeld Authenticator of een herkenbare naam per telefoon.
Type	Meestal Authenticator-app (TOTP). In sommige omgevingen kan ook een SMS-factor zichtbaar zijn.
Toegevoegd	De datum en tijd waarop de factor is gekoppeld.
Verwijderen	Ontkoppelt de gekozen tweede factor na bevestiging.

Als de lijst leeg is, heb je nog geen tweede factor geactiveerd.
Gebruik Vernieuwen als je net een factor hebt toegevoegd of verwijderd.
Verwijderen is een beveiligingsactie en kan daarom om een recente login vragen.

3. Authenticator-app (TOTP) instellen

Dashview leidt je stap voor stap door de setup van een authenticator-app zoals Google Authenticator, 1Password of Authy.

Vul optioneel een apparaatnaam in.
Klik op Setup starten.
Scan de QR-code in je authenticator-app of kopieer de geheime sleutel handmatig.
Voer de actuele code uit de app in.
Klik op Authenticator-2FA inschakelen.

Wat je tijdens setup ziet

Een QR-code voor snelle koppeling.
Een provisioning-link als fallback.
De geheime sleutel als tekst.
Een invoerveld dat alleen numerieke code accepteert.

Praktische richtlijnen

Gebruik een naam die je later herkent als je meerdere apparaten hebt.
Voer de code direct in; TOTP-codes verlopen snel.
Annuleer de setup als je halverwege wilt stoppen zonder de factor te activeren.

4. Een factor verwijderen

Gebruik verwijderen alleen als je zeker weet dat je nog veilig kunt inloggen met een andere factor of zonder die specifieke koppeling verder wilt.

Zoek in de lijst het juiste apparaat of de juiste factor op.
Klik op Verwijderen.
Bevestig de actie in de dialoog.
Controleer na afloop of de lijst opnieuw is geladen.

Als je maar één factor gebruikt en die verwijdert, verlaag je direct de bescherming van je account. Doe dit alleen bewust en bij voorkeur pas nadat je vervanging klaarstaat.

5. Access keys

Op dezelfde beveiligingspagina kun je tijdelijke access keys maken voor externe MCP clients, HTTP Elements en API-koppelingen. Een access key werkt als jouw eigen gebruiker en volgt de tenant en git-branch die je in de frontend actief hebt. De key gebruikt dus dezelfde pagina-, datasource- en forced-filterrechten als jouw actieve sessie.

Een MCP-client verbinden met OAuth

Als OAuth-login is ingeschakeld, kies je OAuth in je MCP-client en meld je je aan bij Dashview. Controleer de applicatienaam en het callbackadres en kies Allow connection. Keur alleen verzoeken goed die je zelf hebt gestart. Je hoeft geen toegangssleutel te kopiëren of tenant te kiezen.

De verbinding gebruikt je huidige tenant en bestaande gebruikersrechten, inclusief gegevensbeperkingen. Als je als superadmin in Dashview van tenant wisselt, volgt de verbinding die wissel. De toegang blijft maximaal 90 dagen geldig; maak daarna opnieuw verbinding. Trek de bijbehorende OAuth: …-sleutel in onder Account → Access keys om eerder te stoppen. Maak opnieuw verbinding in plaats van deze sleutel te roteren om een OAuth-verbinding te vernieuwen.

Geef de key een herkenbaar label, bijvoorbeeld de naam van je client of koppeling.
Kies na hoeveel dagen de key automatisch verloopt.
Klik op Access key maken.
Kopieer de key direct; Dashview toont hem maar één keer.
Plaats de key als bearer-token in je MCP clientconfig of HTTP request.

Gebruik Roteren naast een bestaande key om direct een nieuwe geheime key te maken en de verloopdatum opnieuw te verlengen. De oude key werkt daarna niet meer; kopieer de nieuwe key meteen, want ook een geroteerde key wordt maar één keer getoond.

MCP clients kunnen dezelfde beheerroutes gebruiken als de app, waaronder dashboards, datasources, Elements, runtime variables en secrets, execution logs en datasource flows. Bij een actieve wijzigingsset blijven ondersteunde MCP-bewerkingen in die tenant-scoped preview. Trigger en server Elements gebruiken dezelfde keys via de publieke /element/{elementId} gateway-routes.

Roteer access keys regelmatig en trek oude keys in zodra je een client niet meer gebruikt. Verlopen of ingetrokken keys geven geen toegang meer. Een wijzigingsset verandert nooit de tenantidentiteit of toegangsscope; de backend valideert het wijzigingsset-ID opnieuw bij ieder request. Alleen niet-gevoelige sleutelmetadata is zichtbaar in de security UI. Verificatiegegevens en herbruikbare OAuth-inloggegevens staan in GCP Secret Manager. Verbindingsmetadata en tokenverificatiehashes staan in Firestore en zijn alleen toegankelijk voor de server.

6. Runtime access context

Dashview gebruikt één user-scoped access contract voor interactieve requests, geplande runs, Elements, Dashbot, MCP-tools en datasource-queries. Service-to-service identity bewijst welke interne service belt, maar is niet de gebruikers- of tenantrechtencontext.

Interactieve requests gebruiken de huidige gebruikerssessie of access key.
Geplande of achtergrondruns gebruiken een kortlevend intern on-behalf-of token voor de effectieve gebruiker of principal.
Tenant-system access is alleen voor intern systeemwerk zoals parquetrefresh-materialisatie en blijft kortlevend, tenant-bound, service-bound en auditable.
Downstream calls naar data-worker-agent, Elements, Dashbot, dashview-mcp en tool backends dragen dezelfde access context door.
Zonder geldige access context mag een user-scoped service geen data lezen of tools uitvoeren.

Creation-time autorisatie is niet genoeg voor geplande of gecachete workflows. Bij uitvoering en bij latere retrieval van rows, signed URLs, rowsRef of Dashbot/tool-resultaten controleert Dashview opnieuw de actuele rechten en forced filters.

7. Veelvoorkomende meldingen

Melding	Wat meestal helpt
De verificatiecode is onjuist	Controleer of je de actuele TOTP-code uit de juiste app hebt gebruikt.
De verificatiecode is verlopen	Wacht op de volgende code en probeer opnieuw.
Te veel pogingen	Wacht kort voordat je nogmaals probeert.
Deze tweede factor is al gekoppeld	Waarschijnlijk is hetzelfde apparaat of geheim al eerder toegevoegd.
Maximum aantal tweede factoren bereikt	Verwijder eerst een oude factor.
Wijzigen lukt nu niet	Gebruik vernieuwen of log opnieuw in als de sessie te oud is.

8. Recente login vereist

Voor gevoelige acties, zoals het toevoegen of verwijderen van een tweede factor, kan Dashview om een recente login vragen. Dat is normaal beveiligingsgedrag vanuit de authenticatielaag.

Log uit via het gebruikersmenu.
Log direct opnieuw in met je normale loginflow.
Open daarna opnieuw /security.
Herhaal de gewenste wijziging.

9. Aanbevolen gebruik

Gebruik per apparaat een duidelijke naam zodat je later weet wat je verwijdert.
Controleer na setup meteen of de factor in de lijst verschijnt.
Werk vanaf een vertrouwd apparaat wanneer je MFA wijzigt.
Gebruik de accountpagina alleen voor je eigen profiel; je kunt hier geen MFA voor anderen beheren.