Miljoenen X-gebruikers (voorheen Twitter) die “alles goed deden” voor hun accountbeveiliging, zijn de afgelopen 24 uur buitengesloten, vastgelopen in eindeloze tweefactorauthenticatie-lussen en geconfronteerd met een verwarrende melding:
“U moet uw YubiKey opnieuw registreren.”
De storing is direct verbonden met Elon Musks langdurige poging om de laatste sporen van twitter.com te wissen en inlogprocessen volledig naar x.com te verplaatsen — een merk- en domeinovergang die critici al zagen als een van de rommeligste rebrandings in de techwereld. [1]
Dit is wat er is gebeurd, wat er vandaag (13 november 2025) nieuw is, en wat je kunt doen als je X-account momenteel vastzit in authenticatieproblemen.
Wat er gebeurde: X’s overstap naar nieuwe beveiligingssleutels verloopt problematisch
Op 24–27 oktober waarschuwde X gebruikers stilletjes dat als ze een hardwarebeveiligingssleutel (zoals een YubiKey) of passkey gebruikten voor tweefactorauthenticatie (2FA), ze deze opnieuw moesten registreren voor het nieuwe x.com-domein vóór 10 november 2025, anders liepen ze het risico buitengesloten te worden. [2]
Het Safety-team van X benadrukte destijds dat:
- De wijziging “niet gerelateerd was aan een beveiligingsincident,”
- Het alleen van invloed was op beveiligingssleutels en passkeys,
- En dat het nodig was omdat die sleutels cryptografisch gekoppeld zijn aan twitter.com, dat X wil uitfaseren. [3]
Beveiligingsmedia zoals BleepingComputer en The Register legden uit dat zodra twitter.com verdwijnt, sleutels die aan dat domein zijn gekoppeld simpelweg niet meer werken — dus moeten ze opnieuw geregistreerd worden voor x.com. [4]
Dat was het plan.
De werkelijkheid kwam deze week.
12–13 november: YubiKey-fout en oneindige inloglussen
Vanaf laat op 12 november (VS-tijd) en doorlopend in de vroege uren van 13 november 2025, begonnen X-gebruikers te melden dat ze niet meer konden inloggen op web of mobiel:
- Na het invoeren van hun wachtwoord kregen ze te horen dat ze “[hun] YubiKey opnieuw moesten registreren” om deze te koppelen aan x.com. [5]
- Toen ze probeerden de instructies te volgen, bleef de flow gewoon… in een lus hangen.
- Sommigen hebben nooit een YubiKey gehad, maar werden toch gedwongen tot hetzelfde scherm “registreer je YubiKey opnieuw”. [6]
Android Central, Windows Central en TechCrunch documenteerden allemaal hetzelfde patroon: een wereldwijd inlogprobleem voor accounts gekoppeld aan beveiligingssleutels of passkeys, wat vaak resulteerde in een verificatie-dead-end of volledige uitsluiting, zelfs wanneer gebruikers de instructies correct volgden. [7]
Het op beveiliging gerichte platform The Tech Buzz omschreef het ronduit als een “security key migration” die misging en het onderhoud van domeinen veranderde in “authenticatiehel” voor de meest beveiligingsbewuste gebruikers van het platform. [8]
Update van vandaag (13 november 2025): Gedeeltelijk herstel, aanhoudende chaos
Nieuwe berichtgeving en gebruikersposts van vandaag suggereren dat het ergste van de storing afneemt — maar niet iedereen heeft alweer toegang.
Redacties: Probleem bevestigd, X blijft grotendeels stil
- NewsBytes meldt dat X “met een groot probleem kampt na een verplichte wijziging in tweefactorauthenticatie,” waardoor gebruikers “in eindeloze lussen terechtkomen of volledig buitengesloten zijn,” en merkt op dat X niet publiekelijk heeft gereageerd op de storing. [9]
- Storyboard18 beschrijft eveneens een “mislukte beveiligingsupdate” die gebruikers buitensloot of in inloglussen vastzette — opnieuw met de nadruk dat X geen officiële uitleg heeft gegeven terwijl Elon Musk gewoon normaal blijft posten vanaf zijn eigen account. [10]
- Tech Buzz heeft vanmorgen het artikel bijgewerkt om aanhoudende authenticatiefouten en het voortdurende gebrek aan een formele verklaring van X te vermelden. [11]
TechCrunch merkt op dat X “niet reageerde op een verzoek om commentaar,” terwijl hun eigen berichtgeving over het inloggen eindeloze lussen en wijdverspreide uitsluitingen na de deadline van 10 november beschreef. [12]
Gebruikersrapporten: terugdraaiing gaande, maar niet universeel
Windows Central’s liveblog, onder verwijzing naar interne bronnen, meldde op 12 november dat de technici van X recente wijzigingen aan het terugdraaien waren, en halverwege de middag kon de schrijver weer inloggen terwijl de storingsmeldingen op DownDetector begonnen af te nemen. [13]Op de Reddit-gemeenschappen r/Yubikey en r/Twitter beschrijven gebruikers: [14]
- Wereldwijde problemen met X’s YubiKey/passkey inlogproces.
- Verwarrende meldingen om “je YubiKey opnieuw te registreren”, zelfs voor mensen die alleen passkeys of authenticator-apps gebruikten.
- Een golf aan reacties vroeg in de ochtend zoals “Ik ben er weer in” en “Opgelost voor beide accounts” — naast anderen die zeggen dat ze nog steeds buitengesloten zijn.
Een veel gedeelde Reddit-reactie verwijst naar een bericht van een geverifieerde X-ingenieur die stelt dat het “probleem met inloggen via security key binnenkort opgelost zou moeten zijn,” maar de oplossing wordt duidelijk ongelijkmatig uitgerold: sommige accounts werken weer, andere zitten nog steeds vast in de loop. [15]
Kort samengevat voor 13 november:
- De storing verbetert maar is nog niet volledig voorbij.
- Er is nog steeds geen gedetailleerde, openbare post-mortem van X.
Wie is getroffen — en wie niet?
Gebaseerd op meldingen in de berichtgeving van vandaag en gebruikersposts: [16]
Meest getroffen:
- Accounts die ooit hebben ingesteld:
- Een hardwarebeveiligingssleutel (YubiKey of vergelijkbaar), of
- Een passkey (platform-authenticator met Face ID, Touch ID, Windows Hello, enz.)
- Vooral gebruikers van wie de sleutels oorspronkelijk zijn geregistreerd toen de dienst nog twitter.com gebruikte voor inloggen.
Grotendeels niet getroffen (tot nu toe):
- Accounts die app-gebaseerde authenticators gebruiken (TOTP-apps),
- Accounts die SMS- of e-mailcodes gebruiken voor 2FA,
- Accounts zonder 2FA (hoewel dat sterk wordt afgeraden voor de veiligheid).
Ironisch genoeg zijn de mensen die hebben geïnvesteerd in de sterkste beveiligingen — hardwaretokens en passkeys — het zwaarst gestraft door deze mislukte migratie. Verschillende gebruikersrapporten suggereren ook dat sommige niet-sleutelgebruikers in de fout zijn meegesleurd door een foutieve inlogprocedure die hun configuratie niet correct detecteerde. [17]
Waarom de overstap van twitter.com → x.com het inloggen brak
Om de storing te begrijpen, moet je weten hoe beveiligingssleutels en passkeys werken.
In tegenstelling tot wachtwoorden zijn WebAuthn/FIDO2-beveiligingssleutels en passkeys gekoppeld aan een specifiek domein. Toen je voor het eerst een sleutel registreerde voor twitter.com, vergrendelde deze zich cryptografisch aan die exacte oorsprong. [18]
Dus toen X besloot om het oude domein definitief af te schaffen en inloggen volledig te verplaatsen naar x.com:
- Sleutels die geregistreerd waren op twitter.com kwamen niet meer overeen met het nieuwe domein.
- X vereiste daarom dat gebruikers ze afmelden en opnieuw aanmelden voor x.com.
- De her-aanmeldprocedure zelf lijkt kapot, waardoor het volgende gebeurde:
- Oneindige lussen terug naar het scherm “registreer je YubiKey opnieuw”,
- Inlogverzoeken voor YubiKeys op accounts die alleen passkeys of apps gebruikten,
- Gebruikers die de instellingenpagina waar de wijziging moet worden doorgevoerd niet kunnen bereiken. [19]
X Safety stelde gebruikers eerder gerust dat dit simpel onderhoud was en “niet gerelateerd aan een beveiligingsprobleem,” maar de uitvoering voldeed duidelijk niet aan de basisverwachtingen van betrouwbaarheid: beveiligingsmigraties horen mensen veiliger te maken, niet massaal uit te loggen. [20]
Is dit een hack of datalek?
Er is tot nu toe geen bewijs dat dit incident een hack, datalek of externe cyberaanval is.
- X’s eigen verduidelijkingen in oktober omschreven het resetten van de sleutel als een domeinmigratie, niet als een incident response. [21] Huidige berichtgeving van NewsBytes, Storyboard18, TechBuzz, TechCrunch en anderen koppelen de storing allemaal aan een mislukte implementatie van de geplande migratie van de beveiligingssleutel, niet aan een inbreuk op de systemen van X. [22]
Dat gezegd hebbende, X heeft nog geen gedetailleerde technische uitleg gedeeld, dus externe waarnemers proberen de hoofdoorzaak nog steeds te achterhalen aan de hand van gedrag en gelekte interne opmerkingen.
Wat te doen als je bent buitengesloten van je X-account
Als je momenteel vastzit in de YubiKey/passkey-loop, zijn hier praktische stappen op basis van X’s eigen eerdere richtlijnen en aanbevelingen van beveiligingsexperts. [23]
1. Probeer het vanaf een apparaat waarop je al bent ingelogd
Als je nog een actieve X-sessie hebt op:
- Een telefoon,
- Een tablet, of
- Een ander browserprofiel,
gebruik die ingelogde sessie om:
- Ga naar Instellingen → Beveiliging & accounttoegang → Beveiliging → Twee-factor-authenticatie.
- Schakel tijdelijk de oude beveiligingssleutel/passkey-invoer uit die verwijst naar twitter.com.
- Voeg een back-up 2FA-methode toe (authenticator-app of een andere hardware sleutel) als je die nog niet hebt.
- Registreer je YubiKey/passkey opnieuw voor x.com alleen wanneer de migratieproblemen duidelijk zijn opgelost.
2. Controleer andere 2FA-opties
Sommige gebruikers melden dat ze nog steeds toegang krijgen via: [24]
- Een authenticator-app die ze eerder hebben ingesteld,
- SMS- of e-mailcodes,
- Een back-up hardware sleutel.
Als je met een van deze kunt authenticeren, ga dan direct naar instellingen en controleer:
- Welke beveiligingssleutels er zijn vermeld,
- Of je sleutel nu is gekoppeld aan x.com,
- En dat je ten minste één werkende back-up methode hebt.
3. Gebruik het accountherstelformulier van X
Als geen enkele inlogmethode werkt en je volledig bent buitengesloten, is je enige officiële optie om contact op te nemen met X-support via het formulier “toegang tot je account terugkrijgen”, waar meerdere gebruikers op Reddit zeggen dat ze op hebben moeten terugvallen. [25]
Dit proces kan traag zijn en er is geen garantie op succes, maar het is de enige legitieme herstelroute die X biedt als 2FA niet werkt.
4. Voorkom het volledig uitschakelen van 2FA (als het even kan)
De eigen waarschuwingen van X vóór de deadline gaven aan dat je na 10 november het volgende kon doen: [26]
- Je sleutel of passkey opnieuw aanmelden,
- Overschakelen naar een andere 2FA-methode, of
- 2FA helemaal uitschakelen (wat ze zelf “ten zeerste afraden”).
Tenzij je echt direct weer toegang moet hebben en geen andere opties hebt, probeer 2FA niet permanent uit te schakelen. Dit stelt je account bloot aan phishing, hergebruik van wachtwoorden en SIM-swap-aanvallen — precies de dreigingen die beveiligingssleutels moeten voorkomen.
Als je tijdelijk je beveiliging verzwakt om weer toegang te krijgen, plan dan om:
- Onmiddellijk een authenticator-app of reservesleutel toe te voegen, en
- Sterke 2FA weer in te schakelen zodra de inlogsysteem van X stabiel zijn.
5. Pas op voor phishingmails en nep-“support”
Incidenten als deze zijn een magneet voor oplichters. Wees op je hoede voor:
- E-mails die beweren van “X Security” te zijn en je vragen je sleutel te “repareren”,
- Directe berichten die aanbieden je account tegen betaling te herstellen,
- Links die op x.com lijken maar het niet zijn (extra tekens, vreemde subdomeinen, enz.).
Als je ergens op gaat klikken, typ x.com zelf in de browser en navigeer via de officiële interface in plaats van te vertrouwen op links in berichten.
Nog een laatste struikelblok voor X’s lange, rommelige rebranding
Vanuit brandingperspectief is deze storing symbolisch genadeloos.
- Ontwerpwebsite Creative Bloq noemde Musk’s X-make-over onlangs “een van de rommeligste rebrands van het decennium” en merkte op dat mensen het platform nog steeds instinctief “X, voorheen bekend als Twitter” noemen, meer dan twee jaar later. [27]
- In dat artikel werd opgemerkt dat een van de laatste technische overblijfselen van Twitter — de twitter.com URL — eindelijk met pensioen ging, waarbij inloggen nu volledig wordt doorgestuurd naar x.com.
Nu heeft het begraven van twitter.com de oude merknaam weer in het nieuws gebracht, omdat gebruikers klagen dat “Twitter het weer heeft verpest” terwijl ze proberen de laatste sporen van… Twitter te herstellen. [28]
Voor critici past dit incident in een patroon dat ze sinds de overname door Musk hebben benadrukt: agressieve, van bovenaf opgelegde veranderingen die in hoog tempo worden uitgerold, met uitgeklede engineeringteams en ogenschijnlijk beperkte vangnetten. Tal van media presenteren de storing vandaag expliciet als de nieuwste in een reeks operationele misstappen sinds de overname van $44 miljard. [29]
Betekent dit dat passkeys en beveiligingssleutels een slecht idee zijn?
Kort antwoord: nee — maar het is een waarschuwing over hoe je ze implementeert.
Berichten van BleepingComputer, The Verge en The Register benadrukken allemaal dat hardware-sleutels en passkeys nog steeds tot de meest veilige vormen van authenticatie behoren die vandaag beschikbaar zijn. Ze verminderen het risico op phishing drastisch omdat ze alleen reageren op het exacte domein waarop ze zijn geregistreerd. [30]
Wat hier misging was niet de onderliggende technologie. Het was:
- Slecht uitgevoerde migratieplanning (herinschrijving afdwingen tegen een harde deadline),
- Een buggy herinschrijvingsproces zonder betrouwbare back-up,
- Zwakke communicatie tijdens de storing, waardoor gebruikers in het openbaar beveiligingsproblemen moesten oplossen. [31]
Voor andere platforms die dit zien gebeuren, is de les duidelijk:
Als je miljoenen gebruikers naar een nieuw domein met hardware-gebonden inloggegevens wilt overzetten, heb je waterdichte tests, een geleidelijke uitrol en robuuste herstelopties nodig.
FAQ: X-beveiligingssleutelstoring, 13 november 2025
Waardoor werd de inlogstoring bij X veroorzaakt?
Een verplichte migratie van beveiligingssleutels en passkeys van het twitter.com-domein naar x.com, gecombineerd met een kapotte herinschrijvingsprocedure die gebruikers vastzette in YubiKey/passkey-lussen en de toegang tot accountinstellingen blokkeerde. [32]
Wie waren het meest getroffen?
Gebruikers die hardwarebeveiligingssleutels of passkeys hadden ingesteld voor 2FA, vooral degenen van wie de sleutels oorspronkelijk waren geregistreerd toen inloggen nog via twitter.com ging. Velen van hen waren tijdelijk of nog steeds volledig buitengesloten. [33]
Is het probleem nu opgelost (13 november 2025)?
Berichten van Windows Central en Reddit tonen aan dat veel gebruikers weer kunnen inloggen nadat X blijkbaar delen van de wijziging heeft teruggedraaid, maar anderen zitten nog steeds vast, en X heeft geen gedetailleerde openbare post-mortem uitgebracht. [34]
Is X gehackt?
Er is geen openbaar bewijs van een hack of datalek. X en onafhankelijke beveiligingsrapportages schrijven het incident toe aan een mislukte interne migratie van beveiligingssleutels, niet aan een externe aanval. [35]
Moet ik 2FA uitschakelen op mijn X-account?
Alleen als laatste redmiddel. Het uitschakelen van 2FA maakt je account veel makkelijker te compromitteren. Als je de beveiliging moet verzwakken om weer toegang te krijgen, voeg dan een authenticator-app of back-up sleutel toe en schakel sterke 2FA weer in zodra de systemen van X gestabiliseerd zijn. [36]
Vanaf 13 november wordt de crisis langzaam opgelost, maar de schade aan het vertrouwen van gebruikers — en aan de toch al controversiële X-rebranding — kan veel langer aanhouden dan de storing zelf.
References
1. www.creativebloq.com, 2. www.theverge.com, 3. www.theverge.com, 4. www.bleepingcomputer.com, 5. www.androidcentral.com, 6. www.reddit.com, 7. www.androidcentral.com, 8. www.techbuzz.ai, 9. www.newsbytesapp.com, 10. www.storyboard18.com, 11. www.techbuzz.ai, 12. techcrunch.com, 13. www.windowscentral.com, 14. www.reddit.com, 15. www.reddit.com, 16. www.newsbytesapp.com, 17. www.androidcentral.com, 18. www.theverge.com, 19. www.techbuzz.ai, 20. www.theregister.com, 21. www.theregister.com, 22. www.newsbytesapp.com, 23. www.bleepingcomputer.com, 24. www.androidcentral.com, 25. www.reddit.com, 26. www.bleepingcomputer.com, 27. www.creativebloq.com, 28. www.creativebloq.com, 29. www.techbuzz.ai, 30. www.bleepingcomputer.com, 31. www.techbuzz.ai, 32. www.newsbytesapp.com, 33. www.techbuzz.ai, 34. www.windowscentral.com, 35. www.theregister.com, 36. www.bleepingcomputer.com
