Kennisbank Youforce Portaal

Dit is een handleiding voor nieuwe gebruikers die voor het eerste inloggen met een onyouforce account.   Nu staat hier alleen nog het inlogproces in en het koppelen van tweefactorauthenticatie. 

Met de overgang naar Visma Connect kunnen wij een, naar mijn mening, mooie nieuwe functionaliteit toevoegen, namelijk de backupcode.    Wat is de backupcode? De backupcode is een eenmalige code die gebruikt kan worden als tweefactorauthenticatie. Dit is fijn om achter de hand te hebben voor wanneer je bijvoorbeeld je telefoon bent vergeten, verloren of vernieuwd hebt.    Hoe krijg je een backupcode? Wanneer de gebruiker een account activeert, krijgt hij of zij een backupcode. Mocht de gebruiker tijdens het inloggen geen toegang hebben tot het apparaat voor de tweefactorauthenticatie, dan kan de gebruiker deze backupcode gebruiken. Het is daarbij belangrijk dat de gebruiker deze opgeslagen en beschikbaar heeft. Als de gebruiker deze niet meer heeft, maar wel nog kan inloggen, kan de gebruiker zelf een nieuwe backupcode aanvragen in de Account Instellingen.    Nu komt het natuurlijk voor dat de gebruiker deze backupcode niet meer heeft. Je kunt als beheerder een nieuwe eenmalige backupcode versturen. Deze code wordt dan naar de gebruiker gemaild, zodat de gebruiker toch aan de slag kan.    De backupcode gebruiken  Wanneer je bij het inloggen geen toegang hebt tot jouw apparaat voor tweefactorauthenticatie, kan je op de link klikken ‘Probeer het op een andere manier’. Vervolgens kies je voor Backupcode gebruiken.  Vul hier de Backupcode in en klik op Bevestigen.  Vervolgens krijg je de keuze voor permanent of tijdelijk geen toegang meer tot de Authenticator-app.  Ik heb tijdelijk geen toegang tot de Authenticator-app Als je tijdelijk geen toegang meer hebt tot de Authenticator-app, kan je op deze manier inloggen met de backupcode zonder dat de verbinding met de Authenticator-app verwijderd wordt.    De backupcode is eenmalig en daarom krijg je een nieuwe code welke de oude code vervangt.    Ik heb permanent geen toegang meer tot de Authenticator-app Als je permanent geen toegang meer hebt de authenticator-app, kan je nu opnieuw de tweefactorauthenticator koppelen en krijg je een nieuwe backupcode. 

18 september vanaf 18:00 uur schakelt Visma Raet over naar een nieuwe leverancier voor authenticatie. Daarom vragen we je om eenmalig enkele extra stappen te doorlopen. Dit proces wordt automatisch gestart zodra je inlogt en hoeft slechts één keer uitgevoerd te worden. Bekijk deze video of volg de volgende stappen:   Vul je gebruikersnaam in. Let op: dit is inclusief @onyouforce.com. Vul je wachtwoord in.     Activeer tweefactorauthenticator.     Je ziet nu eerst een scherm om de Visma Authenticator-app te downloaden. Voor de Microsoft Authenticator klik je op 'Gebruik een andere authenticator-app'.   Scan de QR code voor de Microsoft- of Google Authenticator app. Je kunt ook andere authenticatie apps gebruiken als deze app elke 30 seconden een nieuwe zescijferige code genereert.  Klik daarna op ‘Volgende’ en vul de code uit de app in.   Vervolgens krijg je de mogelijkheid om je telefoonnummer toe te voegen. Dit is optioneel en je kunt op ‘Volgende’ klikken. Daarna krijg je een backup code. Bewaar deze goed, want deze code kan je gebruiken voor de tweefactorauthenticatie wanneer je je telefoon kwijt bent of bent vergeten.  Klik op ‘Ik heb de code gekopieerd en veilig opgeslagen.’ en vervolgens op ‘Volgende’. Jouw tweefactorauthenticatie is nu ingeschakeld.  Als extra controle om te checken of jij ook echt toegang mag hebben tot de account, krijg je de volgende schermen te zien:   Klik op ‘Verstuur activatiemail’ en open jouw e-mail.  Kopieer de code uit de mail, denk hierbij om eventuele spaties. Deze mogen niet worden meegenomen.   Vul de activatiecode uit jouw e-mail in en klik op inloggen. Je bent nu ingelogd in Mijn Youforce!   * De uitgevoerde stappen zijn eenmalig. De volgende keer dat je inlogt in Mijn Youforce log je in met jouw gebruikersnaam, wachtwoord en de code uit de authenticatie app. 

In dit artikel zullen de veelgestelde vragen over Visma Connect worden toegevoegd.    Overgang 18 september vanaf 18:00 uur Moeten alle gebruikers vanaf 18 september opnieuw een apparaat voor tweefactorauthenticatie koppelen? Alleen alle onyouforce gebruikers. Wanneer gebruikers inloggen met Single Sign On (ofwel het zakelijk e-mailadres) verandert er niks voor hen.    Wanneer mijn gebruikers al de Microsoft authenticatie app gebruiken, moeten zij deze vanaf 18 september alsnog opnieuw koppelen? Ja, met deze overstap kunnen wij alleen de gebruikersnamen en wachtwoorden meenemen, de apparaten die gekoppeld zijn voor de tweefactorauthenticatie niet. Daarom moeten alle onyouforce gebruikers opnieuw een apparaat koppelen. Welke app zij nu gebruiken maakt hierin niet uit.    Moeten wij als beheerder een instelling aanpassen op 18 september?  Nee, vanuit Visma Raet zetten wij de knop om. Vanaf dat moment krijgen alle onyouforce gebruikers bij de eerste keer inloggen de mogelijkheid om een apparaat voor tweefactorauthenticatie te koppelen.    Is er een handleiding beschikbaar? Ja, we hebben een handleiding beschikbaar voor jouw onyouforce gebruikers, Handleiding overstap naar Visma Connect voor onyouforce gebruikers. De video voor het koppelen van de Microsoft Authenticator app en de video voor het koppelen van de Visma Authenticator kan je ook met jouw gebruikers delen.    Kan ik meerdere apparaten koppelen voor de tweefactorauthenticatie?  Ja, de gebruiker kan zo veel apparaten koppelen als hij of zij wilt. Zolang de authenticatie app werkt op basis van OTP. Dit houdt in dat je elke 30 seconden een nieuwe zescijferige code krijgt.     Visma Raet raadt de Visma Authenticator app aan voor tweefactorauthenticatie, maar waar kan ik deze app vinden? Deze app kun je downloaden in de App en Play Store onder de naam Visma Authenticator.   Kunnen wij als beheerders ook in Youforce vastleggen welke apps de gebruiker mag gebruiken voor account activatie?  Visma Connect biedt meerdere keuzes aan voor de tweefactorauthenticatie. De gebruiker kan zelf kiezen welke manier hij of zij gebruikt. We kunnen dit niet per klant aanpassen.   Waarom moeten gebruikers naast het koppelen van een apparaat ook het account opnieuw activeren? We hebben de reactivatie van de accounts toegevoegd om de beveiliging van het account te garanderen. Sommige gebruikers loggen namelijk minder vaak in en we willen ook in die periode ervoor zorgen dat de accounts beveiligd zijn.    Kunnen we gebruikers gefaseerd overzetten op Visma Connect?  Nee, met deze overgang kunnen we alleen de knop in één keer voor alle onyouforce gebruikers omzetten en dit zullen we op 18 september vanaf 18:00 uur doen. Dit betekent niet dat alle gebruikers op 19 september in moeten loggen. Zij kunnen inloggen wanneer zij willen, maar zullen bij de eerste keer een nieuw apparaat moeten koppelen.    Wat als mijn gebruikers hun wachtwoord niet meer weten?  Wanneer zij bij het inloggen het wachtwoord niet meer weten, kunnen zij eenvoudig op wachtwoord vergeten klikken. Zij krijgen dan een e-mail met de mogelijkheid om een nieuw wachtwoord aan te maken.    Wat als mij gebruikers geen app op de telefoon willen downloaden?  Dan kan de gebruiker de desktop versie van de Google Authenticator downloaden en met de sleutel koppelen.  Accounts in Gebruikersbeheer vanaf 18 september 18:00 uur Komt het in het logboek wanneer ik een account aanmaak en er een mail verstuurd wordt?  Ja, alle acties worden vanaf 18 september in Gebruikersbeheer in het logboek getoond.    Kan ik accounts verwijderen? Ja, met deze nieuwe accounts kan je in Gebruikersbeheer het account verwijderen. Maar let op, daarmee is het account ook echt weg. Je kunt wel eenvoudig weer een nieuw account aanmaken.    Blijft de inlog met Single Sign On werken als ik het account in Gebruikersbeheer verwijder?  Ja, in Gebruikersbeheer verwijder je alleen het onyouforce account. Zolang de External Identity gevuld blijft, kan de gebruiker in blijven loggen in Youforce met Single Sign On.    Verandert het proces voor nieuwe gebruikers? We hebben een aantal kleine wijzigingen doorgevoerd, zo zal de gebruiker een vereenvoudigd scherm zien bij het aanmaken van het account. Ook kan je als beheerder bij het activeren van het account kiezen naar welk e-mailadres je de activatiemail wilt sturen. Wanneer voor jouw organisatie activatie e-mails automatisch verstuurd worden, dan blijft dit proces hetzelfde.    Daarnaast voegen we de geboortedatum check weer toe voor gebruikers die uit Beaufort komen. Indien gewenst kan je als beheerder deze geboortedatum check zelf uitzetten in Configuratie Youforce. De geboortedatum check wordt niet toegevoegd voor gebruikers die hadnmatig aangemaakt zijn in Gebruikersbeheer.    Kan ik als beheerder de apparaten voor tweefactorauthenticatie deactiveren of ontkoppelen?  Nee, dit is niet meer mogelijk. De gebruiker wordt hier zelf verantwoordelijk voor. Heeft de gebruiker tijdelijk of permanent geen toegang meer tot de telefoon die gekoppeld was voor de tweefactorauthenticatie, dan kan hij of zij daarvoor de backupcode gebruiken. Deze backupcode wordt bij het aanmaken van het account met de gebruiker gedeeld. Als de gebruiker deze backupcode kwijt is kan je als beheerder deze code opnieuw naar de gebruiker mailen vanuit Gebruikersbeheer.    Kan ik als beheerder met Visma Connect ook zien wat de laatste inlogdatum is van een gebruiker?  Jazeker, ook voor de accounts in Visma Connect is dit mogelijk.    Worden mijn onyouforce accounts nog steeds automatisch aangemaakt als ik dat ingesteld heb in Configuratie Youforce? Ja, dit proces zal niet veranderen. 

18 september vanaf 18:00 uur schakelt Visma Raet over naar een nieuwe leverancier voor authenticatie. Daarom vragen we je om eenmalig enkele extra stappen te doorlopen. Dit proces wordt automatisch gestart zodra je inlogt en hoeft slechts één keer uitgevoerd te worden. Bekijk deze video of volg de volgende stappen:   Vul je gebruikersnaam in. Let op: dit is inclusief @onyouforce.com.   Vul je wachtwoord in.       Activeer tweefactorauthenticator.       Je ziet nu eerst een scherm om de Visma Authenticator-app te downloaden. Scan de QR-code om de Visma Authenticator te downloaden. Klik daarna op 'Volgende'     Open de Visma Authenticator-app. Klik rechtsboven op het +. Je kunt hier inloggen met jouw onyouforce account of de volgende QR-code scannen.     Vervolgens krijg je dit scherm te zien. Om het proces voor het koppelen van je telefoon af te ronden klik je op 'Accepteren'.      Vervolgens krijg je de mogelijkheid om je telefoonnummer toe te voegen. Dit is optioneel en je kunt op ‘Volgende’ klikken.   Daarna krijg je een backup code. Bewaar deze goed, want deze code kan je gebruiken voor de tweefactorauthenticatie wanneer je je telefoon kwijt bent of bent vergeten.    Klik op ‘Ik heb de code gekopieerd en veilig opgeslagen.’ en vervolgens op ‘Volgende’. Jouw tweefactorauthenticatie is nu ingeschakeld.    Als extra controle om te checken of jij ook echt toegang mag hebben tot de account, krijg je de volgende schermen te zien:     Klik op ‘Verstuur activatiemail’ en open jouw e-mail.    Kopieer de code uit de mail, denk hierbij om eventuele spaties. Deze mogen niet worden meegenomen.     Vul de activatiecode uit jouw e-mail in en klik op inloggen. Je bent nu ingelogd in Mijn Youforce!   * De uitgevoerde stappen zijn eenmalig. De volgende keer dat je inlogt in Mijn Youforce log je in met jouw gebruikersnaam, wachtwoord en de push notificatie uit de Visma Authenticator 

Vrijwel alle gebruikers van Youforce werken in één omgeving met één account/inlog. Maar gebruik jij op één pc/laptop meerdere Youforce-omgevingen (bijvoorbeeld je Productie en Test-omgeving). Dan leggen we in dit artikel uit hoe je dit eenvoudig kunt onderscheiden.

Hier vind je de veel gestelde vragen voor gebruikers van Mijn Youforce. Waar kan ik de gebruikershandleiding vinden? Klik hier voor de handleiding inloggen met twee factor authenticatie.  Waar kan ik de juiste link vinden voor het inloggen op Youforce? Inloggen kan via https://mijn.youforce.com of  via https://www.vismaraet.nl/inloggen/. Advies: voeg deze URL direct toe aan je favorieten. Hoe log ik in met Single Sign On (SSO)? Als jouw organisatie gebruikmaakt van SSO, kun je daarbij de URL gebruiken die je van jouw beheerder hebt ontvangen. Inloggen kan ook via https://www.vismaraet.nl/inloggen/.  Kies dan voor Inloggen Youforce en vervolgens voor Inloggen via je organisatie.   Waaraan moeten wachtwoorden voldoen? Wachtwoorden moeten langer zijn dan 8 karakters, en niet voorkomen in bekende lijsten van uitgelekte en standaard wachtwoorden (bijvoorbeeld welkom123). Er gelden geen regels voor het gebruik van hoofdletters en speciale tekens. Wat kan ik doen als ik mijn wachtwoord ben vergeten? Vul eerst in dit scherm je gebruikersnaam in.   Vervolgens kan je jouw wachtwoord zelf herstellen. Klik op Wachtwoord vergeten?.   Vervolgens krijg je de keuze om het wachtwoord te herstellen of een eenmalige link te gebruiken voor het inloggen.    Let op: vul bij e-mailadres jouw onyouforce gebruikersnaam bijvoorbeeld: naam@onyouforce.com.   Wachtwoord herstellen Met waachtwoord herstellen krijg je een e-mail met daarin een link. Als je op deze link klikt kan je jouw wachtwoord wijzigen.    Je krijgt nu de mogelijkheid om een nieuw wachtwoord aan te maken.    Eenmalige link Met een eenmalige link kan je inloggen zonder dat je je wachtwoord hoeft te wijzigen. Controleer jouw e-mail en klik op de link. Vervolgens kan je de code voor de tweefactorauthenticatie invoeren of de push notificatie accepteren.     Hoe koppel ik de 2-factor authenticatie aan mijn Youforce account? Bij de eerste keer inloggen met je nieuwe account, wordt gevraagd de 2-factor authenticatie te koppelen aan jouw account.   Om de 2-factor authenticatie te activeren, moet je de volgende stappen doorlopen. Download en installeer de Visma Authenticator, Microsoft - of Goolge authenticator via Play Store (Android) of de AppStore (iOS). Tijdens de installatie wordt je toestemming gevraagd voor het gebruik van functies op je telefoon. Om de app te kunnen gebruiken, is acceptatie noodzakelijk. De app gaat de camera gebruiken om de QR code te scannen. Heb je de Visma Authenticator app gedownload, klik dan op verder en scan de QR-code. Gebruik je liever de Microsoft- of Google authenticator, klik dan op Gebruik een andere authenticator app en scan de QR-Code.  Klik op Accepteren in de Visma Authenticator app of vul de zecijferige code in vanuit de Microsoft- of Google authenticator. Vervolgens krijg je nog de optie om jouw telefoonnummer toe te voegen en kan je de backupcode opslaan. Het is belangrijk dat je de backupcode goed opslaat, want deze kun je gebruiken wanneer je jouw mobiel bent vergeten, verloren of hebt vervangen. 

Hier vind je alle relevante informatie over het 'nieuwe inloggen'. Met deze methodiek log je met behulp van 2 Factor authenticatie (2FA). In onderstaand overzicht staat alle informatie voor beheerders en gebruikers met betrekking tot de migratie, configuratie en gebruik van deze methode.  Handleiding inloggen Mijn Youforce  Handleiding Youforce Single Sign On (PDF) Veelgestelde vragen 2FA voor gebruikers Veelgestelde vragen 2FA voor beheerders Veelgestelde vragen Visma Connect  

Q: Hoe log je in op Youforce? A: Dit zijn de opties: Youforce accounts Je logt in met je gebruikersnaam, wachtwoord en - verplicht - de 2-factor authenticatie van Youforce. Single Sign-On (SSO) Je logt in met je gebruikersnaam, wachtwoord en optioneel de 2-factor authenticatie van jouw organisatie. Q: Wat is Single Sign-On (SSO)? A: SSO betekent dat je dezelfde gebruikersnaam, wachtwoord en 2-factor authenticatie gebruikt voor zowel Youforce als andere applicaties binnen jouw bedrijfsomgeving. Je logt in via het inlogproces van jouw organisatie. Vaak is dat Active Directory. SSO betekent ook dat je niet nog een keer moet inloggen om andere applicaites te gebruiken als je al bent ingelogd op een systeem. Als je vanaf een bedrijfssysteem Youforce start, kun je vaak zonder opnieuw in te inloggen met Youforce werken. Dit hangt echter af van de gebruikte technologie en de inrichting van jouw bedrijfprocessen. Q: Wat is 2-factor authenticatie? A: Met 2-factor authenticatie bevestig je na het invullen van je gebruikersnaam en wachtwoord (iets wat je weet) je identiteit met bijvoorbeeld je telefoon (iets wat je hebt). Q: Waarom voegt Visma | Raet verplicht 2-factor authenticatie toe aan Youforce Accounts? A: Visma | Raet voegt verplicht 2-factor authenticatie toe voor extra beveiliging van Youforce. Wij voegen deze controle toe voor een optimale bescherming van de persoonsgegevens van jouw organisatie en zodat de je blijft voldoen aan de eisen van de Europese privacywet AVG. Youforce zit namelijk vol met gevoelige persoonsgegevens als burgerservicenummers, verzuiminformatie, salarisinformatie, et cetera. De AVG verplicht tot het nemen van beveiligingsmaatregelen, ‘rekening houdend met de stand van de techniek’. Dit betekent vandaag de dag: inloggen mét een 2-factor authenticatie. De toegangsbeveiliging is een gedeelde verantwoordelijkheid. Bij het inloggen via Youforce accounts ligt er een grote rol voor veilig inloggen bij Visma | Raet. Zo vereist Visma | Raet al jaren een 2-factor authenticatie voor HR Professionals in de vorm van een certificaat. Tot voor kort was 2-factor authenticatie inloggen via Youforce Accounts voor medewerker en managers optioneel. Door toegenomen risico's en nieuwe beveiligingstechnieken wordt ook de toegang van medewerkers en managers via Youforce Accounts verplicht met 2-factor authenticatie beveiligd. Op deze manier blijft je ook als klant voldoen aan de AVG. Q: Wij willen geen 2-factor authenticatie voor medewerkers en managers. Wat nu? A: Als jullie geen 2-factor authenticatie willen gebruiken, moeten jullie overstappen naar Single Sign-On (SSO). SSO biedt een grotere vrijheid maar ook een grotere verantwoordelijkheid voor jullie als klant om jullie medewerkers vellig te laten inloggen. Jullie regelen zelf de gepaste inlogbeveiliging met zijn eigen 2-factor authenticatie-oplossing in jullie inlogsysteem. Jullie kunnen als klant zelf bepalen waar en wanneer de gebruiker met een 2-factor authenticatie moet inloggen. Zo kun je inlogsystemen inregelen dat medewerkers alleen buiten het bedrijfsnetwerk via een 2-factor authenticatie moeten inloggen. We kunnen, indien gewenst, jullie zo laat mogelijk migreren. Dit geeft de mogelijkheid over te stappen als jullie IT infrastructuur SSO nog niet ondersteund. Zie 'Wij willen op een specifiek moment overstappen, kan dat?' Q: Welke inlogmethode adviseert Visma | Raet? A: Visma | Raet adviseert je om SSO te gebruiken voor toegang tot Youforce. Dit geeft de beste gebruikerservaring:  Eén login voor alle applicaties Slechts één keer inloggen om toegang te krijgen tot verschillende applicaties. Eén 2-factor authenticatie voor alle applicaties Geen verschillende apps op je telefoon of desktop. Centraal beveiligingsbeleid Slechts op één applicatie moet het beveiligingsbeleid worden onderhouden. Tijdbesparing Ook bespaart het de applicatiebheerders veel tijd voor het afhandelen van inlogproblemen door vergeten gebruikersnamen en wachtwoorden. Q: Wat is het verschil tussen Youforce accounts en Single Sign-On? A: De verschillen: Bij Youforce accounts regelt Visma | Raet de toegangsbeveiliging inclusief de 2-factor authenticatie. De 2-factor authenticatie is beperkt tot Youforce. De 2-factor authenticatie is verplicht. Visma | Raet bepaalt welke soorten 2-factor authenticatie worden gebruikt. Visma | Raet bepaalt wanneer de 2-factor authenticatiewordt gebruikt. Bij Single Sign-On regelt de klant de inlogbeveiliging inclusief de 2-factor authenticatie: De 2-factor authenticatie geldt in principe voor de volledige klantomgeving: webmail, Youforce, et cetera. De klant bepaalt welke applicaties 2-factor authenticatie hebben. De 2-factor authenticatie is niet verplicht maar wordt geadviseerd voor een optimaal beveiligingsniveau. De klant bepaalt welke soorten 2-factor authenticatie de gebruikers kunnen gebruiken. De klant bepaalt wanneer de 2-factor authenticatie wordt gebruikt. Q: Kan ik Youforce accounts in combinatie met Single Sign-On gebruiken? A: Ja, je kunt binnen één omgeving zowel Youforce accounts als SSO toepassen. Ook kan een medewerker zowel via SSO als Youforce accounts inloggen. Q: Werkt de mobiele Youforce app ook met het nieuwe inloggen? A: Ja, je kunt zowel via Youforce accounts als via Single Sign-On inloggen op de mobiele Youforce app. Die beschikbaar is voor iOS en Android van HR Core Beaufort Online klanten. Single Sign-On ondersteuning is nieuw ten op zichte van de oude oplossing voor inloggen. Single Sign-On Q: Hoe kunnen we SSO realiseren voor Youforce? A: Youforce ondersteunt SAML en OpenID Connect voor het inrichten van Single Sign-On met het inlogsysteem van de klant. De inrichting van SSO bevat veel technische stappen die waarschijnlijk door je IT afdeling of IT leverancier worden uitgevoerd. Bespreek de stappen daarom met een IT verantwoordelijke. De samenvatting van de te nemen stappen: Je logt een 4me ticket via Serviceplein > Support voor de SSO inrichting of je hebt van Visma | Raet een (migratie) ticket gekregen Je levert de SSO configuratie van jullie identity-systeem. Dit moet iemand van jouw IT-afdeling voor je opzoeken. Visma | Raet doet de SSO inrichting van Youforce naar jullie identity-systeem Jullie doen de SSO inrichting van de klant-omgeving naar Youforce. Dit moet iemand van jouw IT-afdeling doen Je test of SSO goed werkt door met een paar gebruikers in te loggen. Doe dit samen met iemand van jouw IT-afdeling Je past eventuele links naar Youforce vanuit systemen of e-mails aan  Je koppelt alle Youforce gebruikers aan de gebruikers in jullie inlog-systeem (via het identity veld) Je informeert alle gebruikers over de nieuwe manier van inloggen Deze stappen staan in detail beschreven in onze SSO handleiding. Lees meer... Voor de inrichting van SSO kun je een beroep doen op onze partners. Bijvoorbeeld als je dit wilt uitbesteden of ondersteuning nodig hebt. Surfconext (hoger onderwijs) Tools4ever (overige markten) Voor Single Sign-On met 2-factor authenticatie hebben onze partners solide oplossingen die goed integreren met Youforce. Q: Wat is het verschil tussen SSO, XSSO en SAML? A: De verschillen: SSO: Gebruikers kunnen na één keer inloggen zowel Youforce als andere applicaties van de organisatie gebruiken. XSSO en SAML: Hiermee kun je SSO realiseren. XSSO en SAML zijn methoden / protocollen waarop Youfoce met jouw inlogsysteem communiceert. Q: Welke Single Sign-On protocollen ondersteunt Youforce? A: De protocollen: SAML en OpenId Connect, inclusief ondersteuning van de laatste encryptie standaarden. XSSO wordt niet meer ondersteund als onderdeel van het nieuwe inloggen. Q: Werkt Single Sign-On ook met Google als Identity Provider? A: Ja, voor de Google Business oplossing. De GSuite werkt op basis van SAML. Youforce kan dus inloggen met SAML. Het is op dit moment niet mogelijk om via je privé Google account in te loggen bij Youforce. Q: Werkt Single Sign-On ook met Microsoft Office 365 of Azure AD als Identity Provider? A: Microsoft Office 365 en Azure AD werken met OpenId Connect. SSO werkt dus ook in dit geval. Q: Werkt de Youforce 2-factor authenticatie ook voor verbindingen met SSO? A: Nee, de 2-factor authenticatie voor Youforce accounts werkt niet bij Single Sign-On verbindingen. Bij SSO ligt de verantwoordelijkheid van het inloggen bij de klant. Bij Youforce accounts ligt die verantwoordelijkheid bij Visma | Raet. Combinatie van deze twee maakt het onduidelijk wie verantwoordelijk is voor afhandeling van eventuele inlogproblemen. Denk aan "Help! Ik kan niet meer inloggen", "Help! Ik ben mijn 2-factor authenticatie kwijt, et cetera. De 2-factor authenticatie is onderdeel van een samenhangend pakket aan beveiligingsmaatregelen: wachtwoordlengte, wachtwoord verlooptijd, waarom accounts met 2-factor authenticatie worden uitgegeven, de soorten 2-factor authenticatie, herstel van verloren 2-factor authenticaties, et cetera. Het is niet mogelijk hier één specifiek onderdeel uit te nemen; je moet de maatregelen in samenhang toepassen. Je wilt voorkomen dat de gebruiker te maken krijgt met dubbele 2-factor authenticatie: de 2-factor authenticatie van de klant én de 2-factor authenticatie van Youforce. Q: Hoe beïnvloedt SSO mijn indiensttredingsproces? A: Als onderdeel van het indiensttredingsproces moet er: een gebruiker worden aangemaakt in jullie inlogsysteem (vaak Active Directory) moet deze gebruiker gekoppeld worden aan de medewerker in Youforce. Dit wordt vaak geautomatiseerd via een Identity & Access Management (IAM) systeem. Zie ook 'Kunnen we het aanmaken van gebruikers in ons inlogsysteem automatiseren?' en 'Kunnen we het koppelen van gebruikers aan medewerkers automatiseren?' IAM systemen werken op basis van 'goedgekeurde' medewerkers in het HR Core systeem, of wel de medewerkers waarvoor het indienstredingsproces is afgerond. Het is van belang dit proces zo snel mogelijk af te ronden. In ieder geval voor de indiensttredingsdatum. Vaak zijn er onboarding activeiten opgenomen in het het indiensttredingsproces. Denk aan het regelen van de lease auto, de toegangspas, et cetera. Soms lopen deze activeiten zelfs door tot na de daadwerkelijke indiensttreding met als gevolg dat de medewerker geen toegang heeft tot Youforce en andere IT-systemen. Om dit te voorkomen, moeten deze onboardingsactiveiten worden ondergebracht in een speciaal onboardingsproces. Soms moeten toekomstige medewerkers al voor hun daadwerkelijke indiensttreding toegang hebben tot Youforce of één van haar partnermodules. In dit geval moet je zorgen dat gebruikers op tijd kunnen inloggen. Een Visma | Raet consultant kan je helpen bij de aanpassingen van dit proces. Neem hiervoor contact op met uw account manager. Q: Hoe beïnvloedt SSO mijn uitdiensttredingsproces? A: Bij het uitdiensttredingproces moet er vaak toegang worden geregeld voor historische medewerkers. Zie 'Hoe geef bij SSO historische medewerkers toegang tot Youforce?' Een Visma | Raet consultant kan je helpen bij de aanpassingen van dit proces. Neem hiervoor contact op met uw account manager. Q: Hoe koppel ik gebruikers van een inlogsysteem aan medewerkers in Youforce? A: Na het aanmaken van de gebruiker in het klantinlogsysteem moet je deze koppelen aan de medewerker in Youforce, zodat de medewerker inzage heeft in zijn gegevens. Dit kan op drie manieren: Per individuele gebruiker in Youforce portaalbeheer. Lees meer... Via een bulk-import zijn meerdere medewerkers tegelijkertijd aan de gebruiker te koppelen. Lees meer... Vanuit een geautomatiseerd proces via onze IAM API. Zie ook 'Kunnen we het koppelen van gebruikers aan medewerkers automatiseren?' Q: Kunnen we het aanmaken van gebruikers in ons inlogsysteem automatiseren? A: Ja, dat kan via een Identity & Access Management (IAM) systeem. Een voorbeeld is te vinden op de website van Tools4ever. Youforce heeft de benodige interfaces voor een koppeling met een IAM systeem.  Q: Kunnen we het koppelen van gebruikers aan medewerkers automatiseren? A: Ja, Youforce heeft een IAM API waarmee je dit kan automatiseren via een Identity & Access Manager (IAM) systeem. Een voorbeeld is te vinden op de website van Tools4ever. Youforce en Tools4ever hebben een diepgaande integratie. Zie ook 'Partner Tools4ever'. Maar ook andere systemen of scripts kunnen de API gebruiken om gebruikers uit het inlogsysteem te koppelen aan medewerkers in Youforce.  Let op: de beschikbaarheid van de API verschilt per HR Core systeem.  Q: Hoe geef ik bij SSO historische medewerkers toegang tot Youforce? A: Na uitdiensttreding moeten er vaak nog HR zaken met de historische medewerker worden afgewikkeld. Meestal gaat dit om salarisstroken en jaaroverzichten. Soms gaat het echter om andere zaken. Veel IT-afdelingen hebben ingericht dat de gebruiker standaard zijn inlogrechten verliest zodra hij uitdienst is. Daardoor kan de gebruiker, bij toepassing van SSO, na zijn uitdiensttreding niet meer in Youforce. Er zijn drie manieren om hiermee om te gaan: Historische medewerkers kunnen niet meer inloggen. Communicatie vindt na uitdiensttreding plaats per telefoon, e-mail of post. Historische medewerkers kunnen blijven inloggen op het inlogsysteem van de klant, zoals ze gewend waren toen ze nog in dienst waren. Ze krijgen in het inlogsysteem een aangepast profiel met beperkingen waarmee ze: a) alleen nog toegang tot Youforce hebben b) hun wachtwoord niet meer hoeven te wijzigen. IAM systemen kunnen dit proces automatiseren. Zie ook 'Partner Tools4ever' Historische medewerkers krijgen een Youforce account. Vaak gebeurt dit - als onderdeel van het uitdiensttredingsproces - een aantal weken voor de daadwerkelijke uitdiensttreding. Het is mogelijk om SSO en Youforce accounts tegelijk te gebruiken, dus in de weken voor uitdiensttreding kan de gebruiker het systeem benaderen via SSO en via een Youforce account. Na uitdiensttreding echter alleen nog met Youforce account. Opmerking: In Youforce krijgen historische medewerkers automatisch een beperkt toegangsprofiel. Q: Waarom moet een gebruiker bij het inloggen via SSO een e-mailadres opgeven? Via het e-mailadres bepalen wij waar de gebruiker moet inloggen. Via het domein van het e-mailadres (@klant.nl) bepalen wij dat de gebruiker moet inlogen bij het klant specifieke inlogsysteem. Dit e-mailadres wordt op het systeem van de gebruiker opgeslagen en daarna hoeft een gebruiker het niet meer in te vullen. Bieden jullie IDP-initiatied SSO aan? Q: Kan ik het opgeven van het e-mailadres vermijden bij het inloggen? A: Ja, dat is mogelijk via een klantspecifieke SSO URL: https://youforce.raet.com/sso/<klantnaam>. Deze plaats je in jouw portaal. Dit staat ook bekend als 'unattended SSO'. We adviseren je echter, dit niet toe te passen! Q: Waarom adviseert Visma | Raet om de klantspecifieke SSO URL niet te gebruiken? A: In veel gevallen komen gebruikers bij inloggen in Youforce op de algemene inlogpagina waar zij alsnog hun e-mailadres moeten opgeven: Wanneer zij Youforce benaderen via de algemene inlogpagina, bijvoorbeeld na te hebben gezocht in Google op 'Youforce inloggen' Wanneer zij een directe link krijgen uit een e-mail van Youforce Wanneer zij een Youforce partner product openen Wanneer zij een link van Youforce of haar partner producten als favoriet opslaan Wanneer zij een rolwissel doen Hierdoor ervaren gebruikers verschillende inlog-mogelijkheden; namelijk afhankelijk van hoe zij Youforce benaderen. Om deze verwarring te voorkomen, adviseren wij geen gebruik te maken van de klantspecifieke SSO URL's. Q: Ik wil toch graag een klantspecifieke SSO URL. Hoe vraag ik dit aan? A: Als je toch een klantspecifieke SSO URL wilt toepassen, kan je een ticket indienen via 4me op het Serviceplein. Q: Onze IT-leverancier vraagt om IdP-initiated Single Sign-On, bieden jullie dit aan? A: Nee, wij bieden geen IdP-initiated SSO aan, omdat dit een onveilige inlogmethode is. IdP-initiated SSO is een techniek om Youforce te benaderen vanuit een inlogportaal. De gebruiker klikt in dit inlogportaal Youforce aan en is direct ingelogd. Hij hoeft dus ook geen e-mailadres op te geven. Zie Waarom moet een gebruiker bij het inloggen via SSO een e-mailadres opgeven? Bij deze techniek kan een hacker echter relatief eenvoudig een gebruiker misleiden, zijn sessie stelen en zich vervolgens voordoen als de gebruiker. Met een klantspecifieke SSO URL kan je functioneel hetzelfde bereiken. Deze methode is wél veilig. Zie Kan ik het opgeven van het e-mailadres vermijden bij het inloggen? Youforce accounts Q: Kan een gebruiker zijn wachtwoord wijzigen? A: Ja, op het inlogscherm heeft de gebruiker de optie om het wachtwoord te wijzigen. Q: Met welke 2-factor authenticatie-methoden werken de Youforce accounts? A: Youforce ondersteunt: Een app op de mobiele telefoon die voldoet aan OTP (voor Apple of Android) Een app op de desktop/laptop (voor Windows of de Mac) Een fysieke sleutel: Security key op basis van FIDO2 of een Yubikey Q: Kan ik mijn 2-factor authenticatiemethode kiezen? A: Ja, een gebruiker kan zelf kiezen welke methode voor tweefactorauthenticatie wordt gebruikt.  Q: Kan ik meerdere 2-factor authenticatiemethoden koppelen aan één gebruiker? A: Ja, je kunt meerdere mobiele telefoons koppelen aan je account.  Ook kun je de verschillende methoden door elkaar gebruiken. Q: Is voor de nieuwe 2-factor authenticatieoplossing straks een mobiel telefoonnummer nodig? A: Nee, de oplossing werkt met meerdere methoden: een mobiele telefoon app, een desktop app of een fysieke sleutel. Q: Wat als de gebruiker zijn mobiele telefoon kwijt is? A: Als een gebruiker zijn mobiele telefoon kwijt is, kan hij of zij met behulp van de backupcode toch inloggen in Mijn Youforce. Als de gebruiker de backupcode kwijt is , kan je deze eenvoudig als beheerder vanuit Gebruikersbeheer toesturen.  Q: Een nieuwe mobiele telefoon, wat nu? A: Als de gebruiker zijn oude mobiele telefoon heeft, kan hij daarmee zijn nieuwe telefoon koppelen. De gebruiker logt in in Mijn Youforce en klikt op Persoonlijke instellingen en daarna op Account Instellingen. Hier kan de gebruiker zelf een nieuw apparaat koppelen.    Als de gebruiker de oude telefoon niet meer heeft, kan hij of zij met behulp van de backupcode toch inloggen in Mijn Youforce. Als de gebruiker de backupcode kwijt is , kan je deze eenvoudig als beheerder vanuit Gebruikersbeheer toesturen.  Q: Kan ik een Youforce account tijdelijk blokkeren? A: Ja, in Gebruikersbeheer kan je een gebruiker blokkeren. De gebruiker kan dan ook niet meer inloggen. De gebruikersnaam, wachtwoord en de 2-factor authenticatie blijven bestaan. De beheerder moet de blokkering opheffen; de gebruiker kan in dit geval niet zelf deblokkeren. Q: Kan ik het aanmaken van Youforce accounts automatiseren? A: Ja, dat kan een beheerder instellen in Configuratie Youforce. Alle nieuwe medewerkers krijgen dan bij onboarding automatisch een e-mail over hun account. Q: Zijn Youforce accounts automatisch te blokkeren zodra de gebruiker via SSO kan inloggen? A: Nee, dat is op dit moment niet mogelijk. Het is nu dus een handmatige handeling om de Youforce accounts te blokkeren nadat de Youforce gebuiker is gekoppeld aan de gebruiker in het inlogsysteem van de klant. Q: Kunnen we Youforce accounts verhuizen naar een andere omgeving? Nee, dit wordt niet ondersteund. Als gebruikers door bijvoorbeeld een fusie of splitsing naar een andere omgeving moeten verhuizen, moeten zij een nieuwe gebruikersnaam, wachtwoord en 2-factor authenticatie koppelen. Je kunt de impact voor de eindgebruikers wél minimaliseren door over te stappen op Single Sign On. Shared Service Centers Q: Wat is een Shared Service Center? A: Een Shared Service Center is een bedrijf dat de HR administratie doet voor meerdere organisaties. Dit is bijvoorbeeld een administratiekantoor in het onderwijs dat voor verschillende scholen de HR administratie doet. Maar het kan ook een grote gemeente zijn die voor de kleinere omringende gemeentes de HR administratie doet. De afdeling BPO van Visma | Raet is ook een Shared Service Center want die afdeling doet de HR afdministratie voor veel Visma | Raet klanten. Q; Werkt Single Sign-On voor een Youforce omgeving met meerdere klanten? A: Ja, met het nieuwe inloggen ondersteunt Visma | Raet meerdere identity providers per klantomgeving. Er zijn dus meerdere SSO koppelingen per klantomgeving. Q: Kan ik het login systeem van ons Shared Service Center gebruiken om op verschillende klantomgevingen in te loggen? A: Nee, dit is (nog) niet mogelijk. Elke Single Sign-On koppeling is op dit moment gekoppeld aan maximaal één klantomgeving. Deze mogelijkheid is momenteel in onderzoek. Q: Kan - in een gedeelde omgeving - het ene deel van de organisaties gebruik maken van Single Sign-On en het andere deel van Youforce accounts? A: Ja, dit is mogelijk. Binnen één omgeving kunnen er gebruikers zijn die inloggen via Youforce accounts en andere via Single Sign-On. Het Shared Service Center zal voor de medewerkers die een Youfoce account nodig hebben, het activeringsproces van het account handmatig moeten starten. Q: Kan ik het aanmaken Youforce accounts automatisch triggeren voor een specifiek bedrijf? A: Nee, dit is nog niet mogelijk. Je kan het automatisch aanmaken van Youforce accounts alleen aanzetten voor de hele omgeving.   Beveiligingsbeleid Q: Hoe garandeert Visma | Raet veilig inloggen? A: Visma | Raet baseert zijn inlogbeleid op de NIST 800-63. Dit is een standaard in toegangsbeveiliging die beschrijft: waar wachtwoorden aan moeten voldoen wanneer 2-factor authenticatie moet worden gebruikt welke 2-factor authenticatie loginmethoden veilig zijn hoe vaak je opnieuw moet inloggen welke protocollen veilig zijn hoe je gebruikersaccounts veilig uitgeeft hoe je op een veilige manier Single Sign-On koppelingen maakt (federeren) Visma | Raet heeft gekozen voor de NIST 800-63 als uitgangspunt voor toegangsbeveiliging van Youforce omdat dit een gevalideerd en samenhangend pakket is van concrete beheersmaatregelen, en staat bekend als een industrie standaard en wordt onderschreven door Nederlandse overheid. Daarnaast is Youforce, net als de inlogprocedure, onderdeel van regelmatige audit door externe partijen. Lees meer... Q: Hoe relateert de NIST 800-63 aan de Nederlandse overheid? A: De Nederlandse overheid schrijft geen concrete beveilgingsmaatregelen voor maar adviseert om op basis van een gedegen risico afweging passende beveiligingsmaatregelen te treffen. Deze adviezen zijn door de Nederlandse overheid nader uitgewerkt in gepubliceerde richtlijnen en handreikingen. In dergelijke richtlijnen wordt veelvuldig verwezen naar bestaande richtlijnen, waaronder de NIST 800-63. Zie bijvoorbeeld de factsheet Gebruik tweefactorauthenticatie van het NCSC. Het is mogelijk dat NIST 800-63 niet overeenstemming is met het toegangsbeveiligingsbeleid van jouw organisatie. We gaan graag in gesprek met je als je het idee hebt dat de nieuwe oplossing minder veilig is. Neem in dat geval contact op met je account manager.  Daarnaast heb je via Single Sign-On wél de volledige controle én verantwoordelijkheid over de toegangsbeveiliging. We adviseren dan ook SSO toe te passen. Zie ook Welke inlogmethode adviseert Visma | Raet?' in deze FAQ. Q: Hoe vaak moet een gebruiker zijn wachtwoord wijzigen? A: Nooit, tenzij we ontdekken dat het wachtwoord is uitgelekt. De NIST 800-63b beschrijft in artikel 5.1.1.2 dat het veiliger is om wachtwoorden niet te laten verlopen. Bij het verlopen van wachtwoorden hebben mensen de neiging hebben om simpele wachtwoorden te kiezen. Q: Kan ik eisen aan wachtwoorden en andere beveiligingsregels aanpassen? A: Nee, dat is niet mogelijk. Voor Youforce bepaalt Visma | Raet de beveiligingsregels. Dit is een samenhangend pakket van maatregelen op basis van de NIST 800-63. Over Single Sign-On heb je wél de volledige controle. Q: Ondersteunt Youforce het werken van personen op dezelfde computer? A: Ja, dat is mogelijk. Zolang ze op de gedeelde computer met verschillende user accounts werken (bijvoorbeeld als users piet@bedrijf.nl & arie@bedrijf.nl). Let op: dit zijn de user accounts van het besturingsysteem. Het gebruik van een gedeeld user account (bijvoorbeeld de user: receptie@bedrijf.nl) leidt vrijwel altijd tot het lekken van gegevens. De kans is namelijk groot dat de medewerkers elkaars HR informatie zien. Oorzaken Het uitloggen gebeurt in de praktijk niet Het sessiegedrag van de browser is niet altijd helder: "ik had de browser toch afgesloten!?" terwijl de sessie op de achtergrond actief bleef Documenten als salarisstroken of contracten worden opgeslagen in de voor iedereen bereikbare download folder Let op: Het gebruik van gedeelde computers en de inrichting daarvan is de verantwoordelijkheid van de klant. Q: Waarom is TLS 1.2 verplicht? A: De NIST 800-63 standaard en ook een overheidsinstantie als de Nationaal Cyber Security Centrum (NCSC) schrijven TLS 1.2 voor. Daarnaast heeft de autoriteit Persoonsgegevens hierover een waarschuwing gegeven: als organisaties niet overstappen op TLS 1.2, lopen ze het risico niet te voldoen aan artikel 24 en 32 van de AVG. Lees meer... Q: Is het mogelijk om een geografische of IP beperking te configureren? A: Nee, dit is bij Youforce accounts niet mogelijk. Het is vaak wél mogelijk via Single Sign-On. Dit is echter afhankelijk van de mogelijkheden van uw identity systeem (zoals active directory). Partner Tools4ever Q: Hoe kan Tools4ever IT-afdelingen helpen? A: Tools4ever is een Visma | Raet partner die IT-afdelingen kan helpen. Het realiseren van Single Sign-On, met 2-factor authenticatie voor alle applicaties in het software-landschap. Dit om te voorkomen dat eindgebruikers problemen hebben met de 2-factor authenticatie van apps om toegang te krijgen tot hun diensten. Tools4ever kan dit oplossen via HelloID. Naar Tools4ever. Het automatiseren van processen binnen het gebruikersbeheer die volgen op de HR processen instroom, doorstroom en uitstroom. Tools4ever automatiseert deze processen via IAM (ook bekend als UMRA). Naar Tools4ever. Q: Kan Identity Access Management ook de processen van gebruikersbeheer Youforce automatiseren? A: Ja, dat kan. Tools4ever kan twee processen van gebruikersbeheer automatiseren in Youforce. Automatisch koppelen van gebruiker aan medewerker Automatisch bijwerken van de contact gegevens van een medewerker Let op: de beschikbaarheid van deze opties hangt af van het HR Core systeem. Surfconext en Surf SecureID Q: Wie is Surf? A: SURF is een coöperatie met ruim 100 leden, in met name het hogere onderwijs. Q: Hoe kan Surf helpen? A: Surf biedt diverse oplossingen voor het inloggen. Inloggen via Surfconext betekent één login voor meer dan 1000 diensten. Surf SecureID is de 2-factor authenticatieoplossing. Surf biedt hier sms, tiqr (smartphone-app) of Yubikey (usb-sleutel). Q: Waarom zou ik voor Surf kiezen? A: SURFsecureID biedt een hoog betrouwbaarheidsniveau: de identiteit van de gebruiker wordt gecontroleerd voordat de 2-factor authenticatie kan worden gebruikt. Youforce heeft een extra veilige aansluiting op SURFsecureID. Deze is gebaseerd op NIST 800-63C standaard voor SSO koppelingen.