SSH-sleutels maken

Voordat je een server huurt, maak je eerst je sleutel. Daarmee log je straks in op je VPS: veiliger dan een wachtwoord én sneller, want je hoeft niks te typen.

Na deze les heb je: een SSH-sleutelpaar op je computer, en je weet welk deel je mag delen en welk deel nooit.

Hoe het werkt (in één plaatje)

Een SSH-sleutel bestaat uit twee bestanden die bij elkaar horen:

flowchart LR
  A["🔑 Privésleutel<br/>id_ed25519<br/>(blijft op jouw computer)"] -- bewijst wie je bent --> S[("🖥️ Server")]
  B["🔓 Publieke sleutel<br/>id_ed25519.pub<br/>(mag je overal neerzetten)"] -- staat op --> S

Zie de publieke sleutel als een slot dat je op de deur van je server zet, en de privésleutel als de enige sleutel die op dat slot past.

Security

• Je privésleutel (id_ed25519, zónder .pub) deel je nooit: niet in een chat, niet met een AI-assistent, niet in een repo of .env. Wie dat bestand heeft, logt in op al je servers.
• Laat een coding-agent niet bij ~/.ssh, en gebruik voor automatische deploys een aparte sleutel.
• Gebruik agent forwarding (ssh -A) niet standaard. Een gehackte server kan je sleutel dan gebruiken zolang je verbonden bent.
• Sleutel toevoegen ≠ wachtwoordlogin uit. Dat zet je uit in server hardenen.

Stap voor stap

1. Open een terminal.

   macOS
   Open Terminal (Cmd + spatie → typ “Terminal”).
   Windows
   Open PowerShell (Start → typ “PowerShell”). OpenSSH zit standaard in Windows 10 en 11.
   Linux
   Open je terminal (vaak Ctrl + Alt + T).

2. Check of je al een sleutel hebt.

   macOS

   ls ~/.ssh

   Windows

   ls $env:USERPROFILE\.ssh

   Linux

   ls ~/.ssh

   Zie je id_ed25519 en id_ed25519.pub? Dan heb je er al een — ga door naar stap 5. Heeft die nog geen wachtzin? Voeg er een toe met ssh-keygen -p (geef bij de vraag het pad naar je id_ed25519 op). Krijg je een foutmelding of een lege map? Gewoon doorgaan.

3. Maak het sleutelpaar. Vervang het e-mailadres door dat van jou (het is alleen een label).

   ssh-keygen -t ed25519 -C "jij@voorbeeld.nl"

   Druk bij de vraag waar het bestand moet komen gewoon op Enter (de standaardplek is prima).

4. Kies een wachtzin (passphrase). Laat hem niet leeg: hij beschermt je sleutel als iemand je laptop (of het bestand) in handen krijgt. Je ziet niets verschijnen terwijl je typt — dat hoort zo.

   Dit zou je nu moeten zien

   Generating public/private ed25519 key pair.
   Enter file in which to save the key (/Users/jij/.ssh/id_ed25519):
   Enter passphrase (empty for no passphrase):
   Enter same passphrase again:
   Your identification has been saved in /Users/jij/.ssh/id_ed25519
   Your public key has been saved in /Users/jij/.ssh/id_ed25519.pub
   The key fingerprint is:
   SHA256:… jij@voorbeeld.nl

5. Bekijk je publieke sleutel. Deze kopieer je straks naar je VPS-provider.

   macOS

   cat ~/.ssh/id_ed25519.pub

   Windows

   Get-Content $env:USERPROFILE\.ssh\id_ed25519.pub

   Linux

   cat ~/.ssh/id_ed25519.pub

   Dit zou je nu moeten zien

   ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAA… jij@voorbeeld.nl

   Eén regel, begint met ssh-ed25519. Dát is wat je deelt.

6. Laat je computer de wachtzin onthouden (optioneel, scheelt typen).

   macOS

   ssh-add --apple-use-keychain ~/.ssh/id_ed25519

   Windows

   In PowerShell als administrator:

   Get-Service ssh-agent | Set-Service -StartupType Automatic
   Start-Service ssh-agent
   ssh-add $env:USERPROFILE\.ssh\id_ed25519

   Linux

   eval "$(ssh-agent -s)"
   ssh-add ~/.ssh/id_ed25519

Pro-tip

Waarom ed25519 en niet RSA? Ed25519-sleutels zijn korter, sneller en minstens zo veilig. Alleen heel oude systemen ondersteunen ze niet — die kom je bij een moderne VPS niet tegen.

Valkuil

Kopieer je de verkeerde regel? Check altijd dat je het bestand met .pub gebruikt. Begint de tekst met -----BEGIN OPENSSH PRIVATE KEY-----, dan heb je de privésleutel te pakken: niet plakken, opnieuw proberen.

Kosten

Gratis. SSH zit standaard in macOS, Windows 10/11 en vrijwel elke Linux.

Checklist

0/4

• Ik heb een terminal geopend
• Ik heb een ed25519-sleutelpaar gemaakt (met wachtzin)
• Ik weet waar mijn .pub-bestand staat en hoe ik het toon
• Ik weet dat ik de privésleutel nooit deel

Je voortgang wordt alleen in deze browser bewaard.

Test jezelf

1. 1Welk bestand mag je aan je VPS-provider geven?

   id_ed25519id_ed25519.pubAllebei

2. 2Waarom stel je een wachtzin in?

   Dat is verplichtZodat een gestolen laptop niet meteen toegang tot je servers geeftDan werkt de sleutel sneller

3. 3Je ziet niets verschijnen terwijl je je wachtzin typt. Wat nu?

   Terminal opnieuw startenGewoon doortypen en Enter drukken — dat hoort zoEen andere sleutelsoort kiezen

Volgende les: een VPS huren bij een EU-provider en deze sleutel meteen toevoegen.