Door Erik van Straten: Het probleem hier is dat de gebruiker de domeinnaam niet checkt, niet weet dat de getoonde domeinnaam niet van de bedoelde organisatie is of niet weet dat de domeinnaam in verkeerde handen gevallen is (zoals recentelijk perl.com). Ik zie niet hoe je dat probleem oplost met een app. Ik denk dat je gelijk hebt dat hier het probleem ligt. De nep website die als een reverse proxy fungeert, kan nooit het goede certificaat en URL bieden, maar de gemiddelde gebruiker ziet dit inderdaad niet (die URLs lijken vaak ook als 2 druppels water op de echte site op het eerste gezicht). De app ziet het ook niet, want die ziet alleen een QR code en niet de bijbehorende URL (met certificaat). Ik ben het dan ook met je eens dat de app een soort van schijnveiligheid biedt. Kwaadwillenden kunnen hier gewoon misbruik van maken. Ik snap dan ook niet waarom zo'n app gelanceerd wordt, zeker niet als er FIDO2 oplossingen zijn (zoals ik in mijn eerste post al aangaf) . EDIT: nu ik erover nadenk. De app kan ...