DigiD lost inlogprobleem met certificaat oude Android-telefoons op - update

Gebruikers van DigiD op smartphones met een oudere versie van Android of iOS hebben mogelijk inlogproblemen. Logius laat aan Tweakers weten dat dit veroorzaakt wordt door bepaalde beveiligingscertificaten die niet overeenkomen. De DigiD-beheerder heeft een oplossing uitgebracht.

Dit nieuws in het kort

• Inloggen met de DigiD-app werkt mogelijk niet goed.
• Dat geldt voor oudere Android-versies, zoals Android 9, 10 en 11.
• Dit komt door een probleem met het beveiligingscertificaat van de app.
• Er wordt momenteel een update uitgerold.

De afgelopen dagen meldden meerdere tweakers op het forum dat zij niet konden inloggen op de DigiD-app. Het zou voornamelijk gaan om mobiele apparaten met oudere, maar wel ondersteunde versies van Android. De DigiD-app vereist Android 9 of nieuwer.

Logius legt uit: "Vorige week hebben we certificaten vervangen tijdens de nieuwe DigiD-release." De beheerder van de authenticatiedienst heeft naar eigen zeggen twee leveranciers voor deze certificaten en wisselt regelmatig tussen deze twee partijen 'om risico's te spreiden'. Sommige oudere besturingssystemen, waaronder Android 9, 10 en 11, maar ook iOS 15, bleken dit certificaat niet goed te verwerken.

De overheidsorganisatie heeft 'met spoed' een nieuw certificaat aangevraagd bij de andere leverancier. Inmiddels wordt dit nieuwe certificaat geïmplementeerd, waardoor de problemen verholpen zouden moeten zijn. Het is onduidelijk hoelang de uitrol nog gaat duren. Logius houdt gebruikers via een melding op het inlogscherm van DigiD op de hoogte. Sommige gebruikers melden dat zij 'Inloggen met de DigiD-app is weer mogelijk' te zien krijgen.

Probleem met rootcertificaat

Het probleem ontstond door het vertrouwde rootcertificaat van de gebruikte leverancier van het authenticatiecertificaat voor de DigiD-app. "Op sommige oudere mobiele apparaten ontbreekt het nieuwe vertrouwde rootcertificaat. Dit kan bijvoorbeeld komen doordat het besturingssysteem niet up-to-date is of omdat beveiligingsupdates niet zijn geïnstalleerd", aldus de beheerder.

Het rootcertificaat is het fundamentele certificaat, dat bovenaan de 'vertrouwensketen' staat. Een certificatenautoriteit geeft het certificaat uit en alle onderliggende certificaten baseren hun 'vertrouwen' op het rootcertificaat. Dit certificaat is verwerkt in de browser of in dit geval in het besturingssysteem, specifiek Android. Dat komt nu alleen niet overeen met het nieuwe certificaat van de DigiD-app.

Update, 17.35 uur – Inmiddels lijkt er een oplossing voor het probleem te worden uitgerold. De titel en het artikel zijn hierop aangepast.

Reacties (56)

[Remzi1993]

Ik snap niet waarom er geen veilige mechanisme is om de root certificaten te updaten zoals dat bij Windows, MacOS en Linux het geval is. Ik vind dat fabrikanten daartoe verplicht moeten worden desnoods doet Google dit zelf en dat er dan een afspraak is tussen fabrikanten en Google als ze het zelf niet willen doen. Dit is toch middeleeuws dat dit niet kan?

De enige reden die ik zie waarom dit niet kan of niet gebeurt is omdat fabrikanten geen tijd en geld in willen zetten om apparaten 5 of 10 jaar te ondersteunen.

[wiseger]

Het is wel iets complexer, klanten hebben ook geen zin om voor tien jaar ondersteuning te betalen.

Verder is de fabrikant afhankelijk van de uitgevende instantie, want die heeft een verouderd root certificaat uitstaan bij de oude versies terwijl die inmiddels certificaten uitgeeft die naar een nieuwe root certifcaat verwijzen. De uitgevende instantie moet dus de fabrikant benaderen om zijn nieuwe root certificaat te laten updaten als dat nog mogelijk is. Als die dat niet doet, dan houdt het verder op.

[memphis]

Windows kan toch ook 10 jaar support geven? De meeste smartphones krijgen maar 2 jaar updates en dat lijkt mij eerder een commerciële beslissing dan een technische.

[wiseger]

Vijf jaar support is al een tijdje een EU verplichting dus slechts twee jaar support kan niet.

Alleen ligt het ook dan nog bij de certificaat uitgevende instantie, zij moeten de update van het root certificaat wel doorgeven aan de OS fabrikant.

[memphis]

Let op, hier gaat het nog om Android 9, 10 en 11. Deze hadden veelal 2 jaar updates.

[wiseger]

iOS 15 wordt ook genoemd in het artikel, afgelopen maart kwam iOS 15.8.7 nog uit. Kennelijk is de kaart uitgevende instantie vergeten hun root certificaat update door te geven aan Apple voor iOS 15.

Android 11 kwam uit in 2020. Laatste update was February 5, 2024. Google heeft dus vier jaar support gegeven.

[memphis]

Maar de updates worden door de smartphone fabrikant beschikbaar gesteld, het is aan hun of ze die volle tijd willen supporten.

[wiseger]

Dat klopt, daar ben je ook van afhankelijk. En of je fabrikant één of meerdere OS versie upgrade ondersteunt, scheelt natuurlijk ook behoorlijk in de totale ondersteuning tijd.

Samsung, Google, Apple en Oppo geven al zes jaar of langer ondersteuning. Dus het is tegenwoordig best wel goed geworden.

[kdekker]

Google wellicht wel, de telefoonboer niet perse. Bij mij laatste update (Android 11): augustus 2022. Toen had ik de telefoon nog geen 2 jaar.

Ik weet niet of via de play store nog root certificaten bijgewerkt kunnen worden. Daar krijg ik nu nog wel af en toe updates van, maar dat gaat via Google, niet via je telefoonfabrikant.

[Reactie gewijzigd door kdekker op 27 mei 2026 17:25]

[wiseger]

Welke telefoon heb je dan? Want de meeste telefoon fabrikanten ondersteunen ook vaak wel één of twee OS versie upgrades.

[kdekker]

Xiaomi. OS is geupdate, maar Android 11 is eindpunt geweest, wat nog net goed genoeg is voor bank apps en DigiD, uitgezonderd vandaag .

[YoMarK]

Kijk even naar de Android versies waar het over gaat. Er zijn mensen die nog telefoons gebruiken met Android 9. Waarbij Android 9 dus blijkbaar het eindstation is van hun telefoon. Die telefoons zijn wellicht geleverd met Android 7 of 8. Het gaat hier dus om telefoons die zo'n 6(eindstation android 11) tot misschien wel 10(eindstation Android 9) jaar oud zijn, en gewoon niet meer geupdate worden.

[Reactie gewijzigd door YoMarK op 27 mei 2026 18:03]

[Olaf van der Spek]

Kennelijk is de kaart uitgevende instantie vergeten hun root certificaat update door te geven aan Apple voor iOS 15.

Maar voor 16 en 26 is dat geen probleem?

[Ortep]

Dat is al jaren niet meer zo. Ik krijg op mijn Pixel 7 jaar updates en ook Samsung geeft iets van 5 jaar

[zanza006]

Meestal 3jaar voor een consumer build, meer geven ze niet (op wat uitzonderingen na)

[Remzi1993]

Vandaar dat ze het misschien dan moeten uitbesteden aan Google ofzo of root certificaten worden dan via de Google Play Store geupdate. Ik zijn talloze technische oplossingen te bedenken voor dit probleem.

[kdekker]

Ik ben niet direct klant van DigiD, maar de overheid vereist dat ik het gebruik. Of anders: zonder DigiD kun je bij heel veel dingen niet meer bij (belastingdienst, mijnoverheid). In dit geval werkte het minder veilige SMS controle wel, maar de DigiD app dus niet. De app is gratis en de overheid - die ook belang heeft om e-waste te voorkomen - kan zeggen hoe lang een redelijke termijn is om een telefoon c.q. Android versie te ondersteunen.

Nu levert dat een ander probleem op: fabrikanten 'stunten' weleens met ondersteuningsdata voor telefoons, maar de datum waarvanaf gerekend wordt, is niet de koopdatum, maar de lanceringsdatum/eerste verkrijgbaarheid. Het updatebeleid lijkt beter te zijn geworden de afgelopen jaren, maar als dat niet zo geweldig is, dan verschuiven dus kosten naar de overheid, omdat 'het oudste nog in het veld aanwezige Android versie' ook ouder wordt. Nu goed, dan is het de vraag in hoeverre DigiD zwaar leunt op nieuwere Android features.

Als ik een redelijke termijn zou noemen, dan is dat toch wel minimaal 5 jaar na aankoop van een telefoon. Wat dus in de praktijk neerkomt dat een fabrikant bij lancering toch wel een paar jaar meer ondersteuning c.q. updates naar een nieuwere Android versie moet bieden. Dan zou DigiD weg kunnen komen met zeg 'de laatste 5 of 6 major Android versies' (met de aanname dat ca 1x per jaar een Android versie uitkomt).

Uiteraad geldt voor Apple hetzelfde, maar ik zit niet in het iOS eco-systeem, vandaar Android als voorbeeld genomen.

[wiseger]

Vijf jaar na de laatste verkoop datum is de minimale eis van de EU. Alle fabrikanten moeten daaraan voldoen. In de praktijk zien we dat de grote fabrikanten al langer ondersteuning bieden. Google en Samsung beloven tegenwoordig al minimaal zeven jaar.

[kdekker]

Dat klopt, maar je kunt nog steeds een oudere Samsung (bijv S23) of Pixel kopen, waar de ondersteuning zeker geen 5 jaar meer duurt. Tevens is het fenomeen 'langere ondersteuning' er pas van de laatste paar jaar.

[wiseger]

Jawel hoor. Zowel de S23 als de Pixel ondersteunen ook een OS versie upgrade.

The Galaxy S23 shipped with the Android 13-based One UI 5.1 software, which was developed specifically for the Galaxy line. Since the phones’ launch, they have received three major updates. Samsung committed to four software updates. The series received its Android 16 update in 2025, meaning that updated devices now feature One UI 8.

En Android 16 met One UI 8 krijgt 4 tot 7 jaar ondersteuning van Samsung.

De grote merken ondersteunde in de praktijk eerlijk gezegd hun telefoons al best wel lang. Nu is het alleen verplicht en bevestigd vanuit de fabrikanten.

[Ascathon]

En daarna zeker het probleem van de gebruiker, net zoals banken v11 ook al als minimaal zien ofzo. Straks kun je EN geen bankzaken doen EN geen Digid aanmeldingen.

Om dan te zeggen, je telefoon is oud vind ik zo'n killer. Dat is aan de gebruiker om lang met een apparaat te doen.

[Remzi1993]

Ik vind max 10 jaar wel netjes, daarna vind ik het te ver gaan. Maar mobieltjes doen niet eens 2 of 3 jaar mee, dat is gewoonweg e-waste. We moeten dit in de wet verankeren op EU niveau.

[Ascathon]

Sure, ik begrijp een bepaald maximum ook wel. Mijn telefoon is nu al 6 jaar oud en met v12, maar doet het nog wonderbaarlijk goed. Zonde om te vervangen.

Digid kan nu dan nog via SMS, maar op den duur zal dat ook wel verdwijnen gok ik.

[moonlander]

Het houdt een keer op he, je kan niet oneindige ondersteuning aanbieden. Stel jij maakt een product, en doet daar 4 jaar updates voor.. je ziet een enorme afname in het gebruik ervan, wil jij nog oneindig veel updates uitbrengen dan? Nee dat kost mega veel geld om dat product te onderhouden.

[_JGC_]

In geval van de CA store gaat het om 1 bestandje met root certificaten die je vanuit de certificaat database van Mozilla NSS genereert. Zit weinig onderhoud aan, je kunt het volledig automatiseren. Maar blijkbaar gaat dat op een telefoon niet zo heel makkelijk.

[VOODOO_WILLIE]

Het houdt een keer op he, je kan niet oneindige ondersteuning aanbieden.

Wat veel relevanter is, is dat de officiële instanties zoals de overheid en banken je steeds meer pushen naar apps. Er worden nog "alternatieven" aangeboden (digid met sms code, scanner om te bankieren) maar ze maken het allemaal wel steeds irritanter en lastiger om het zonder zo'n verdomde app te doen en sommige simpele zaken maken ze zelfs gewoon (en ik weet zeker -expres-) onmogelijk.

Daarmee jagen de officiële instanties je eigenlijk gewoon steeds meer op enorme kosten. Als je ziet wat de prijzen van zogenaamd "betaalbare" budget/middenklasse telefoons aan het doen zijn dan kost digitaal bankieren je straks niet meer 5 euro per jaar maar ineens 250 euro per jaar. Om nog maar te zwijgen over de belastingaangifte ...

[Reactie gewijzigd door VOODOO_WILLIE op 27 mei 2026 18:38]

[moonlander]

Je kan er ook een gigantisch probleem van maken. Je moet wel een beetje met de tijd mee. Je doet toch ook geen overboekingen meer via een boekje?

[batjes]

Bij een OS dat niet centraal kan updaten omdat er een andere desktop environment gebruikt wordt is het geen verassing natuurlijk. Uiteraard alleen op te lossen door de play services verder en dieper te integreren.

[Remzi1993]

Bij Linux distributies worden netjes de root certificaten geüpdatet als het moet. Ik snap je reactie dan dus niet zo goed.

[batjes]

Het is geen reactie tegen Linux maar tegen Android.

Ter verduidelijking:

Android werd de markt op gedrukt door Google om deze over te nemen, hierbij was het voor Google gunstig om een OS te leveren die door fabrikanten gecustomized te worden. Google trok ook haar handen er van af, nam geen enkele verantwoordelijkheid voor het OS 'Android'.

Zo kreeg en heb je nog steeds miljoenen van die Android toestellen op het internet hangen die al jaren niet bijgewerkt zijn.

Google verdient er miljarden mee, maar neemt (nog steeds) geen enkele verantwoordelijkheid. En wanneer ze wel die verantwoordelijkheid 'schijnen' te nemen, dan misbruiken ze hun play services om massaal de privacy van Google's eigen gebruikers te schenden.

[Reactie gewijzigd door batjes op 27 mei 2026 16:55]

[L0g0ff]

Ook niet wanneer de linux distro eol is. Iemand zal een package moeten maken en die certificaten erin moeten stoppen.

Firefox lost dit op met zijn eigen chain. DigiD zou dit ook kunnen doen misschien? Niet leunen op het device maar gewoon eigen certs mee geven.

Alleen is logius dan bijna verplicht ook weer een browser mee te geven want iedereen hopt door vanaf een website.

[Niema]

Android ondersteunt gebruikerscertificaten sinds een lange tijd. Dit valt prima handmatig toe te voegen. Waarom het niet vanzelf gaat weet ik niet

[Remzi1993]

Ja klopt, dit wist ik ook, maar dan moet je als gebruiker wel weten waar je die certificaten kan downloaden en hoe je dit moet doen. Volgens mij is dat niet gebruikersvriendelijk zodat een gemiddelde man/vrouw dit kan.

[itarix]

Ja, je kan gebruikers certificaten installeren. Maar er zit al een tijdje een security feature in de Android SDK waarmee standaard op app niveau custom certificates niet gebruikt worden. De app developer moet dit expliciet toestaan. Dit is tegen man in the middle attacks en of het reverse engineeren van de Api.

Bank applicaties zouden over het algemeen beter beveiligd moeten zijn. Dus dan verwacht ik niet dat ze die functie uit hebben gezet.

[hcQd]

Vreemd genoeg wordt bij Android de database met tijdzones wel automatisch bijgewerkt los van systeemupdates, je zou denken dat dat voor certificaten belangrijker is.

[rookie no. 1]

En daarom is het noodzakelijk dat er een mogelijkheid blijft dat je DigiD kunt gebruiken zonder een Apple/Google smartphone/app!

[!mark]

Je kunt v.z.i.w. toch ook de SMS optie gebruiken als je geen smartphone hebt?

[hcQd]

Meestal wel, maar niet voor zaken die een hoger beveiligingsniveau vereisen.

[rookie no. 1]

Dat zeg ik: "blijft"

[John Doos]

Aaah, dat verklaard een hoop.


Ach m’n vader heeft weer een nieuwe telefoon inmiddels die weer even vooruit kan

[Memori]

Zelfde hier. Mijn moeder dacht dat het aan de Wifi lag. Heeft nu Digid op de tablet gezet "die wel werkt". Best wel storend dat het zo lang heeft moeten duren (na meedere dagen) dat er een melding op de inlogscherm kwam.

[greg-a]

Wellicht een stomme vraag, maar hebben certificaten er ook mee te maken dat DigiD (app) niet werkt als je Brave als brower hebt? Ik heb een iphone 15 en daarop wordt weergegeven dat deze brower (brave) niet geschikt is voor het inloggen met de DigiD app...

[wiseger]

Dat kan. Als Brave geen root certificaat bevat van de certificaat uitgevende instantie dan zal DigiD niet werken. Maar over het algemeen staan root certificaten in het OS. Bij Apple kan je de lijst terug vinden op de support pagina's. Zie bijvoorbeeld: https://support.apple.com/nl-nl/103252

[memphis]

De hoop is de app update die voor morgen gepland staat maar als ik dit zo lees -dat het niet op die manier gemeld wordt- vrees ik het ergste. Meest opvallend is dat sinds 19 mei het probleem speelt en er totaal geen normaal bericht over te vinden was. Mensen konden geen toegang krijgen op alles wat DigiD gerelateerd is, zo las ik mensen die geen afspraak met het ziekenhuis kon maken, geen medicijnen bestellen of updates aan het UWV geven. Als de update van morgen werkt heeft het 10 dagen plat gelegen, dat is onacceptabel en tegelijk een mooi voorbeeld wat er kon gebeuren als het in Amerikaanse handen lag en ze daar ons wilde "afsluiten".

[hherrie]

Het werkt inmiddels weer.

[IrBaboon79]

ach - geforceerd je zaken regelen via apps, wel eerst ff een nieuwe telefoon kopen want wij vinden hem te oud. Anders nieuwe telefoon maar van de belasting aftrekken?

Straks wordt er zo’n armoede industrie clubje wakker en moeten arme mensen weer gratis een nieuwe krijgen omdat ze niet meer mee kunnen in de maatschappij…

[D3N_B0Y]

Dit was wel te verwachten en komende tijd zullen er nog veel meer applicaties en websites volgen voor deze telefoons. Dit is niet alleen gelimiteerd tot Android maar ook iPhone gebruikers zullen hier hinder van gaan ondervinden. Meerdere ROOT en Intermediate certificaten gaan verlopen en ook de levensduur van deze en uitgegeven certificaten zullen worden verkort.

Imo is dit een probleem wat aan eindgebruikers toe te wijden is, want hoelang worden deze OS'sen niet meer ondersteund? Je kiest er zelf voor om oude hardware te blijven gebruiken waarvan al dan wel- of niet wetende het support van opgehouden is. Anderzijds moet dat mechanisme van het updaten van certificaten ook makkelijker en beter kunnen ja

[tormentor1985]

Zal wel een ECDSA certificaat zijn. Gebeurt vaker dat die op hardware waar geen ondersteuning voor is niet langer werkt. Het enige wat je dan kan doen is terug naar RSA en hopen dat in dit geval Google inderdaad nog eens een update uitbrengt.

Het zou eigenlijk verboden moeten worden dat dit soort simpele zaken resulteren in e-waste. Onlangs hadden we ook zo'n situatie met Sonos S1. Het kan niet zo zijn dat perfect werkende hardware met een simpel doel gewoon niet langer gebruikt kan worden. Het zou een beetje hetzelfde zijn als dat je je auto niet kan starten door het gebrek aan ondersteuning van een externe factor en omdat hij ouder is dan 5 jaar hij dan maar de shredder in moet.

[wiseger]

Bij auto's hanteren de meeste fabrikanten een minimale termijn van tien jaar levering van onderdelen sinds de laatste verkoop.

Bij elektronische apparatuur is de EU verplichting minimaal 5 jaar.

Hoe je wilt voorkomen dat een root certificaat verloopt en de uitgevende instantie dat over het hoofd ziet, is me een raadsel. Overal kunnen fouten gemaakt worden en als die instantie vergeten is dat ze ook nog een root certificaat in iOS 15 hebben staan, dan krijg je dit. Terwijl iOS 15.8.7 twee maanden geleden uitkwam.

Het probleem was hier dus niet dat Apple geen updates meer geeft maar dat de certificaat uitgevende instantie dat vergeten was.

[Iedjee]

Op de inlogpagina staat dat het probleem inmiddels is opgelost?

[Jeoh]

Geprobeerd te switchen naar CertSign certificaten, maar nu weer terug naar DigiCert. Waarom gebruiken we eigenlijk niet de Staat der Nederlanden Root CA?