Is VoIP veilig? Wat een browsergesprek beschermt en wat het blootgeeft

Is VoIP veilig om te gebruiken?

Voor gewone gesprekken wel. Een browsergesprek gebruikt WebRTC, en de standaard verbiedt onversleutelde audio, dus iemand op hetzelfde wifinetwerk kan niet zomaar meeluisteren ^[1]. Wat VoIP verandert, is vertrouwen en niet afluisteren: je rekent erop dat de dienst eerlijk omgaat met je gesprek en de gegevens erover, en je verliest dingen die een telefoonlijn je wel geeft, zoals noodoproepen en een nummer dat mensen herkennen.

Het onderscheid dat telt, is dat tussen een gesprek tussen apps, waarbij beide mensen dezelfde app gebruiken, en een gesprek dat een gewoon telefoonnummer laat overgaan. Ik beantwoordde voor allebei zes veelgestelde vragen aan de hand van de eigen documenten van de aanbieders.

Van de diensten die ik hieronder vergelijk, zeggen alleen TextNow en de betaalde abonnementen van Google Voice dat ze noodoproepen ondersteunen; de rest sluit ze uit of zegt er niets over.

Voor het gesprek zelf is een end-to-end versleuteld gesprek tussen apps de meest privé optie. Om gewone telefoons te bereiken is een browsergesprek ongeveer zo privé als de dienst die je kiest, en de secties hieronder laten zien hoe ik een dienst beoordeel.

Is WebRTC veilig?

Ja, als technologie is het defensief opgezet. De IETF-standaard erachter vereist versleutelde audio bij elk gesprek en uitdrukkelijke toestemming voordat een pagina je microfoon kan gebruiken, en browsers bieden de microfoon alleen aan beveiligde (HTTPS-)pagina's aan ^[1][19]. Het bekende zwakke punt is privacy, niet afluisteren: bij het opzetten van een gesprek kunnen je IP-adressen bij de dienst terechtkomen.

Chrome voegt bovenop de standaard eigen instellingen toe. Als een belsite om de microfoon vraagt, kun je die toestaan zolang je de site bezoekt, alleen deze keer toestaan, of nooit toestaan, en een site kan niet beginnen met opnemen terwijl je in een ander tabblad of een andere app zit ^[20]. Bij een webbeller die ik maar één keer denk te gebruiken, kies ik ‘Deze keer toestaan’.

WebRTC heeft geen plug-in of extra software nodig ^[21], dus een pagina voor ‘gratis bellen’ die je vraagt een extensie of desktopapp te installeren, wil meer toegang dan een browsergesprek nodig heeft.

Over IP-adressen zegt het eigen document van de IETF dat WebRTC het openbare adres van je VPN kan achterhalen en, bij een VPN met split tunneling, het adres van je internetprovider daaronder ^[22]; de hulppagina van Messenger voegt eraan toe dat 1-op-1-gesprekken je IP-adres delen met het apparaat van de ander ^[23]. Hoe je dat test en beperkt, staat in mijn gids over WebRTC-lekken.

Voor de route die een gesprek aflegt van het tabblad tot een telefoon die overgaat, zie hoe een browsergesprek een telefoon bereikt.

Wie kan mijn browsergesprek horen of zien?

Vier partijen: de persoon die je belt; de dienst waarmee je belt, waarvan de gateway browseraudio omzet in een gewoon telefoongesprek; de telecomproviders aan de andere kant, die het behandelen als elk ander gesprek; en iedereen die toegang heeft tot je account of computer. Alleen bij een end-to-end versleuteld gesprek tussen apps, zoals WhatsApp of Telegram, blijven de dienst en de providers buiten het gesprek zelf.

Het gesprek: onderweg versleuteld, niet end-to-end

TwinPhone, de sponsor van de site, benoemt de grens duidelijk: signalering en media die het zelf beheert, zijn onderweg versleuteld met TLS en SRTP, en het laatste stuk via de provider volgt het beveiligingsmodel van de provider van de ontvanger ^[4]. Yolla zegt dat zijn webapp een versleutelde verbinding gebruikt als je inlogt of belt ^[24]. Google Meet versleutelt standaard onderweg en biedt optionele end-to-end-versleuteling alleen voor gesprekken tussen persoonlijke accounts ^[25][26].

Wees voorzichtig met ‘end-to-end’ bij een webbeller. De homepage van PopTox belooft end-to-end WebRTC-versleuteling, maar de voorwaarden, voor het laatst bijgewerkt op 23 februari 2016, zeggen dat gegevens onversleuteld kunnen worden verzonden ^[27][28]. Een gesprek dat een vaste lijn laat overgaan, moet eerst bij een gateway worden ontsleuteld, dus het kan niet in strikte zin end-to-end zijn.

De gegevens: wie, wanneer en hoe lang

Volgens het privacybeleid van Google kan Google je nummer, de bellende en ontvangende nummers, het tijdstip, de duur en de routering verzamelen van gesprekken via zijn diensten ^[5], en de hulppagina's van Google Voice zeggen dat het informatie over gesprekken, sms'jes en voicemail opslaat ^[29]. Call2Friends legt het gebelde nummer, de datum en de duur vast, en zegt de inhoud van gesprekken niet op te slaan ^[10]. Globfone noemt het gekozen nummer, het tijdstip, de duur en de status van het gesprek ^[30].

Dat beantwoordt ook de vraag ‘zijn VoIP-gesprekken te traceren?’: ja, via die gegevens. Google bijvoorbeeld zegt persoonsgegevens te delen als het meent dat openbaarmaking nodig is om te reageren op een juridische procedure of een afdwingbaar verzoek van de overheid ^[5]. Over opnames zegt TwinPhone dat persoonlijke gesprekken niet worden opgenomen ^[14].

Privacy en noodoproepen, dienst voor dienst

WhatsApp en Telegram versleutelen gesprekken end-to-end, maar bereiken alleen hun eigen gebruikers. Bij Google Meet is end-to-end-versleuteling optioneel, en Teams (gratis) belooft alleen gegevensversleuteling ^[26][31]. De diensten die telefoons laten overgaan, versleutelen hoogstens tot aan hun gateway. Alleen TextNow, en Google Voice met zijn betaalde abonnementen, zeggen dat ze noodoproepen bieden.

Op een telefoon scrol je de tabel zijwaarts om alle kolommen te zien.

TwinPhone hoort bij de diensten die telefoons laten overgaan: onderweg versleuteld maar niet end-to-end, geen noodoproepen, en een gedeeld nummer als nummerweergave, tenzij je een nummer huurt of je eigen nummer verifieert ^[4][7][14]. Een pluspunt voor privacy: je meldt je aan met een e-mailadres of een Google-account en zonder telefoonnummer ^[17]. Voor prijzen, bereik en mijn totaalscores, zie alle diensten die ik vergeleek, naast elkaar.

Is Google Voice veilig?

Ja, met kanttekeningen. Google Voice draait op je Google-account, en de aanmelding is strenger dan bij de meeste diensten: een sms-code naar een echte telefoon en, voor nieuwe nummers, een controle van je identiteitsbewijs ^[16][34]. Ik vond in de hulppagina's van Google geen claim van end-to-end-versleuteling voor Voice-gesprekken, Google bewaart belgegevens, en het gratis abonnement kan 911 niet bellen. Het risico waar ik het meest op zou letten, is oplichting, geen hack.

De oplichting draait om die aanmeldcode. De FTC waarschuwt voor onbekenden die een verificatiecode van Google Voice naar jou laten sms'en en je daarna om die code vragen; geef je hem, dan proberen ze een Google Voice-nummer aan te maken dat aan jouw telefoonnummer is gekoppeld ^[45]. Lees een verificatiecode nooit voor aan iemand die zelf contact met je opnam.

• Zet verificatie in twee stappen aan; volgens Google voegt die een extra beveiligingslaag toe voor het geval je wachtwoord wordt gestolen ^[46].
• Verberg je nummerweergave bij gesprekken waarbij je je Voice-nummer niet wilt tonen ^[47].
• Houd een telefoon achter de hand voor noodgevallen: volgens de hulppagina's van Google kun je met Google Voice geen noodoproepen doen, en 911 is beperkt tot betaalde Starter-, Standard- en Workspace-accounts ^[33][9].

Persoonlijke Google Voice-accounts zijn alleen in de VS beschikbaar ^[48]. Valt Google Voice daardoor of door de controle van je identiteitsbewijs af, dan vergelijken mijn notities over alternatieven voor Google Voice de opties.

Zijn gratis belwebsites veilig?

Meestal veilig om te openen, maar elke site vraagt je een exploitant te vertrouwen over wie je weinig weet. De gratis webbellers die ik controleerde, verschillen minder in techniek dan in papierwerk: wie ze runt, wat ze vastleggen, wat ze over versleuteling beweren en welk nummer ze tonen.

Wat ik controleer voordat ik een nummer intyp

• Een genoemde exploitant. Voorwaarden die een bedrijf en een land noemen, geven je iemand om op aan te spreken; voorwaarden met sjabloontekst geven je niemand.
• Een privacybeleid dat opsomt wat wordt vastgelegd. Call2Friends en Globfone zeggen precies wat ze bewaren, en dat zegt me meer dan een belofte zonder details.
• Geen download. Een browsergesprek heeft alleen toestemming voor de microfoon nodig, dus ik sluit elke pagina voor gratis bellen die een extensie of installatieprogramma opdringt.
• Kaartgegevens alleen waar de exploitant bekend is. Globfone controleert kaarten via Stripe en zegt dat er niets van de kaart wordt afgeschreven ^[43]; ik zou geen kaartnummer intypen bij een webbeller die geen bedrijf noemt.

Wees voorzichtig met StartACall, HelloAirDial en MySecondLine. Toen ik hun sites las op 1 november 2026, hadden de voorwaarden van StartACall een sjabloonplaatshouder waar het toepasselijk recht hoort ^[53], noemden de voorwaarden van HelloAirDial geen bedrijf of rechtsgebied ^[54], en toonde de homepage van MySecondLine de opvultekst ‘Lorem ipsum’ ^[55]. Ik zou geen van hen mijn nummer of een kaart geven. Welke gratis webbellers nog online zijn, en de limieten die ze noemen, staan in de gratis webbellers die ik controleerde.

Noodoproepen en nummerweergave: twee beperkingen om eerst te kennen

Voor de meeste mensen wegen twee gaten zwaarder dan versleuteling. Veel browserdiensten kunnen 911, 112 of 999 niet verbinden en andere zeggen er niets over, dus een browsertelefoon mag nooit je enige telefoon zijn. En het nummer dat de ander ziet, hangt af van de dienst: het kan het jouwe zijn, een gehuurd nummer of een gedeeld nummer, en dat bepaalt wie opneemt en of iemand je kan terugbellen.

Noodoproepen

De voorwaarden van WhatsApp sluiten hulpdiensten uit, TwinPhone en Yolla kunnen ze niet bellen, en Google Voice ondersteunt 911 alleen bij betaalde Starter-, Standard- en Workspace-accounts ^[6][7][8][9]. TextNow is de uitzondering en routeert 911 in de VS en Canada, met beperkingen ^[11]; de details, en wat je buiten de VS doet, staan in mijn gids over noodoproepen vanaf een computer.

Nummerweergave

Yolla toont je eigen nummer, Google Voice je Voice-nummer en PopTox één gedeeld nummer voor iedereen ^[13][33][15]; TwinPhone toont een gedeeld nummer dat niet teruggebeld kan worden, tenzij je een nummer huurt of je eigen nummer verifieert, en het toont geen nummer waarvan je niet kunt bewijzen dat het van jou is ^[14]. Waarom dat uitmaakt als je een bank of een kantoor belt, lees je in mijn uitleg over nummerweergave.

Zo bel je veiliger via de browser

Zes gewoonten dekken het grootste deel van het risico, en geen ervan vraagt technische kennis. Ik zet ze op volgorde, van de gewoonte die het meest beschermt, de juiste soort gesprek kiezen, tot de reserve die elke browserbeller zou moeten hebben: een telefoonlijn waarmee je de hulpdiensten kunt bereiken.

1. Gebruik voor een privégesprek een end-to-end versleuteld gesprek tussen apps. WhatsApp Web voert zulke gesprekken nu in de browser, al wordt de functie nog uitgerold ^[56][57].
2. Geef per site toegang tot de microfoon, kies ‘Deze keer toestaan’ bij webbellers die je één keer gebruikt, en verwijder oude toestemmingen in de site-instellingen van Chrome ^[20].
3. Zet verificatie in twee stappen aan op het account waarmee je belt, zodat een gestolen wachtwoord alleen niet genoeg is om erin te komen ^[46].
4. Lees nooit een verificatiecode voor aan iemand die contact met jou opnam ^[45].
5. Controleer voordat je een bank, een arts of een overheidsinstantie belt, welk nummer je dienst als nummerweergave toont; een gedeeld nummer wordt misschien niet opgenomen.
6. Houd een mobiele of vaste telefoon binnen handbereik voor 911, 112 of 999.

In deze gids

• Gidsen

  112 en 911 bellen via VoIP vanaf een computer: wat werkt, wat geblokkeerd is en wat je in plaats daarvan gebruikt

  Kun je 112 bellen vanaf een computer? Ik controleerde welke browser- en VoIP-diensten 911, 112 of 999 verbinden, wat de regels eisen en wat je beter gebruikt.

• Uitleg

  WebRTC-lektest: wat een browsergesprek over je IP-adres verraadt

  Zo doe je een WebRTC-lektest, lees je de uitslag en zie je wie je IP krijgt bij een browsergesprek, met Chrome-, Firefox-, Brave-, Safari- en VPN-instellingen.

• Uitleg

  VoIP-nummerweergave: welk nummer mensen zien als je via de browser belt

  VoIP-nummerweergave via de browser: een gedeeld nummer, een nummer van de dienst of je eigen mobiel. Ik vergelijk wat de ander ziet en wie kan terugbellen.

Veelgestelde vragen