OneTimeSecret آمن لسر شخصي لا يضيرك أن يقرأه شخص واحد غير مقصود. أما لبيانات دخول العمل، فتنقصه ثلاثة أشياء يحتاج إليها فريق تقنية المعلومات في النهاية: تشفير يحدث قبل أن يغادر النص جهازك، وطريقة لسحب الرابط بعد إرساله، وسجل بمن فتح ماذا. آلية المشاهدة الواحدة نفسها سليمة، والمشروع مفتوح المصدر. تشرح هذه المراجعة ما يحميه هذا النموذج وما لا يحميه، ومتى تستخدم أداة أخرى.
كل ما يرد أدناه عن OneTimeSecret مأخوذ من صفحاته ووثائقه وأسعاره بتاريخ 19 أكتوبر 2026. الميزات تتغير، فتحقق منها قبل أن تعتمد عليها. نطوّر LinkPilot، وهو ينافس OneTimeSecret، فاقرأ المقارنات هنا وأنت تضع ذلك في حسابك.
ما هو OneTimeSecret؟
OneTimeSecret خدمة ويب، ومشروع مفتوح المصدر، لمشاركة نص عبر رابط يُفتح مرة واحدة. النسخة المستضافة هي onetimesecret.com، والشيفرة على GitHub في github.com/onetimesecret/onetimesecret، مع تعليمات الاستضافة الذاتية في وثائقه.[1][2] تلصق النص، وتحدد إن شئت مدة الصلاحية وعبارة مرور، ثم ترسل الرابط. وتلخص الصفحة الرئيسية الوعد في سطر واحد: «بمجرد أن يفتح المستلم الرابط، تُتلف البيانات نهائيًا».[1]
تتيح الخطة المجانية المستضافة («Basic») نطاقًا مخصصًا واحدًا وواجهة REST API ومدة صلاحية «حتى 14 يومًا». أما خطة Identity Plus (€35 شهريًا) فترفع مدة الصلاحية إلى 30 يومًا وتضيف نطاقات غير محدودة، وتضيف خطة Team Plus (€125 شهريًا) تسجيل الدخول الموحد والصلاحيات حسب الدور وسجل تدقيق موسومًا بأنه تجريبي.[3]
ماذا يحمي نموذج المشاهدة الواحدة؟
يمنع السر من البقاء في الأماكن التي كان سيبقى فيها لولاه، وهذا هو الشيء الوحيد الذي يجيده هذا التصميم. فكلمة المرور الملصقة في رسالة بريد إلكتروني أو في Slack تبقى في صندوقي وارد، وفي فهرسي بحث، وفي كل نسخة احتياطية منهما. أما كلمة المرور خلف رابط لمرة واحدة فتبقى على الخدمة حتى أول فتح، ثم تختفي، ويصبح الرابط الباقي في سجل المحادثة بلا وجهة. هذه حماية حقيقية، وهي السبب في أن الروابط لمرة واحدة هي الخيار الافتراضي الصحيح لبيانات دخول يجب أن تنتقل من شخص إلى آخر.
ويضيف OneTimeSecret ضابطين فوق ذلك: مدة صلاحية، فلا يبقى الرابط الذي لم يفتحه أحد إلى ما لا نهاية، وعبارة مرور اختيارية، فلا يُفتح الرابط من تلقاء نفسه إذا وصل إلى الشخص الخطأ.[1] كلاهما يستحق الاستخدام في كل مرة.
وتُحسب له نقطتان أخريان. الشيفرة منشورة، ويصفها المشروع بأنها مدققة من المجتمع، وهذا أكثر مما يقدمه معظم المنافسين المستضافين.[2] وتقول الصفحة الرئيسية إن كل سر يُخزَّن ويُعالَج في المنطقة التي تختارها، وهذا مهم للفرق الملزمة بقاعدة لموقع تخزين البيانات.[1]
ما الذي لا يحميه OneTimeSecret؟
ثلاثة أشياء: المشغّل يملك المفتاح، والرابط المرسل لا يمكن سحبه، ولا شيء يسجل من فتحه.
المشغّل يملك المفتاح
تقول وثائق OneTimeSecret: «أسرارك مشفرة بأمان على خوادمنا، بما يضمن حماية البيانات».[2] وإذا قُرئت حرفيًا فمعناها أن الخدمة تستلم نصك الأصلي غير المشفر ثم تشفره بعد ذلك. فالمشغّل، أو أي شخص لديه صلاحيات كافية على أنظمته، يستطيع من حيث المبدأ قراءة السر ما دام مخزنًا. وبالنسبة إلى مشروع مفتوح المصدر يعمل علنًا منذ سنوات، هذا قرار ثقة معقول، ويتخذه معظم الناس دون تفكير. لكنه يبقى قرارًا. والأداة التي تشفّر في المتصفح، وتحفظ المفتاح في الجزء الذي يلي علامة # في الرابط، وهو جزء لا ترسله المتصفحات إلى الخادم أبدًا، تُخرج المشغّل من قائمة من يستطيعون قراءة السر.
عبارة المرور تضيّق نطاق الانكشاف، لكن الوثائق المنشورة لا تذكر كيف تُخزَّن عبارة المرور ولا هل تدخل في توليد مفتاح التشفير، فلا نستطيع أن نحدد إلى أي حد. استخدمها على أي حال، وأرسلها عبر قناة غير قناة الرابط.
لا طريقة لسحب الرابط
بعد أن ترسل رابط OneTimeSecret، تُظهر صفحة المرسل هل استُلم السر أم حُذف نهائيًا.[1] ولا تصف الوثائق المنشورة طريقة لاسترجاع رابط لم يُقرأ بعد من لوحة التحكم. فإذا أرسلت بيانات دخول إلى الشخص الخطأ، أو غادر الشخص قبل أن يفتح الرابط، فخياراك هما تغيير بيانات الدخول أو انتظار انتهاء الصلاحية. هذا مقبول لملاحظة شخصية، أما لكلمة مرور المشرف لدى عميل فهذه هي الثغرة الأهم.
لا سجل بمن فتحه
تخبرك الخطة المجانية المستضافة أن السر فُتح، لكنها لا تحتفظ بسجل زمني يبين متى فُتح، ومن أين، وهل جرّب أحد عبارة مرور خاطئة قبل ذلك. فسجل التدقيق ميزة في Team Plus، وهو موسوم في صفحة الأسعار بأنه تجريبي.[3] لا توجد أداة روابط لمرة واحدة تستطيع أن تخبرك من فتح الرابط، لأن الرابط لا يحمل هوية أحد، لكن الوقت والموقع التقريبي يكفيان لتقرر هل تغيّر بيانات الدخول. ويقارن مقال هل تعرف من فتح الرابط السري لمرة واحدة؟ ما تسجله سبع أدوات.
كل ما لا يستطيعه الرابط لمرة واحدة، في أي أداة
هذه ليست مشكلات OneTimeSecret، بل مشكلات الروابط لمرة واحدة عمومًا، وتنطبق على LinkPilot كما تنطبق على غيره.
- الرابط الذي يُعاد توجيهه إلى شخص آخر قبل فتحه يعني بيانات دخول في الأيدي الخطأ. ولا دفاع ضد ذلك إلا مدة صلاحية قصيرة وعبارة مرور تُرسل عبر قناة ثانية.
- قد تستهلك معاينة الرابط رابطًا لمرة واحدة إذا كانت الخدمة تُظهر السر بمجرد طلب الصفحة. يعرض OneTimeSecret صفحة تأكيد قبل الإظهار، وكذلك يفعل LinkPilot. افحص سلوك أي أداة أخرى قبل أن تلصق رابطها في Slack. ويشرح مقال برامج فحص الروابط والأسرار لمرة واحدة الآلية.
- النطاقات المقلدة. اجتذبت هذه الفئة من الأدوات نسخًا مزيفة للتصيد (الحالات الموثقة تخص Privnote لا OneTimeSecret). اكتب النطاق بنفسك، ولا تصل إلى أداة أسرار عبر إعلان أبدًا.
متى يكون OneTimeSecret الخيار الصحيح؟
- تريد أداة لغرض واحد يمكنك قراءة شيفرتها المصدرية وتشغيلها على خادمك. لا يمكن استضافة LinkPilot ذاتيًا، فالاختيار هنا واضح.
- ترسل سرًا شخصيًا بين حين وآخر ولا تحتاج إلى سجل ولا إلى طريقة لاسترجاعه.
- موقع تخزين البيانات شرط لا تنازل عنه، والمناطق التي يتيحها OneTimeSecret تطابق ما تحتاج إليه.
متى تستخدم أداة أخرى؟
- تحتاج إلى إبطال الرابط بعد إرساله.
- تحتاج إلى سجل لكل مرة فُتح فيها الرابط، لأجل تدقيق، أو استبيان أمني من عميل، أو للاستجابة لحادث لديك.
- تريد أن يُشفَّر السر قبل أن يغادر متصفحك، فلا يملك أي مشغّل المفتاح.
- تشارك الأسرار ضمن فريق وتريد أدوارًا ومساحة عمل وتطبيقًا في Slack بدل حساب شخصي.
في هذه الحالات، يشفّر مولّد الروابط السرية لمرة واحدة المجاني من LinkPilot في المتصفح بدون حساب، أما الإبطال وسجل الأحداث لكل سر وعبارات المرور ففي خطة Pro، والمقارنة المباشرة في LinkPilot مقابل OneTimeSecret. وتجد الخيارات الأوسع، ومنها Password Pusher و PrivateBin و Yopass لمن يريد الاستضافة الذاتية، في أفضل بدائل OneTimeSecret، أما طريقة مشاركة كلمات المرور نفسها فيشرحها دليل مشاركة كلمات المرور بأمان للفرق.
كيف تستخدم OneTimeSecret بأمان؟
- اكتب onetimesecret.com بنفسك، ولا تتبع إعلانًا في نتائج البحث.
- اختر أقصر مدة صلاحية يستطيع المستلم الالتزام بها.
- أضف عبارة مرور وأرسلها عبر قناة غير قناة الرابط (الرابط بالبريد الإلكتروني، وعبارة المرور بالمحادثة أو بالهاتف).
- راجع صفحة المرسل بعد يوم. إذا لم يُستلم السر، فغيّر بيانات الدخول بدل أن تعيد إرسال الرابط.
- لا تضع السر وسياقه (أي نظام، وأي حساب) في الرسالة نفسها أبدًا.
المراجع
[1] Onetime Secret. Homepage. https://onetimesecret.com/. تاريخ الاطلاع 19 أكتوبر 2026.
[2] Onetime Secret. Documentation. https://docs.onetimesecret.com/. تاريخ الاطلاع 19 أكتوبر 2026.
[3] Onetime Secret. Pricing. https://onetimesecret.com/en/pricing. تاريخ الاطلاع 19 أكتوبر 2026.
[4] OneTimeSecret source repository. https://github.com/onetimesecret/onetimesecret.