هل Privnote آمن؟ نعم، لملاحظة لا يضيرك أن يقرأها الشخص الخطأ مرة واحدة. أما لكلمة مرور أو مفتاح API أو أي شيء يهم شركة، فلا. وهل privnote.com موثوق؟ نعم، فهو الخدمة الحقيقية ويعمل منذ سنوات، والخطر في المواقع المقلّدة التي تحيط به.
آلية العرض لمرة واحدة تعمل. أما المخاطر الثلاث أدناه فتتعلق بكل ما حولها، وأولها كلّف أشخاصًا حقيقيين أموالًا حقيقية.
حُدّث في 2 أكتوبر 2026: أضفنا ما استطعنا التحقق منه بشأن مكتبة التشفير في Privnote من الشيفرة المصدرية لصفحتها الحية، وشبكة المواقع المستنسخة لعام 2024 التي وثّقها موقع Krebs on Security، وصحّحنا عبارة سابقة عن تشفير LinkPilot. وحيثما يقول هذا المقال «تحققنا»، فتاريخ التحقق هو 2 أكتوبر 2026.
يقدّم هذا المقال الحكم على مدى الأمان. إن كنت تعرف أنك تريد أداة أخرى، فمقال أفضل بدائل Privnote يقارن بين سبع أدوات في التشفير والإبطال وسجلات التدقيق والسعر، وصفحة LinkPilot مقابل Privnote مقارنة مباشرة مع منتجنا. وإن كنت تحتاج إلى إرسال كلمة مرور اليوم، فإن دليل مشاركة كلمات المرور بأمان يشرح الطريقة الآمنة، وأداة الملاحظة ذاتية التدمير المجانية تعمل بدون حساب، وصفحة أسعار LinkPilot تعرض ما تتضمنه خطتا Free و Pro.
ما الذي يحسنه Privnote؟
لنعطِ الخدمة حقها. المنتج الأساسي مريح فعلًا: بلا حساب، تلصق الملاحظة فتحصل على رابط، وتُحذف الملاحظة نهائيًا بعد قراءتها. تقول صفحة Privnote نفسها إن الملاحظة «تُشفَّر في متصفحك ثم تُخزَّن في Privnote»، وتعرض «كلمة مرور يدوية» لتشفير الملاحظة، ومدد صلاحية هي 1 ساعة أو 24 ساعة أو 7 أيام أو 30 يومًا، وإشعارًا بالبريد الإلكتروني عند حذف الملاحظة، ونصيحة معقولة بإرسال كلمة المرور «بطريقة مختلفة» عن الرابط.[1] وهي تؤدي الغرض لرسالة مثل «هذا مفتاح Wi-Fi، احذفه بعد القراءة» بين أشخاص يثق بعضهم ببعض.
3 مخاطر: ما هي؟
1. تصيد عبر مواقع مستنسخة تقرأ ملاحظتك
أفرزت شهرة اسم Privnote نطاقات مقلّدة، وأكثرها توثيقًا صُمّم للسرقة.
في يونيو 2020 أفاد Brian Krebs بأن privnotes.com (بصيغة الجمع) كان يقلّد Privnote، ولم يكن يشفّر الملاحظات فعلًا، وكان يشغّل سكربتًا يكتشف عناوين bitcoin في الملاحظة ويضع مكانها عناوين المحتالين، لكن فقط حين يفتح المرسل والمستلم الملاحظة من عنوانَي IP مختلفين، فلم يكن المرسل الذي يتفقد ملاحظته يرى التبديل.[2] وفي أبريل 2024 وثّق شبكة كاملة من المواقع المستنسخة، منها privnote[.]co و tornote[.]io و privatenote[.]io و pirvnota[.]com و privatemessage[.]net و privnode[.]com و privnate[.]com، وهي مواقع «تعمل تقريبًا كما يُعلَن عنها، لكنها تحقن خفيةً عناوين الدفع بالعملات المشفرة الخاصة بها عند إنشاء ملاحظة تحتوي على محافظ عملات مشفرة». وتلقّت أربعة عناوين مرتبطة بأحد تلك المواقع ما يقارب $18,000 في أربعة أيام، وكان المشغّلون يستبدلون العناوين بأخرى جديدة كل خمسة أيام تقريبًا.[3]
الخطر ليس في الموقع الحقيقي، بل في أن نقرة على نتيجة بحث أو إعلان قد توصلك إلى نسخة مزيفة مقنعة غرضها الوحيد قراءة سرّك. إن كنت تستخدم Privnote فاكتب النطاق بنفسك. ويستطيع فحص لسمعة الروابط، مثل أداتنا المجانية مؤشر الثقة في الرابط، أن يفحص عنوان URL مريبًا قبل أن تلصق فيه أي شيء.
2. تشفير لا يمكنك التحقق منه
يقول Privnote إن الملاحظات مشفرة بحيث لا يستطيع الخادم قراءتها، وفي 2020 أخبرت الشركة Krebs بأن Privnote الحقيقي يستخدم التشفير «بحيث لا يستطيع Privnote نفسه قراءة المحتوى».[2] قد يكون ذلك صحيحًا تمامًا. لكن الشيفرة مغلقة المصدر، فلا أحد خارج الشركة يستطيع تأكيده، وما يمكن رؤيته من الخارج لا يبعث على الاطمئنان.
هذا بالضبط ما استطعنا التحقق منه وما لم نستطع في 2 أكتوبر 2026:
- تحققنا: تحمّل صفحة privnote.com الحية ملف JavaScript اسمه
gibberish-aes.jsمن أصولها الثابتة.[1] - تحققنا: أُرشف مشروع Gibberish-AES الأصلي على GitHub (أي صار للقراءة فقط) في 16 أكتوبر 2018. ويقول ملف README في المشروع نفسه إنه «يدعم وضع تشفير AES من نوع CBC فقط»، وإنه مبني ليتوافق مع اشتقاق المفاتيح المعتمد على MD5 في OpenSSL، ويحمل ملاحظة إيقاف توصي باستخدام libsodium أو مكتبة Stanford JavaScript Crypto Library بدلًا منه، لأن Gibberish-AES «قديم جدًا، ويستخدم وضع تشفير أقدم لا يوفّر المصادقة، هو CBC».[4]
- لم نتحقق: لم نُجرِ هندسة عكسية لشيفرة تطبيق Privnote المصغّرة لنؤكد أن هذه المكتبة هي التي تشفّر الملاحظات الجديدة اليوم، لا مسارًا قديمًا يخص الملاحظات القديمة. تعامل مع هذه النتيجة على أنها «مكتبة التشفير الوحيدة التي تحمّلها الصفحة»، لا دليلًا على ما يعمل فعلًا.
قارن ذلك بأدوات يمكنك قراءة شيفرتها المصدرية: يوثّق PrivateBin استخدام AES بطول 256 بت في وضع Galois Counter Mode (وهو وضع يوفّر المصادقة) داخل المتصفح، مع وضع المفتاح في الجزء الذي يلي علامة # في الرابط،[5] ويشفّر Yopass في المتصفح باستخدام OpenPGP، وهو مرخّص بموجب Apache-2.0.[6] وفي أداة غرضها حفظ السرية، يبقى موقف «ثق بنا» أضعف بكثير من «تحقّق بنفسك».
3. لا سبيل للتراجع عن خطأ
أرسلت الملاحظة إلى الشخص الخطأ؟ لا توجد لوحة تحكم لإبطالها. تحتاج إلى أن تثبت لعميل أن بيانات الدخول لم تُفتح قط؟ لا يوجد سجل تدقيق، فرسالة الحذف بالبريد الإلكتروني تخبرك أن الملاحظة قُرئت، لا من قرأها ولا من أين. تتساءل هل قرأها المستلم المقصود أم بوابة أمان للبريد الإلكتروني جلبت الرابط؟ لا يمكنك أن تعرف.
لا شيء من هذا يهم في الملاحظات العابرة، وكله يهم في العمل.
ماذا تستخدم بدلًا منه؟
| حاجتك | الأنسب | السبب |
|---|---|---|
| تسليمات العمل وبيانات دخول العملاء | LinkPilot | سجل تدقيق لكل سر، وإبطال، وعبارات مرور، ومرفقات ملفات، ومساحات عمل للفرق؛ يُشفَّر في متصفحك والمفتاح في الجزء الذي يلي علامة # في الرابط |
| أداة شائعة، وأنت تستخدم مدير كلمات مرور أصلًا | Bitwarden Send | إرسال النصوص مجاني؛ إرسال الملفات في خطة Premium؛ يمكن الحذف أو التعطيل قبل انتهاء الصلاحية |
| ملاحظات شخصية دون تحديد هوية المرسل، وأداة مفتوحة المصدر | OneTimeSecret | رخصة MIT، وتقبل الاستضافة الذاتية، وواجهة REST API، وفئة مجانية |
| استضافة ذاتية يتحكم فيها فريق تقنية المعلومات | Password Pusher | رخصة Apache-2.0، وحد للمشاهدات، وروابط تنتهي صلاحيتها، وسجلات تدقيق، وواجهة API |
| تشفير يمكنك قراءة شيفرته المصدرية | PrivateBin / Yopass | تشفير في المتصفح، والمفتاح في الرابط، وشيفرة قابلة للتدقيق |
المقارنة الكاملة بين الأدوات السبع، مع جدول أسعار وإحالة إلى صفحة أسعار كل مزوّد، موجودة في أفضل بدائل Privnote. ولمقارنة منتجنا مع Privnote ميزة بميزة، بما في ذلك التنبيه الصريح إلى أن LinkPilot متاح كخدمة مستضافة فقط وأنه مغلق المصدر، راجع LinkPilot مقابل Privnote. ولتجربة الآلية بدون حساب، استخدم مولّد الروابط السرية لمرة واحدة لكلمة مرور أو مفتاح، وأداة الملاحظة ذاتية التدمير لرسالة.
سجل التصحيحات: قالت النسخة الأولى من هذا المقال إن LinkPilot لا يدّعي التشفير في المتصفح. ومنذ 29 سبتمبر 2026 يشفّر LinkPilot النصوص والمرفقات في المتصفح، والمفتاح في الجزء الذي يلي علامة # في الرابط؛ أما الأسرار التي أُنشئت قبل ذلك التاريخ فقد خُزّنت نصًا غير مشفر حتى انتهت صلاحيتها. هذا بالضبط ما يدّعيه.
كيف تستخدم أي أداة ملاحظات لمرة واحدة بأمان؟
- اكتب النطاق بنفسك. لا تصل إلى أداة أسرار عبر الإعلانات أو نتائج البحث، فهذا هو هجوم المواقع المستنسخة في سطر واحد.
- أضف عبارة مرور وأرسلها عبر قناة غير التي ترسل بها الرابط.
- اختر أقصر مدة صلاحية تناسب عملك حتى تنتهي الملاحظات التي لم تُفتح من تلقاء نفسها.
- غيّر السر إن بدا أي شيء غير طبيعي. حالة «حُذف نهائيًا قبل القراءة»، أو رسالة حذف بالبريد الإلكتروني قبل أن يفتح المستلم الملاحظة، إنذار مبكر بأن شخصًا آخر فتحها.
- لا تضع كلمة المرور نفسها في البريد الإلكتروني أو الدردشة أبدًا، بل الرابط وحده. يقارن دليل مشاركة كلمات المرور بأمان بين الطرق الخمس التي تشارك بها الفرق بيانات الدخول، ويشرح سبب أهمية هذه القاعدة.
آلية العرض لمرة واحدة فكرة جيدة فعلًا، ولهذا تطبّقها أدوات كثيرة. أما سؤال الأمان فيتعلق بكل ما حول الآلية: من يشغّلها، وهل يمكنك التحقق منها، وماذا تستطيع أن تفعل حين يحدث خطأ. احكم على Privnote وعلى كل بديل، وأداتنا منها، بهذه الأسئلة الثلاثة.
المراجع
[1] Privnote. Home page and page source (تاريخ التحقق: 2 أكتوبر 2026). https://privnote.com/
[2] Krebs, B. (14 يونيو 2020). Privnotes.com Is Phishing Bitcoin from Users of Private Messaging Service Privnote.com. Krebs on Security. https://krebsonsecurity.com/2020/06/privnotes-com-is-phishing-bitcoin-from-users-of-private-messaging-service-privnote-com/
[3] Krebs, B. (4 أبريل 2024). Fake Lawsuit Threat Exposes Privnote Phishing Sites. Krebs on Security. https://krebsonsecurity.com/2024/04/fake-lawsuit-threat-exposes-privnote-phishing-sites/
[4] mdp/gibberish-aes. A fully OpenSSL compliant javascript library for AES encryption (أُرشف المستودع في 16 أكتوبر 2018). GitHub. https://github.com/mdp/gibberish-aes
[5] PrivateBin/PrivateBin. A minimalist, open source online pastebin where the server has zero knowledge of pasted data. GitHub. https://github.com/PrivateBin/PrivateBin
[6] jhaals/yopass. Secure sharing of secrets, passwords and files. GitHub. https://github.com/jhaals/yopass