هل OneTimeSecret آمن؟

كيف يحمي OneTimeSecret السر بحسب قوله

تلخّص صفحة النظرة العامة على الأمان في Onetime Secret نموذجه: السر مصمم ليُشاهد مرة واحدة ثم يُتلف نهائيًا، ويمكن حذف السر نهائيًا قبل أن يُشاهد، والأسرار مشفرة أثناء النقل وأثناء التخزين في كل الخطط، ولكل سر مدة صلاحية، وعبارة المرور الاختيارية تضيف طبقة لا يفتحها الرابط وحده. وتضيف صفحة حماية البيانات أن النقل محمي ببروتوكول TLS، وأن الخدمة تسعى إلى الاحتفاظ بالبيانات الوصفية اللازمة لتشغيلها فقط، وأنك تستطيع اختيار المنطقة التي تُعالج فيها البيانات وتُخزن. وتذكر الصفحة الرئيسية أن البيانات تُتلف نهائيًا فور فتح المستلم الرابط، وأن أحدًا لا يستطيع استرجاعها، ولا حتى Onetime Secret.

هذه هي الخصائص المطلوبة في أداة أسرار لمرة واحدة، وهي مذكورة بوضوح.

الأمر الوحيد الذي لا تذكره الوثائق

لا تذكر صفحة النظرة العامة على الأمان ولا صفحة حماية البيانات أين يجري التشفير: في متصفحك قبل إرسال السر، أم على خوادم Onetime Secret بعد وصوله. وهذا الفرق يحدد ما إذا كان مشغّل الخدمة يستطيع قراءة السر وهو مخزن. فالتشفير أثناء التخزين يحمي قاعدة البيانات ممن يسرق القرص، لكنه لا يمنع بمفرده الخدمة التي تملك المفتاح من فك تشفير السجل. ولا تشرح الصفحات كذلك كيف تُعالج عبارة المرور أو تُخزن، والحد الأقصى لمدة الصلاحية مذكور بوصفه حدًّا في الخطة لا أكثر.

ليس هذا اتهامًا. Onetime Secret مفتوح المصدر ويقبل الاستضافة الذاتية، فكل من يحتاج إلى الجواب يستطيع قراءة الشيفرة أو تشغيل نسخته الخاصة، وهذا ضمان أقوى من أي صفحة تسويقية. لكنه سؤال تتركه وثائق الخدمة المستضافة مفتوحًا، وإذا كان مشغّل الخدمة ضمن نموذج التهديد لديك فهذا هو السؤال الذي عليك أن تطرحه.

مراجعة One Time Secret: ما يجيده

الأداة بسيطة، ومجانية للأفراد والفرق، ومفتوحة المصدر، وتقبل الاستضافة الذاتية مع رابط إلى مستودعها على GitHub. والحذف قبل المشاهدة وعبارات المرور ومدة الصلاحية تغطي الضوابط التي يحتاجها معظم الناس. وتتيح كذلك اختيار منطقة البيانات، وهذا ما يقدمه قليل من المنافسين ولا يقدمه LinkPilot. وتبقى خيارًا سليمًا لسر شخصي بين حين وآخر، أو لفريق يريد تشغيل الخدمة بنفسه.

أين يختلف LinkPilot

يجيب LinkPilot عن السؤال المفتوح صراحةً: يُشفَّر السر في متصفحك بخوارزمية AES-GCM-256، ويوضع المفتاح بعد علامة # في الرابط حيث لا ترسله المتصفحات أبدًا، وخوادمنا وقاعدة بياناتنا وخوادم الحافة لدينا تحتفظ بالنص المشفر دون أي مفتاح. والشيفرة التي تنفذ ذلك منشورة في مستودع CLI المرخص برخصة MIT ومعها متجهات الاختبار. وتذكر صفحة بنية الأمان النموذج وحدوده، ومنها أن الأسرار التي أُنشئت قبل 29 سبتمبر 2026 خُزنت نصًا غير مشفر إلى أن انتهت صلاحيتها، وأن اسم الملف المرفق وحجمه ونوعه مرئية لنا.

وحول السر نفسه يضيف LinkPilot إبطال الرابط من لوحة التحكم، والمرفقات، وأدوار الفريق، وفي خطة Pro عبارة مرور تُدمج في مفتاح فك التشفير وسجل التدقيق. وما لا يقدمه هو الاستضافة الذاتية واختيار منطقة البيانات، وصفحة بديل OneTimeSecret والمقارنة الكاملة توازنان بين هذه الجوانب.