OneTimeSecret és segur per a un secret personal que no us faria res que llegís una persona equivocada. Per a unes credencials d'empresa, li falten tres coses que un equip d'informàtica acaba necessitant: un xifratge que es fa abans que el text surti del vostre dispositiu, una manera de retirar un enllaç i un registre de qui ha obert què. El mecanisme d'una sola visualització és sòlid i el projecte és de codi obert. Aquesta anàlisi explica què protegeix aquest model, què no protegeix i quan convé fer servir una altra cosa.
Tot el que segueix sobre OneTimeSecret surt de les seves pàgines, la seva documentació i els seus preus a 19 d'octubre de 2026. Les funcions canvien: comproveu-les abans de confiar-hi. Nosaltres fem LinkPilot, que competeix amb OneTimeSecret, així que llegiu les comparacions d'aquesta pàgina tenint-ho present.
Què és OneTimeSecret
OneTimeSecret és un servei web, i un projecte de codi obert, per compartir un fragment de text amb un enllaç que es pot obrir una sola vegada. La instància allotjada és onetimesecret.com; el codi és a GitHub, a github.com/onetimesecret/onetimesecret, i la documentació inclou instruccions per a l'autoallotjament.[1][2] Enganxeu el text, si voleu hi poseu una caducitat i una frase de contrasenya, i envieu l'enllaç. La pàgina d'inici resumeix la promesa en una línia: «Quan el destinatari obre l'enllaç, les dades es destrueixen de manera permanent».[1]
El pla gratuït allotjat («Basic») permet un domini personalitzat, una API REST i períodes de caducitat «de fins a 14 dies». Identity Plus (35 € al mes) amplia la caducitat a 30 dies i afegeix dominis il·limitats; Team Plus (125 € al mes) afegeix inici de sessió únic, accés basat en rols i un registre d'auditoria marcat com a beta.[3]
Què protegeix el model d'una sola visualització?
Impedeix que un secret continuï existint als llocs on, si no, continuaria existint, i això és l'única cosa que el disseny fa bé. Una contrasenya enganxada en un correu o a Slack queda en dues safates d'entrada, dos índexs de cerca i totes les còpies de seguretat de tots dos. Una contrasenya darrere d'un enllaç d'un sol ús existeix al servei fins a la primera obertura; després desapareix, i l'enllaç que queda a l'historial del xat no porta enlloc. Aquesta protecció és real, i és el motiu pel qual els enllaços d'un sol ús són l'opció per defecte adequada per a unes credencials que s'han d'enviar.
OneTimeSecret hi afegeix dos controls. Una caducitat, perquè un enllaç que ningú no obre no es quedi allà indefinidament, i una frase de contrasenya opcional, perquè un enllaç reenviat a la persona equivocada no s'obri tot sol.[1] Val la pena fer servir tots dos cada vegada.
Té dos punts més a favor. El codi és públic i el projecte el descriu com a auditat per la comunitat, cosa que la majoria de competidors allotjats no ofereixen.[2] I la pàgina d'inici diu que cada secret s'emmagatzema i es processa a la regió que trieu, cosa important per als equips amb una norma de residència de dades.[1]
Què no protegeix OneTimeSecret?
Tres coses: l'operador té la clau, un enllaç enviat no es pot retirar i res no registra qui l'ha obert.
L'operador té la clau
La documentació de OneTimeSecret diu: «Els vostres secrets es xifren de manera segura als nostres servidors, cosa que garanteix la protecció de les dades».[2] Llegit al peu de la lletra, vol dir que el servei rep el text sense xifrar i el xifra després. L'operador, o qualsevol persona amb prou accés als seus sistemes, en principi podria llegir un secret mentre està emmagatzemat. Per a un projecte de codi obert que funciona a la vista de tothom des de fa anys, és una decisió de confiança raonable, i la majoria de gent la pren sense pensar-hi. Però continua sent una decisió. Una eina que xifra al navegador, amb la clau a la part de l'enllaç que els navegadors no envien mai a cap servidor, treu l'operador de la llista de persones que podrien llegir el secret.
Una frase de contrasenya redueix l'exposició, però la documentació pública no explica com s'emmagatzema la frase de contrasenya ni si intervé en la clau de xifratge, així que no podem dir en quina mesura. Feu-ne servir una igualment, i envieu-la per un canal diferent del de l'enllaç.
No hi ha manera de retirar un enllaç
Un cop heu enviat un enllaç de OneTimeSecret, la vista del remitent mostra si el secret s'ha rebut o s'ha destruït.[1] La documentació pública no descriu cap manera de retirar des d'un tauler un enllaç que encara no s'ha llegit. Si heu enviat unes credencials a la persona equivocada, o la persona se'n va abans d'obrir-lo, les opcions són rotar les credencials o esperar que caduqui. Per a una nota personal, n'hi ha prou. Per a la contrasenya d'administrador d'un client, és la mancança que més pesa.
No hi ha registre de qui l'ha obert
El pla gratuït allotjat us diu que un secret s'ha obert. No guarda una cronologia de quan, des d'on o si algú ha provat abans una frase de contrasenya incorrecta; el registre d'auditoria és una funció de Team Plus i la pàgina de preus el marca com a beta.[3] Cap eina d'enllaços d'un sol ús no us pot dir qui ha obert un enllaç, perquè un enllaç no porta cap identitat, però amb una hora i una ubicació aproximada n'hi ha prou per decidir si cal rotar les credencials. Es pot saber qui ha obert un enllaç d'un sol ús? compara què registren set eines.
Tot el que un enllaç d'un sol ús no pot fer, sigui quina sigui l'eina
No són problemes de OneTimeSecret, són problemes dels enllaços d'un sol ús, i afecten LinkPilot igual que qualsevol altra eina.
- Un enllaç reenviat abans d'obrir-se són unes credencials en mans equivocades. Una caducitat curta i una frase de contrasenya enviada per un segon canal són les úniques defenses.
- Una previsualització d'enllaç pot consumir un enllaç d'un sol ús si el servei mostra el secret amb una simple petició. OneTimeSecret mostra una pàgina de confirmació abans de mostrar-lo, i LinkPilot també; comproveu com es comporta qualsevol altra eina abans d'enganxar un enllaç a Slack. Els escàners d'enllaços i els secrets d'un sol ús explica el mecanisme.
- Dominis que imiten l'original. La categoria ha atret clons de phishing (els casos documentats afecten Privnote, no OneTimeSecret); escriviu el domini vosaltres mateixos i no arribeu mai a una eina de secrets a través d'un anunci.
Quan OneTimeSecret és la bona elecció
- Voleu una eina d'un sol propòsit de la qual pugueu llegir el codi i que pugueu fer funcionar al vostre servidor. LinkPilot no es pot autoallotjar, així que aquí no hi ha dubte.
- Envieu algun secret personal de tant en tant i no necessiteu cap registre ni cap manera de retirar-lo.
- La residència de les dades és un requisit obligatori i les regions que ofereix OneTimeSecret coincideixen amb la vostra.
Quan convé fer servir una altra cosa
- Necessiteu revocar un enllaç després d'enviar-lo.
- Necessiteu un registre de cada obertura per a una auditoria, per al qüestionari de seguretat d'un client o per a la vostra pròpia resposta a incidents.
- Voleu que el secret es xifri abans de sortir del navegador, perquè cap operador no tingui la clau.
- Compartiu secrets en equip i voleu rols, un espai de treball i una aplicació per a Slack en lloc d'un compte personal.
Per a aquests casos, el generador d'enllaços secrets d'un sol ús gratuït de LinkPilot xifra al navegador sense necessitat de compte; la revocació, la cronologia de cada secret i les frases de contrasenya formen part del pla Pro, i la comparació directa és a LinkPilot i OneTimeSecret. El panorama més ampli, inclosos Password Pusher, PrivateBin i Yopass per a qui vulgui autoallotjar, és a les millors alternatives a OneTimeSecret, i el mètode per compartir contrasenyes en si s'explica a compartir contrasenyes de manera segura en equip.
Com fer servir OneTimeSecret de manera segura
- Escriviu onetimesecret.com vosaltres mateixos; no seguiu un anunci del cercador.
- Poseu la caducitat més curta que el destinatari pugui complir.
- Afegiu una frase de contrasenya i envieu-la per un canal diferent del de l'enllaç (l'enllaç per correu, la frase de contrasenya per xat o per telèfon).
- Al cap d'un dia, reviseu la vista del remitent. Si el secret no s'ha rebut, roteu les credencials en lloc de tornar a enviar l'enllaç.
- No poseu mai el secret i el seu context (quin sistema, quin compte) al mateix missatge.
Referències
[1] Onetime Secret. Homepage. https://onetimesecret.com/. Consultat el 19 d'octubre de 2026.
[2] Onetime Secret. Documentation. https://docs.onetimesecret.com/. Consultat el 19 d'octubre de 2026.
[3] Onetime Secret. Pricing. https://onetimesecret.com/en/pricing. Consultat el 19 d'octubre de 2026.
[4] Repositori del codi font de OneTimeSecret. https://github.com/onetimesecret/onetimesecret.