És segur Privnote? Per a una nota que no us importaria que la llegís una vegada la persona equivocada, sí. Per a una contrasenya, una clau d'API o qualsevol cosa que importi a una empresa, no. És legítim privnote.com? Sí: és el servei real i funciona des de fa anys. El perill són els llocs que l'imiten.
El mecanisme d'una sola lectura funciona. Els tres riscos que expliquem a continuació són tot el que l'envolta, i el primer ja ha fet perdre diners de debò a persones reals.
Actualitzat el 2 d'octubre de 2026: hem afegit el que hem pogut verificar sobre la biblioteca de xifratge de Privnote a partir del codi font de la pàgina en directe, la xarxa de clons del 2024 documentada per Krebs on Security, i hem corregit una afirmació anterior sobre el xifratge de LinkPilot. On aquest article diu «hem comprovat», la data de la comprovació és el 2 d'octubre de 2026.
Aquest article és el veredicte sobre la seguretat. Si ja sabeu que voleu una altra eina, el recull de les millors alternatives a Privnote compara set eines pel que fa a xifratge, revocació, registres d'auditoria i preu, i LinkPilot o Privnote és la comparació directa amb el nostre producte. Si avui heu d'enviar una contrasenya, la guia per compartir contrasenyes de manera segura explica com fer-ho bé, l'eina gratuïta de nota que s'autodestrueix funciona sense compte i a la pàgina de preus de LinkPilot hi trobareu què inclouen els plans Free i Pro.
Què fa bé Privnote?
Cal reconèixer-li el mèrit. El producte bàsic és realment còmode: sense compte, enganxeu una nota, obteniu un enllaç i la nota es destrueix després de la primera lectura. La pàgina de Privnote diu que la nota es «xifra al vostre navegador i després s'emmagatzema a Privnote», ofereix una «contrasenya manual» per xifrar la nota, caducitats d'1 hora, 24 hores, 7 dies o 30 dies, un avís per correu quan la nota es destrueix, i el consell assenyat d'enviar la contrasenya per «un mètode diferent» del de l'enllaç.[1] Per a un «aquí tens la contrasenya de la Wi-Fi, esborra-ho després de llegir-ho» entre persones que es fien l'una de l'altra, no hi ha cap problema.
Quins són els 3 riscos?
1. Llocs clon de phishing que llegeixen la nota
La popularitat de la marca Privnote ha fet aparèixer dominis que l'imiten, i els més ben documentats es van crear per robar.
El juny del 2020, Brian Krebs va informar que privnotes.com (en plural) imitava Privnote, no xifrava realment les notes i executava un script que detectava adreces de bitcoin dins la nota i les substituïa per les dels estafadors. Només ho feia quan qui enviava la nota i qui la rebia l'obrien des d'adreces IP diferents, de manera que l'emissor que revisava la seva pròpia nota no veia mai el canvi.[2] L'abril del 2024 va documentar tota una xarxa de clons, entre els quals privnote[.]co, tornote[.]io, privatenote[.]io, pirvnota[.]com, privatemessage[.]net, privnode[.]com i privnate[.]com, que «funcionen més o menys tal com anuncien, però també injecten discretament les seves pròpies adreces de pagament en criptomoneda quan es crea una nota que conté moneders de criptomoneda». Quatre adreces vinculades a un d'aquests llocs van rebre gairebé 18.000 $ en quatre dies, i els operadors hi posaven adreces noves més o menys cada cinc dies.[3]
El perill no és el lloc real. És que un clic en un resultat de cerca o en un anunci us pot portar a una imitació convincent que existeix només per llegir el vostre secret. Si feu servir Privnote, escriviu el domini vosaltres mateixos. Una comprovació de la reputació de l'enllaç, com la nostra eina gratuïta de puntuació de confiança d'enllaços, us permet revisar un URL sospitós abans d'enganxar-hi res.
2. Un xifratge que no podeu verificar
Privnote diu que les notes es xifren perquè el servidor no les pugui llegir. El 2020 l'empresa va dir a Krebs que el Privnote real fa servir xifratge «perquè ni tan sols Privnote en pugui llegir el contingut».[2] Pot ser perfectament cert. Però el codi és tancat, de manera que ningú de fora de l'empresa ho pot confirmar, i el que es veu des de fora no tranquil·litza.
Això és exactament el que vam poder verificar, i el que no, el 2 d'octubre de 2026:
- Verificat: la pàgina en directe de privnote.com carrega un
fitxer JavaScript anomenat
gibberish-aes.jsdes dels seus recursos estàtics.[1] - Verificat: el projecte original Gibberish-AES a GitHub es va arxivar (passar a només lectura) el 16 d'octubre de 2018. El seu propi README diu que «només admet el mode de xifratge AES CBC», que està fet per ser compatible amb la derivació de claus basada en MD5 d'OpenSSL, i inclou un avís d'obsolescència que recomana fer servir libsodium o la Stanford JavaScript Crypto Library perquè Gibberish-AES «és força antic i fa servir un mode de xifratge més antic i sense autenticació, CBC».[4]
- No verificat: no vam fer enginyeria inversa del codi minificat de l'aplicació de Privnote per confirmar que aquesta biblioteca és la que xifra avui una nota nova, i no un camí heretat per a notes antigues. Preneu la troballa com «l'única biblioteca criptogràfica que carrega la pàgina», no com una prova del que s'executa.
Compareu-ho amb les eines el codi font de les quals podeu llegir: PrivateBin documenta AES de 256 bits en mode Galois/Counter (un mode autenticat), executat al navegador amb la clau a la part de l'enllaç que va després del #,[5] i Yopass xifra al navegador amb OpenPGP sota llicència Apache-2.0.[6] En una eina de secrets, «confieu en nosaltres» és una posició clarament més feble que «comproveu-ho vosaltres mateixos».
3. Cap manera de desfer un error
Heu enviat la nota a qui no tocava? No hi ha cap tauler per revocar-la. Heu de demostrar a un client que una credencial no es va obrir mai? No hi ha registre d'auditoria: el correu de destrucció us diu que la nota s'ha llegit, però no qui l'ha llegida ni des d'on. Us pregunteu si l'ha llegida el destinatari previst o una passarel·la de seguretat del correu que ha obert l'enllaç? No ho podeu saber.
Per a notes informals, res d'això importa. A la feina, importa tot.
Què podeu fer servir en lloc de Privnote?
| La vostra necessitat | Opció més adequada | Per què |
|---|---|---|
| Lliuraments d'empresa, credencials de clients | LinkPilot | Cronologia d'auditoria per secret, revocació, frases de contrasenya, fitxers adjunts, espais de treball d'equip; xifrat al vostre navegador amb la clau a la part de l'enllaç que va després del # |
| Una opció corrent, si ja feu servir un gestor de contrasenyes | Bitwarden Send | Sends de text gratuïts; Sends de fitxers amb Premium; es poden suprimir o desactivar abans que caduquin |
| Notes personals anònimes, codi obert | OneTimeSecret | Llicència MIT, autoallotjable, API REST, nivell gratuït |
| Autoallotjat, controlat per l'equip d'informàtica | Password Pusher | Apache-2.0, límit de visualitzacions, enllaços que caduquen, registres d'auditoria, API |
| Xifratge amb codi font que podeu llegir | PrivateBin / Yopass | Xifrat al navegador, clau dins l'enllaç, codi auditable |
La comparació completa de set eines, amb una taula de preus i la pàgina de preus de cada proveïdor citada, és a millors alternatives a Privnote. Per comparar el nostre producte amb Privnote funció per funció, inclosa l'advertència honesta que LinkPilot només és allotjat i de codi tancat, vegeu LinkPilot o Privnote. Per provar el mecanisme sense compte, feu servir el generador d'enllaços secrets d'un sol ús per a una contrasenya o una clau, i l'eina de nota que s'autodestrueix per a un missatge.
Historial de correccions: la primera versió d'aquest article deia que LinkPilot no afirmava xifrar al navegador. Des del 29 de setembre de 2026 xifra al navegador el text i els fitxers adjunts, amb la clau a la part de l'enllaç que va després del #; els secrets creats abans d'aquella data es van desar com a text sense xifrar fins que van caducar. Aquí teniu exactament què afirma.
Com es fa servir de manera segura qualsevol eina de notes d'un sol ús?
- Escriviu el domini vosaltres mateixos. No arribeu mai a una eina de secrets a través d'anuncis o resultats de cerca: aquest és l'atac dels llocs clon resumit en una línia.
- Afegiu una frase de contrasenya i envieu-la per un canal diferent del de l'enllaç.
- Poseu la caducitat més curta que us funcioni perquè les notes que no s'obrin desapareguin soles.
- Roteu el secret si alguna cosa no quadra. Un estat de destruït abans de la lectura, o un correu de destrucció abans que el destinatari l'obrís, és el primer senyal que algú altre l'ha obert.
- No poseu mai la contrasenya mateixa en un correu o un xat, només l'enllaç. La nostra guia per compartir contrasenyes de manera segura compara les cinc maneres com els equips comparteixen credencials i explica per què aquesta regla és important.
El mecanisme d'una sola lectura és una bona idea de debò, i per això tantes eines l'implementen. La qüestió de la seguretat és tot el que envolta el mecanisme: qui l'opera, si el podeu verificar i què podeu fer quan alguna cosa va malament. Jutgeu Privnote, i qualsevol alternativa, inclosa la nostra, amb aquestes tres preguntes.
Referències
[1] Privnote. Home page and page source (consultat el 2 d'octubre de 2026). https://privnote.com/
[2] Krebs, B. (14 de juny de 2020). Privnotes.com Is Phishing Bitcoin from Users of Private Messaging Service Privnote.com. Krebs on Security. https://krebsonsecurity.com/2020/06/privnotes-com-is-phishing-bitcoin-from-users-of-private-messaging-service-privnote-com/
[3] Krebs, B. (4 d'abril de 2024). Fake Lawsuit Threat Exposes Privnote Phishing Sites. Krebs on Security. https://krebsonsecurity.com/2024/04/fake-lawsuit-threat-exposes-privnote-phishing-sites/
[4] mdp/gibberish-aes. A fully OpenSSL compliant javascript library for AES encryption (repositori arxivat el 16 d'octubre de 2018). GitHub. https://github.com/mdp/gibberish-aes
[5] PrivateBin/PrivateBin. A minimalist, open source online pastebin where the server has zero knowledge of pasted data. GitHub. https://github.com/PrivateBin/PrivateBin
[6] jhaals/yopass. Secure sharing of secrets, passwords and files. GitHub. https://github.com/jhaals/yopass