Enllaços secrets o gestors de contrasenyes

Un gestor de contrasenyes desa les credencials que un equip fa servir una vegada i una altra. Un enllaç secret d'un sol ús lliura una credencial a una persona, una sola vegada, i després destrueix la còpia que portava. Feu servir el gestor com a sistema de referència i l'enllaç per al lliurament: la majoria d'equips atents a la seguretat necessiten totes dues coses, i la major part dels problemes apareixen quan es fa servir l'una on correspon l'altra.

La feina per a la qual està pensat cadascun

Un gestor és un sistema de referència. Un enllaç secret és un mitjà de lliurament que oblida de debò: després del lliurament, l'enllaç es destrueix, caduca o es revoca, i l'URL que queda al xat o al correu no apunta enlloc.

Quan guanya el gestor de contrasenyes

• Un equip conegut farà servir la credencial repetidament.
• Voleu una única còpia de referència que s'actualitzi arreu.
• El destinatari ja és a la vostra caixa forta.
• Necessiteu emplenament automàtic als navegadors i a les eines de CLI.
• Voleu vigilància de filtracions i informes de contrasenyes febles per a tot l'inventari de credencials.

Quan guanya l'enllaç secret

• El destinatari és un contractista, un client o un proveïdor que no és a la vostra caixa forta, ni hi serà mai.
• Només heu de lliurar la credencial una vegada.
• Voleu un esdeveniment d'auditoria clar del tipus «s'ha llegit a les 14:32» per al lliurament, lligat a aquell enviament concret.
• La credencial és un testimoni de curta durada, un codi d'un sol ús (OTP) o un secret de rotació que no s'ha de quedar enlloc.
• Necessiteu treure el valor confidencial fora del canal que esteu obligats a fer servir. El correu i el xat ho conserven tot; un enllaç destruït no conserva res.

Triar segons la situació

Tres exemples pas a pas

Lliurament a un contractista

1. Agafeu la credencial del gestor (o, millor encara, genereu una credencial amb permisos limitats i durada acotada només per al contractista).
2. Creeu un enllaç secret d'un sol ús: es destrueix després d'una visualització, caduca al cap de 24 hores i té frase de contrasenya.
3. Envieu l'enllaç per correu; envieu la frase de contrasenya per SMS o per missatge directe de Slack.
4. Vigileu quan arribi l'esdeveniment de visualització. Un cop llegit, l'enllaç queda inutilitzat i el fil de correu no conté res confidencial.
5. Quan s'acabi l'encàrrec, revoqueu la credencial a l'origen.

Incorporació d'una persona nova

El gestor conserva els valors de referència. El problema del lliurament és que la persona nova encara no és a la caixa forta: la seva primera credencial és l'accés a la caixa forta. Lliureu aquesta credencial inicial amb un enllaç d'un sol ús que caduqui el mateix dia; a partir d'aquí, tota la resta passa pel gestor com sempre.

Lliurament d'una clau d'API a un client

No envieu mai la clau mateixa per correu: el correu es desa indefinidament en diversos servidors i és un objectiu principal en els segrestos de comptes. Genereu la clau, envieu un enllaç d'un sol ús i deixeu que l'esdeveniment de destrucció serveixi també de confirmació del lliurament. Si l'enllaç caduca sense que ningú l'hagi llegit, sabreu que el lliurament ha fallat abans que el client es queixi: torneu a enviar la clau amb un enllaç nou.

El model combinat que acaben adoptant la majoria d'equips

1. Les credencials de llarga durada de l'equip viuen al gestor de contrasenyes (1Password, Bitwarden, Vaultwarden).
2. Quan algú de fora de la caixa forta necessita una credencial, una persona autoritzada de l'equip l'agafa del gestor i envia un enllaç secret d'un sol ús amb una caducitat curta.
3. El destinatari desa la credencial al seu gestor.
4. L'enllaç es destrueix. El gestor conserva la còpia de referència i l'historial de rotació.

D'aquesta manera, l'auditoria queda ben repartida: el gestor respon a «qui té accés a què» i l'enllaç respon a «quan es va fer el lliurament, i el va llegir exactament una sola persona?».

I els enllaços per compartir que porten els gestors?

Diversos gestors ja ofereixen les seves pròpies funcions per compartir amb caducitat: la compartició d'elements de 1Password i Bitwarden Send (segons la documentació publicada el juliol de 2026; comproveu-ne la versió actual abans de refiar-vos dels detalls). Si tot el vostre entorn és dins d'un sol gestor, són opcions legítimes i còmodes.

Un enllaç secret dedicat continua tenint sentit quan voleu una frase de contrasenya lliurada per un altre canal, una cronologia d'auditoria per secret que pugueu consultar més endavant, un comportament segur davant de les previsualitzacions automàtiques del xat i el correu, o una eina que no doni per fet quin gestor fa servir l'altra part (si en fa servir cap).

I la rotació?

Un enllaç secret no fa el seguiment de les rotacions. Si compartiu el mateix valor dues vegades amb dos enllaços diferents, cap dels dos sap que l'altre existeix. Per al lliurament no és cap problema, però no serveix de res per a la governança contínua: deixeu aquesta responsabilitat al gestor i tracteu cada rotació com un lliurament nou amb un enllaç nou.

Límits i advertiments sincers

• Un enllaç secret no és un lloc per desar. Si el destinatari no desa el valor al seu propi gestor abans que l'enllaç es destrueixi, l'haureu de tornar a enviar. Digueu-ho explícitament quan l'envieu.
• Cap de les dues eines protegeix més enllà del destinatari. Un cop una persona ha llegit una credencial, la pot copiar a qualsevol lloc. Totes dues eines protegeixen el transport i l'emmagatzematge, no l'altre extrem.
• Conegueu el model de xifratge del vostre proveïdor. Els gestors de contrasenyes de confiança xifren les caixes fortes d'extrem a extrem, i LinkPilot també ho fa amb el text dels enllaços secrets: el contingut es xifra al vostre navegador i la clau es queda a la part de l'enllaç que va després del #, de manera que un operador no pot llegir un secret actiu. Les frases de contrasenya es converteixen en hash al client i el contingut dels secrets destruïts se sobreescriu de manera irreversible. Els fitxers adjunts es xifren de la mateixa manera. Actualització del 29 de setembre de 2026: aquest punt deia abans que els enllaços secrets no tenien xifratge d'extrem a extrem, cosa que era certa fins a aquella data. Els detalls són a la pàgina d'arquitectura de seguretat.
• La contrasenya mestra del gestor és un punt únic de fallada. És el preu d'un sistema de referència; protegiu-la amb una frase de contrasenya robusta i amb 2FA basada en maquinari.

Lectures relacionades

• Com compartir claus d'API de manera segura
• Compartir contrasenyes de manera segura: 5 mètodes comparats
• LinkPilot o OneTimeSecret

Referències

• 1Password Support, Share items with anyone.
• Bitwarden Help Center, About Send.