Je Privnote bezpečný? Pro poznámku, u které vám nevadí, že si ji jednou přečte nesprávný člověk, ano. Pro heslo, klíč API nebo cokoli, na čem firmě záleží, ne. Je privnote.com legitimní? Ano: je to skutečná služba a běží už roky. Nebezpečí představují podobné weby, které se kolem ní vyrojily.
Samotný mechanismus jednoho zobrazení funguje. Tři rizika níže se týkají všeho kolem něj a to první už skutečné lidi připravilo o skutečné peníze.
Aktualizováno 2. října 2026: doplnili jsme, co se nám podařilo ověřit o šifrovací knihovně Privnote ze zdrojového kódu živé stránky, síť klonů z roku 2024, kterou popsal Krebs on Security, a opravili jsme dřívější tvrzení o šifrování v LinkPilotu. Kde tento článek uvádí „ověřili jsme“, platí datum ověření 2. října 2026.
Tento článek dává verdikt o bezpečnosti. Pokud už víte, že chcete něco jiného, přehled nejlepších alternativ k Privnote srovnává sedm nástrojů podle šifrování, zneplatnění, auditních záznamů a ceny a LinkPilot vs Privnote je přímé srovnání s naším produktem. Pokud potřebujete poslat heslo ještě dnes, průvodce bezpečným sdílením hesel vysvětluje, jak na to bezpečně, bezplatný nástroj samozničující zpráva funguje bez účtu a ceník LinkPilotu uvádí, co obsahují tarify Free a Pro.
V čem je Privnote dobrý?
Co mu patří, to mu přiznejme. Základní produkt je opravdu pohodlný: žádný účet, vložíte poznámku, dostanete odkaz a po přečtení se poznámka zničí. Stránka služby Privnote uvádí, že poznámka je „zašifrována ve vašem prohlížeči a poté uložena v Privnote“, nabízí „ruční heslo“ k zašifrování poznámky, platnost 1 hodina, 24 hodin, 7 dní nebo 30 dní, e-mailové upozornění, když se poznámka zničí, a rozumnou radu poslat heslo „jiným způsobem“ než odkaz.[1] Na „tady je heslo k Wi-Fi, po přečtení smazat“ mezi lidmi, kteří si důvěřují, to stačí.
Jaká jsou 3 rizika?
1. Phishing přes klony webu, které čtou vaši poznámku
Známost značky Privnote přilákala podobně pojmenované domény a ty nejlépe zdokumentované vznikly proto, aby kradly.
V červnu 2020 Brian Krebs informoval, že privnotes.com (v množném čísle) napodoboval Privnote, poznámky ve skutečnosti nešifroval a spouštěl skript, který v poznámce hledal adresy pro bitcoin a nahrazoval je adresami podvodníků. Dělal to jen tehdy, když odesílatel a příjemce otevřeli poznámku z různých IP adres, takže odesílatel, který si poznámku kontroloval, záměnu nikdy neviděl.[2] V dubnu 2024 popsal celou síť klonů, mimo jiné privnote[.]co, tornote[.]io, privatenote[.]io, pirvnota[.]com, privatemessage[.]net, privnode[.]com a privnate[.]com, které „fungují víceméně tak, jak slibují, ale když se vytvoří poznámka obsahující kryptoměnové peněženky, potichu do ní vloží vlastní platební adresy pro kryptoměny“. Na čtyři adresy spojené s jedním z těchto webů přišlo za čtyři dny téměř 18 000 $ a provozovatelé nasazovali nové adresy zhruba každých pět dní.[3]
Nebezpečím není skutečný web. Jde o to, že kliknutí na výsledek vyhledávání nebo reklamu vás může zavést na přesvědčivý podvrh, který existuje jen proto, aby přečetl vaši tajnou zprávu. Pokud Privnote používáte, napište doménu sami. Kontrola reputace odkazu, třeba náš bezplatný nástroj skóre důvěryhodnosti odkazu, prověří podezřelou URL dřív, než do ní cokoli vložíte.
2. Šifrování, které nelze ověřit
Privnote tvrdí, že poznámky jsou šifrované tak, aby je server nemohl přečíst. V roce 2020 firma Krebsovi řekla, že skutečný Privnote používá šifrování, „aby obsah nemohl přečíst ani samotný Privnote“.[2] To může být pravda. Kód je ale uzavřený, takže to nikdo mimo firmu nemůže potvrdit, a to, co je vidět zvenku, nijak neuklidňuje.
Co přesně jsme 2. října 2026 dokázali ověřit a co ne:
- Ověřeno: živá stránka privnote.com načítá ze svých statických
souborů javascriptový soubor
gibberish-aes.js.[1] - Ověřeno: původní projekt Gibberish-AES na GitHubu byl 16. října 2018 archivován (převeden jen pro čtení). Jeho vlastní README uvádí, že „podporuje pouze režim šifrování AES CBC“, je stavěný kvůli kompatibilitě s odvozováním klíčů v OpenSSL založeným na MD5 a obsahuje upozornění o ukončení podpory, které místo něj doporučuje libsodium nebo Stanford JavaScript Crypto Library, protože Gibberish-AES „je poměrně starý a používá starší, neautentizovaný šifrovací režim CBC“.[4]
- Neověřeno: minifikovaný kód aplikace Privnote jsme nerozebírali zpětným inženýrstvím, takže jsme nepotvrdili, že tato knihovna dnes šifruje nové poznámky a nejde jen o starou cestu pro staré poznámky. Berte zjištění jako „jediná kryptografická knihovna, kterou stránka načítá“, ne jako důkaz toho, co skutečně běží.
Pro srovnání nástroje, jejichž zdrojový kód si můžete přečíst: PrivateBin dokumentuje 256bitový AES v režimu Galois Counter Mode (autentizovaný režim), který běží v prohlížeči s klíčem v části odkazu za znakem #,[5] a Yopass šifruje v prohlížeči pomocí OpenPGP pod licencí Apache-2.0.[6] U nástroje pro tajné zprávy je „věřte nám“ podstatně slabší pozice než „ověřte si to sami“.
3. Chybu nejde vzít zpět
Poslali jste poznámku nesprávnému člověku? Neexistuje řídicí panel, kde byste ji zneplatnili. Potřebujete klientovi doložit, že přihlašovací údaje nikdo neotevřel? Auditní záznam neexistuje: e-mail o zničení vám řekne, že poznámka byla přečtena, ale ne kým ani odkud. Přečetl ji zamýšlený příjemce, nebo bezpečnostní brána e-mailu, která odkaz načetla? To nepoznáte.
U běžných poznámek na ničem z toho nezáleží, v práci na všem.
Co použít místo něj?
| Váš požadavek | Vhodnější nástroj | Proč |
|---|---|---|
| Firemní předání, přihlašovací údaje klientů | LinkPilot | Časová osa auditu u každé tajné zprávy, zneplatnění, heslové fráze, přílohy, týmové pracovní prostory; šifrováno ve vašem prohlížeči s klíčem v části odkazu za znakem # |
| Běžná volba, už používáte správce hesel | Bitwarden Send | Textové Sendy zdarma, souborové Sendy v Premium; lze smazat nebo vypnout před vypršením platnosti |
| Anonymní osobní poznámky, open source | OneTimeSecret | Licence MIT, lze provozovat na vlastním serveru, REST API, bezplatná úroveň |
| Self-hosting pod kontrolou IT | Password Pusher | Apache-2.0, limity zobrazení, odkazy s vypršením platnosti, auditní záznamy, API |
| Šifrování, jehož zdrojový kód si můžete přečíst | PrivateBin / Yopass | Šifrování v prohlížeči, klíč v odkazu, auditovatelný kód |
Úplné srovnání sedmi nástrojů s cenovou tabulkou a odkazem na ceník každého dodavatele najdete v přehledu nejlepších alternativ k Privnote. Náš produkt proti Privnote funkci po funkci, včetně poctivého upozornění, že LinkPilot je jen hostovaná služba s uzavřeným kódem, srovnává stránka LinkPilot vs Privnote. Pokud si mechanismus chcete vyzkoušet bez účtu, použijte pro heslo nebo klíč generátor jednorázových tajných odkazů a pro zprávu nástroj samozničující zpráva.
Historie oprav: první verze tohoto článku uváděla, že LinkPilot netvrdí, že šifruje v prohlížeči. Od 29. září 2026 šifruje textový obsah i přílohy v prohlížeči a klíč je v části odkazu za znakem #; tajné zprávy vytvořené před tímto datem byly až do vypršení platnosti uložené jako prostý text. Přesně toto LinkPilot tvrdí.
Jak bezpečně používat jakýkoli nástroj pro jednorázové poznámky?
- Napište doménu sami. K nástroji pro tajné zprávy se nikdy nedostávejte přes reklamy nebo výsledky vyhledávání; to je celý útok přes klony webu v jedné větě.
- Přidejte heslovou frázi a pošlete ji jiným kanálem než odkaz.
- Nastavte nejkratší použitelnou platnost, aby neotevřené poznámky zanikly samy.
- Pokud je něco podezřelé, změňte heslo nebo klíč. Stav „zničeno před přečtením“ nebo e-mail o zničení dřív, než příjemce poznámku otevřel, je včasné varování, že ji otevřel někdo jiný.
- Samotné heslo nikdy nedávejte do e-mailu ani chatu, jen odkaz. Náš průvodce bezpečným sdílením hesel srovnává pět způsobů, jak týmy sdílejí přihlašovací údaje, a vysvětluje, proč na tomto pravidle záleží.
Mechanismus jednoho zobrazení je opravdu dobrý nápad, a proto ho používá tolik nástrojů. Otázka bezpečnosti se týká všeho kolem něj: kdo ho provozuje, zda si ho můžete ověřit a co můžete dělat, když se něco pokazí. Podle těchto tří otázek posuzujte Privnote i každou alternativu, tu naši nevyjímaje.
Zdroje
[1] Privnote. Home page and page source (ověřeno 2. října 2026). https://privnote.com/
[2] Krebs, B. (14. června 2020). Privnotes.com Is Phishing Bitcoin from Users of Private Messaging Service Privnote.com. Krebs on Security. https://krebsonsecurity.com/2020/06/privnotes-com-is-phishing-bitcoin-from-users-of-private-messaging-service-privnote-com/
[3] Krebs, B. (4. dubna 2024). Fake Lawsuit Threat Exposes Privnote Phishing Sites. Krebs on Security. https://krebsonsecurity.com/2024/04/fake-lawsuit-threat-exposes-privnote-phishing-sites/
[4] mdp/gibberish-aes. A fully OpenSSL compliant javascript library for AES encryption (repozitář archivován 16. října 2018). GitHub. https://github.com/mdp/gibberish-aes
[5] PrivateBin/PrivateBin. A minimalist, open source online pastebin where the server has zero knowledge of pasted data. GitHub. https://github.com/PrivateBin/PrivateBin
[6] jhaals/yopass. Secure sharing of secrets, passwords and files. GitHub. https://github.com/jhaals/yopass