Správce hesel uchovává přihlašovací údaje, které tým používá opakovaně. Jednorázový tajný odkaz předá údaj jednomu člověku jednou a pak kopii, kterou nesl, zničí. Správce hesel používejte jako hlavní evidenci a odkaz pro předání. Většina týmů, které berou bezpečnost vážně, potřebuje obojí, a nejvíc potíží vzniká, když se jeden nástroj používá tam, kam patří ten druhý.
K čemu je který nástroj určen
| Úkol | Správce hesel | Tajný odkaz |
|---|---|---|
| Ukládání na neomezenou dobu | Ano | Ne |
| Sdílení s lidmi mimo trezor | Nepohodlné | Hlavní účel |
| Jednorázové doručení | Možné | Výchozí chování |
| Sledování rotací | Ano | Ne |
| Auditní záznam každého čtení | Omezený | Pro každou tajnou zprávu |
| Funguje bez registrace příjemce | Ne | Ano |
| Automatické vyplňování v prohlížeči a CLI | Ano | Ne |
| Zaručené zapomenutí po předání | Ne | Ano: zničení nebo vypršení platnosti |
Správce hesel je hlavní evidence. Tajný odkaz je způsob doručení, který po sobě spolehlivě nic nenechá: po předání se odkaz zničí, vyprší jeho platnost nebo ho zneplatníte. Adresa URL, která zůstane v chatu nebo e-mailu, pak už nikam nevede.
Kdy vyhrává správce hesel
- Údaj bude opakovaně používat známý tým.
- Chcete jedinou platnou kopii, jejíž změna se projeví všude.
- Příjemce už ve vašem trezoru je.
- Potřebujete automatické vyplňování v prohlížečích a nástrojích CLI.
- Chcete sledovat úniky a mít přehled slabých hesel napříč všemi přihlašovacími údaji, které evidujete.
Kdy vyhrává tajný odkaz
- Příjemce je externista, zákazník nebo dodavatel, který ve vašem trezoru není a nikdy nebude.
- Údaj potřebujete doručit jen jednou.
- Chcete jasný auditní záznam „přečteno ve 14:32“ vázaný právě na toto předání.
- Údaj je krátkodobý token, kód OTP nebo důvěrný údaj pro rotaci, který nemá nikde zůstat.
- Potřebujete citlivou hodnotu dostat mimo kanál, který musíte použít. E-mail a chat uchovávají všechno, zničený odkaz neuchová nic.
Volba podle situace
| Situace | Co použít | Proč |
|---|---|---|
| Kolega z vašeho trezoru potřebuje přihlášení ke stagingu | Správce hesel | Nasdílejte položku trezoru; po rotaci zůstane aktuální |
| Externista potřebuje heslo k databázi na dvoutýdenní zakázku | Tajný odkaz | Nepotřebuje místo v trezoru; doručení lze auditovat; nic nezůstane |
| Přihlašovací údaje nového kolegy na první den | Obojí | Hodnoty jsou ve správci hesel; předání proběhne jednorázovým odkazem |
| Zákazník potřebuje klíč API, který jste pro něj vytvořili | Tajný odkaz | Zákazníci ve vašem trezoru nikdy nejsou; e-mail by klíč uchoval navždy |
| Člověk, který řeší incident, hned potřebuje nové heslo administrátora | Tajný odkaz | Krátká platnost; v kanálu incidentu zůstane jen nefunkční adresa URL |
| Heslo k Wi-Fi v kanceláři | Správce hesel (sdílený trezor) | Dlouhodobé, málo citlivé, potřebné opakovaně |
Tři příklady krok za krokem
Předání externistovi
- Vezměte údaj ze správce hesel (nebo lépe vytvořte pro externistu údaj s omezeným rozsahem a časově omezenou platností).
- Vytvořte jednorázový tajný odkaz: zničit po jednom zobrazení, platnost 24 hodin, nastavená heslová fráze.
- Odkaz pošlete e-mailem, heslovou frázi v SMS nebo soukromou zprávou ve Slacku.
- Sledujte událost zobrazení. Jakmile je zpráva přečtena, odkaz přestane fungovat a e-mailová konverzace neobsahuje nic citlivého.
- Po skončení zakázky přihlašovací údaj zneplatněte přímo ve zdrojovém systému.
Nástup nového kolegy
Platné hodnoty drží správce hesel. Potíž s předáním je v tom, že nový kolega zatím v trezoru není: jeho prvním přihlašovacím údajem je přístup do trezoru. Tento výchozí údaj doručte jednorázovým odkazem s platností do konce dne. Vše další pak jde přes správce hesel jako obvykle.
Doručení klíče API zákazníkovi
Samotný klíč nikdy neposílejte e-mailem: e-mail zůstává uložený na neurčito na několika serverech a při převzetí účtů patří k hlavním cílům. Vygenerujte klíč, pošlete jednorázový odkaz a událost zničení vám zároveň poslouží jako potvrzení doručení. Pokud odkaz vyprší nepřečtený, víte, že doručení selhalo, dřív, než si zákazník stěžuje. Vystavte nový odkaz.
Kombinace, ke které většina týmů dojde
- Dlouhodobé přihlašovací údaje týmu jsou ve správci hesel (1Password, Bitwarden, Vaultwarden).
- Když údaj potřebuje někdo mimo trezor, oprávněný člen týmu ho vezme ze správce hesel a pošle jednorázový tajný odkaz s krátkou platností.
- Příjemce si údaj uloží do svého správce hesel.
- Odkaz se zničí. Správce hesel si ponechá platnou kopii i historii rotací.
Audit se tak rozdělí správně: správce hesel odpovídá za to, „kdo má k čemu přístup“, a odkaz za to, „kdy předání proběhlo a zda ho přečetla právě jedna strana“.
A co vestavěné odkazy pro sdílení ve správcích hesel?
Několik správců hesel dnes nabízí vlastní sdílení s omezenou platností: sdílení položek v 1Password a Bitwarden Send (podle stavu z července 2026; než se na podrobnosti spolehnete, ověřte aktuální dokumentaci). Pokud se celý váš svět odehrává v jednom správci hesel, jsou to legitimní a pohodlné možnosti.
Samostatný tajný odkaz má přesto smysl, když chcete heslovou frázi doručenou jiným kanálem, časovou osu auditu pro každou tajnou zprávu, na kterou se můžete později odvolat, odolnost vůči nástrojům pro náhledy odkazů v chatu a e-mailu, nebo nástroj, který nic nepředpokládá o tom, jakého správce hesel (pokud vůbec) používá druhá strana.
A co rotace?
Tajný odkaz rotace nesleduje. Pokud stejnou hodnotu sdílíte dvakrát dvěma různými odkazy, žádný z nich o tom druhém neví. Pro předání to nevadí, pro průběžnou správu přístupů je to ale k ničemu. Tuto odpovědnost nechte správci hesel a každou rotaci berte jako nové předání s novým odkazem.
Omezení a upřímná upozornění
- Tajný odkaz není úložiště. Pokud si příjemce hodnotu neuloží do svého správce hesel dřív, než se odkaz zničí, budete ji posílat znovu. Při odeslání to výslovně řekněte.
- Ani jeden nástroj neochrání údaj u příjemce. Jakmile si člověk přihlašovací údaj přečte, může ho zkopírovat kamkoli. Oba nástroje chrání přenos a uložení, ne druhý konec.
- Znejte šifrovací model svého poskytovatele. Renomovaní správci hesel šifrují trezory koncově (end-to-end) a LinkPilot stejně šifruje textový obsah tajných odkazů: obsah se zašifruje ve vašem prohlížeči a klíč zůstává v části odkazu za znakem #, takže provozovatel aktivní tajnou zprávu přečíst nemůže. Heslové fráze se hashují na straně klienta a obsah zničených zpráv se nevratně přepíše. Přiložené soubory se šifrují stejně. Aktualizace z 29. září 2026: tento bod dříve uváděl, že tajné odkazy nejsou koncově šifrované, což do tohoto data platilo. Podrobnosti najdete na stránce architektura zabezpečení.
- Hlavní heslo správce hesel je jediný bod selhání. To je cena za hlavní evidenci. Chraňte ho silnou heslovou frází a dvoufázovým ověřením (2FA) s hardwarovým klíčem.
Vyzkoušejte zdarma, bez registrace
Generátor jednorázových tajných odkazů
Pošlete heslo nebo poznámku odkazem, který se otevře jen jednou.
Související články
Zdroje
- 1Password Support, Share items with anyone.
- Bitwarden Help Center, About Send.