Kan man se, hvem der åbnede et hemmeligt engangslink?

Intet værktøj kan fortælle dig, hvem der åbnede et engangslink. Et link bærer ingen identitet, og ingen af tjenesterne nedenfor beder modtageren om at logge ind. En tjeneste kan registrere, at linket blev åbnet, hvornår, og nogle gange en hashet netværksadresse, en omtrentlig placering og den browser, der åbnede det. Forskellen mellem værktøjerne ligger i, hvor meget af det de gemmer, hvem der får det at se, og om du får besked med det samme.

Her gennemgår vi, hvad hvert værktøj registrerer, ud fra dets egen dokumentation pr. 14. oktober 2026, så du kan vælge det, der passer til dit egentlige spørgsmål: ”Fik de det?”, ”Hvornår?” eller ”Hvem ellers?”. Har du kun brug for selve linket, laver den gratis generator til hemmelige engangslinks et uden konto.

Hvad kan det bevise, at et link er åbnet?

At linket blev åbnet på et bestemt tidspunkt, fra en bestemt type klient og omtrent et bestemt sted, men aldrig af hvem. Når nogen åbner et engangslink, ser serveren en forespørgsel: et tidspunkt, en netværksadresse, browserens identifikation og et gæt på land og by fra edge-udbyderen. Den ser ikke et navn, en e-mailadresse eller hvem der ejer enheden. Selv et værktøj, der gemmer den rå adresse, fortæller dig kun, hvilket netværk forespørgslen kom fra, og for mobil- og kontortrafik er det ofte en delt gateway.

Mere end dette kan ingen af produkterne ærligt love: Hemmeligheden blev åbnet på dette tidspunkt, fra denne type klient, omtrent herfra. Det er nok til at svare på ”Har min kollega fået adgangskoden, før jeg skifter den?” og ”Blev den åbnet, før jeg overhovedet havde sendt den?”. Det er ikke nok til at beskylde nogen.

Hvad hvert værktøj registrerer

Oplysningerne er hentet fra hver udbyders website på datoen ovenfor og ændrer sig over tid. Tjek projektet, før du stoler på en kolonne.

Hvorfor LinkPilot fører en revisionslog, og hvorfor adressen hashes

LinkPilot er bygget til folk, der deler loginoplysninger på vegne af en virksomhed, og her er ”Har de åbnet det?” lige så meget et compliance-spørgsmål som nysgerrighed. Hver hemmelighed har en revisionslog med hændelser: oprettet, vist, mislykket forsøg med adgangssætning, slettet, udløbet og tilbagekaldt. Hver hændelse har et tidsstempel, det land og den by, edge-udbyderen angiver, browserens User-Agent-streng og en hash af netværksadressen i stedet for selve adressen. Hashen bruger SHA-256 med et salt, der skiftes dagligt, og afkortes til 32 tegn. To åbninger samme dag fra samme adresse matcher derfor hinanden, men ingen kan regne registreringen tilbage til en IP-adresse, og morgendagens registreringer kan ikke kobles sammen med dagens.

Den afvejning er bevidst. En ejer af et arbejdsområde får nok til at se, at en hemmelighed blev åbnet to gange, fra to lande, med ti minutters mellemrum, og det mønster betyder ”skift den nu”. Ejeren får ikke en overvågningslog over modtagerne. Mislykkede forsøg med adgangssætningen logges på samme måde, så et brute force-forsøg også dukker op i revisionsloggen. Siden om sikkerhedsarkitekturen viser præcist, hvad der gemmes, og hvad der ikke gemmes.

Revisionsloggen er en Pro-funktion. På Free-planen og i det anonyme værktøj til Slet efter læsning slettes hemmeligheden stadig, første gang den vises, og den næste besøgende ser ”already viewed and destroyed”. Det besvarer i sig selv det mest almindelige spørgsmål: Ser du den meddelelse, er linket blevet åbnet.

Hvad kan registreringen bruges til?

At bekræfte levering, opdage en for tidlig åbning, opdage en videresendelse og skrive en hændelsesrapport.

• Bekræft levering, før du skifter adgangskoden. Du sendte en adgangskode til en database fredag. Mandag viser revisionsloggen, at den blev åbnet fredag fra modtagerens by. Du kan skifte den som planlagt i stedet for at gætte.
• Opdag en for tidlig åbning. Hemmeligheden blev oprettet kl. 09:00 og åbnet kl. 09:00:04 fra en adresse i et datacenter med en browseridentifikation, der ligner en bot, før modtageren overhovedet kunne nå at klikke. Det er en forhåndsvisning af linket eller en scanner, og derfor svarer LinkPilot på forhåndsvisninger med metadata alene og tæller dem aldrig som en visning. Se linkscannere og engangshemmeligheder.
• Opdag en videresendelse. To åbninger er umulige på et engangslink, men hvis en hemmelighed udløb uåbnet, mens modtageren sværger på at have klikket, ved du, at linket først har været et andet sted.
• Hændelsesrapporter. En revisor, der spørger ”Hvem havde adgang til disse loginoplysninger, og hvornår?”, får en dateret registrering i stedet for en søgning i Slack.

Hvad den ikke kan bruges til

• At udpege en person. Se ovenfor. En hashet adresse og en browseridentifikation er ikke en identitet, og LinkPilots hashing er designet, så de ikke kan blive det.
• At bevise, at modtageren har læst det. Åbnet er ikke det samme som læst. Browseren hentede og dekrypterede indholdet; hvad der skete bagefter, kan intet værktøj se.
• At erstatte et skift af adgangskoden. Hvis den forkerte har åbnet en hemmelighed, er det eneste sikre svar at ændre loginoplysningerne. Revisionsloggen fortæller dig, at du skal gøre det; den kan ikke gøre visningen ugjort.

Sådan vælger du ud fra netop dette spørgsmål

• Du har brug for en registrering, du kan vise en revisor: LinkPilot Pro (revisionslog med hashet adresse og placering) eller Password Pusher Pro (tidsstempler).
• Du vil have besked, i det øjeblik linket åbnes: password.link, SnapPwd eller Yopass med erhvervslicensen.
• Du har kun brug for et antal: Bitwarden Send.
• Du vil af princip ikke have noget registreret om læseren: PrivateBin, 1time.io eller OncePad, og så må du acceptere, at ”Fik de det?” skal spørges om direkte.

Den bredere sammenligning, med krypteringsmodeller, filer og selvhosting, finder du i 10 alternativer til OneTimeSecret sammenlignet. Vil du se trin for trin, hvad der sker mellem oprettelse og sletning, så læs sådan virker hemmelige engangslinks.

Kilder

1. Password Pusher, produktside (eksempel på revisionslog, Pro-priser). https://eu.pwpush.com/
2. Bitwarden Send, levetid (antal visninger). https://bitwarden.com/help/send-lifespan/
3. Yopass (læsekvitteringer med erhvervslicens). https://yopass.se/
4. password.link (notifikationer). https://password.link/
5. SnapPwd (besked via e-mail). https://snappwd.io/
6. OneTimeSecret, dokumentation. https://docs.onetimesecret.com/
7. PrivateBin (bemærkning om adgangslogge). https://privatebin.info/
8. 1time.io. https://1time.io/
9. OncePad. https://oncepad.com/
10. LinkPilot, sikkerhedsarkitektur (hvad der logges ved hver visning). https://uselinkpilot.com/security-architecture