OneTimeSecret er sikkert til en personlig hemmelighed, som du ikke ville have noget imod, at én forkert person læste. Til loginoplysninger i en virksomhed mangler det tre ting, som et IT-team ender med at få brug for: kryptering, der sker, før teksten forlader din enhed, en måde at trække et link tilbage på og en log over, hvem der åbnede hvad. Selve mekanismen med én visning er solid, og projektet er open source. Denne gennemgang ser på, hvad den model beskytter, hvad den ikke beskytter, og hvornår du bør bruge noget andet.
Alt nedenfor om OneTimeSecret stammer fra tjenestens egne sider, dokumentation og priser den 19. oktober 2026. Funktioner ændrer sig, så tjek dem, før du stoler på dem. Vi laver LinkPilot, som konkurrerer med OneTimeSecret, så læs sammenligningerne her med det i baghovedet.
Hvad OneTimeSecret er
OneTimeSecret er en webtjeneste og et open source-projekt til at dele et stykke tekst via et link, der kan åbnes én gang. Den hostede udgave ligger på onetimesecret.com. Koden ligger på GitHub på github.com/onetimesecret/onetimesecret, og dokumentationen har en vejledning i selvhosting.[1][2] Du indsætter teksten, vælger eventuelt et udløb og en adgangssætning og sender linket. Forsiden sætter løftet på én linje: ”Når modtageren åbner linket, destrueres dataene permanent.”[1]
Den hostede gratis plan (”Basic”) giver ét eget domæne, et REST-API og udløbsperioder på ”op til 14 dage”. Identity Plus (35 € om måneden) hæver udløbet til 30 dage og giver ubegrænset antal domæner. Team Plus (125 € om måneden) tilføjer single sign-on, rollebaseret adgang og en revisionslog, der er markeret som beta.[3]
Hvad beskytter modellen med én visning?
Den forhindrer en hemmelighed i at leve videre de steder, hvor den ellers ville blive liggende, og det er den ene ting, designet gør godt. En adgangskode, der er indsat i en e-mail eller i Slack, ligger i to indbakker, to søgeindekser og hver sikkerhedskopi af dem begge. En adgangskode bag et engangslink findes på tjenesten indtil første åbning. Så er den væk, og det link, der bliver tilbage i chathistorikken, fører ingen steder hen. Den beskyttelse er reel, og den er grunden til, at engangslinks er det rigtige standardvalg til loginoplysninger, der skal sendes.
OneTimeSecret lægger to kontroller ovenpå. Et udløb, så et link, som ingen åbner, ikke ligger der på ubestemt tid, og en valgfri adgangssætning, så et link, der bliver videresendt til den forkerte person, ikke åbner af sig selv.[1] Begge er værd at bruge hver gang.
Der er yderligere to ting, der taler for tjenesten. Koden er offentlig, og projektet beskriver den som gennemgået af fællesskabet, hvilket er mere, end de fleste hostede konkurrenter tilbyder.[2] Og forsiden siger, at hver hemmelighed gemmes og behandles i den region, du vælger. Det betyder noget for teams med en regel om, hvor data skal ligge.[1]
Hvad beskytter OneTimeSecret ikke?
Tre ting: Operatøren har nøglen, et sendt link kan ikke trækkes tilbage, og intet registrerer, hvem der åbnede det.
Operatøren har nøglen
OneTimeSecrets dokumentation siger: ”Dine hemmeligheder krypteres sikkert på vores servere, hvilket sikrer databeskyttelse.”[2] Læst bogstaveligt betyder det, at tjenesten modtager din klartekst og krypterer den bagefter. Operatøren, eller enhver med tilstrækkelig adgang til operatørens systemer, kunne i princippet læse en hemmelighed, mens den er gemt. For et open source-projekt, der har kørt åbent i årevis, er det en rimelig tillidsbeslutning, og de fleste træffer den uden at tænke over det. Det er stadig en beslutning. Et værktøj, der krypterer i browseren og holder nøglen i den del af linket, som browsere aldrig sender til en server, fjerner operatøren fra listen over dem, der kunne læse hemmeligheden.
En adgangssætning mindsker eksponeringen, men den offentlige dokumentation siger ikke, hvordan adgangssætningen gemmes, eller om den indgår i krypteringsnøglen, så vi kan ikke sige, hvor meget. Brug en alligevel, og send den via en anden kanal end linket.
Ingen måde at trække et link tilbage på
Når du har sendt et OneTimeSecret-link, viser afsenderens visning, om hemmeligheden er modtaget eller slettet.[1] Den offentlige dokumentation beskriver ikke, hvordan man trækker et ulæst link tilbage fra et dashboard. Hvis du har sendt loginoplysninger til den forkerte person, eller personen stopper, før linket er åbnet, kan du enten skifte loginoplysningerne eller vente på udløbet. Til en personlig note er det fint. Til en kundes administratoradgangskode er det den mangel, der betyder mest.
Ingen log over, hvem der åbnede det
Den gratis hostede plan fortæller dig, at en hemmelighed er blevet åbnet. Den gemmer ikke en tidslinje over hvornår, hvorfra, eller om nogen først prøvede en forkert adgangssætning. Revisionsloggen er en funktion i Team Plus og er markeret som beta på prissiden.[3] Intet værktøj til engangslinks kan fortælle dig, hvem der åbnede et link, da et link ikke bærer nogen identitet, men et tidsstempel og en grov placering er nok til at afgøre, om du skal skifte adgangskoden. Kan man se, hvem der åbnede et engangslink? sammenligner, hvad syv værktøjer registrerer.
Alt det, et engangslink ikke kan, uanset værktøj
Det er ikke problemer ved OneTimeSecret. Det er problemer ved engangslinks, og de gælder lige så meget for LinkPilot som for alle andre.
- Et link, der bliver videresendt, før det er åbnet, er loginoplysninger i de forkerte hænder. Kort udløb og en adgangssætning via en anden kanal er det eneste forsvar.
- En linkforhåndsvisning kan bruge et engangslink op, hvis tjenesten viser hemmeligheden ved en almindelig hentning. OneTimeSecret viser en bekræftelsesside før visningen, og det gør LinkPilot også. Tjek, hvordan et andet værktøj opfører sig, før du indsætter et link i Slack. Linkscannere og engangshemmeligheder forklarer mekanismen.
- Domæner, der ligner de rigtige. Kategorien har tiltrukket phishingkloner (de dokumenterede tilfælde handler om Privnote, ikke OneTimeSecret). Skriv selv domænet, og gå aldrig til et værktøj til hemmeligheder via en annonce.
Hvornår OneTimeSecret er det rigtige valg
- Du vil have et værktøj med ét formål, hvis kildekode du kan læse og køre på din egen server. LinkPilot kan ikke hostes selv, så her er valget ikke svært.
- Du sender en gang imellem en personlig hemmelighed og har ikke brug for en log eller en måde at trække den tilbage på.
- Placering af data er et ufravigeligt krav, og de regioner, OneTimeSecret tilbyder, passer til dine.
Hvornår du bør bruge noget andet
- Du skal kunne tilbagekalde et link, efter at det er sendt.
- Du har brug for en log over hver åbning til en revision, et sikkerhedsspørgeskema fra en kunde eller din egen hændelseshåndtering.
- Du vil have hemmeligheden krypteret, før den forlader din browser, så ingen operatør har nøglen.
- I deler hemmeligheder som et team og vil have roller, et arbejdsområde og en Slack-app i stedet for en personlig konto.
Til de behov krypterer LinkPilots gratis værktøj til hemmelige engangslinks i browseren uden en konto. Tilbagekaldelse, tidslinjen for hver hemmelighed og adgangssætninger findes i Pro, og den direkte sammenligning står i LinkPilot vs. OneTimeSecret. Resten af markedet, herunder Password Pusher, PrivateBin og Yopass til dem, der vil hoste selv, står i de bedste alternativer til OneTimeSecret, og selve metoden til at dele adgangskoder gennemgås i sikker deling af adgangskoder for teams.
Sådan bruger du OneTimeSecret sikkert
- Skriv selv onetimesecret.com, og følg ikke en annonce i søgeresultaterne.
- Vælg det korteste udløb, modtageren kan nå.
- Tilføj en adgangssætning, og send den via en anden kanal end linket (linket via e-mail, adgangssætningen via chat eller telefon).
- Tjek afsendervisningen efter en dag. Hvis hemmeligheden ikke er modtaget, så skift loginoplysningerne i stedet for at sende linket igen.
- Skriv aldrig hemmeligheden og dens sammenhæng (hvilket system, hvilken konto) i samme besked.
Kilder
[1] Onetime Secret. Homepage. https://onetimesecret.com/. Tjekket den 19. oktober 2026.
[2] Onetime Secret. Documentation. https://docs.onetimesecret.com/. Tjekket den 19. oktober 2026.
[3] Onetime Secret. Pricing. https://onetimesecret.com/en/pricing. Tjekket den 19. oktober 2026.
[4] OneTimeSecrets kildekoderepository. https://github.com/onetimesecret/onetimesecret.