Er Privnote sikkert? Til en note, som du ikke ville have noget imod, at den forkerte person læste én gang, ja. Til en adgangskode, en API-nøgle eller noget, en virksomhed går op i, nej. Er privnote.com legitimt? Ja: det er den rigtige tjeneste, og den har kørt i årevis. Faren er de efterligninger, der ligger omkring den.
Mekanismen med én visning virker. De tre risici nedenfor handler om alt det omkring den, og den første har kostet rigtige mennesker rigtige penge.
Opdateret den 2. oktober 2026: vi har tilføjet, hvad vi kunne efterprøve om Privnotes krypteringsbibliotek i den offentlige kildekode til siden, det netværk af kloner fra 2024, som Krebs on Security har dokumenteret, og vi har rettet en tidligere udtalelse om LinkPilots kryptering. Hvor der står ”vi tjekkede” i indlægget, er datoen for tjekket den 2. oktober 2026.
Dette indlæg er vurderingen af sikkerheden. Ved du allerede, at du vil have noget andet, så sammenligner oversigten over de bedste alternativer til Privnote syv værktøjer på kryptering, tilbagekaldelse, revisionslog og pris, og LinkPilot vs Privnote sammenligner vores eget produkt direkte med Privnote. Skal du sende en adgangskode i dag, forklarer guiden til sikker deling af adgangskoder, hvordan du gør det sikkert. Værktøjet til selvdestruerende noter er gratis og virker uden konto, og LinkPilots priser viser, hvad Free og Pro indeholder.
Hvad gør Privnote godt?
Det skal Privnote have: kerneproduktet er virkelig praktisk. Der kræves ingen konto, du indsætter en note og får et link, og noten slettes, når den er læst. Ifølge Privnotes egen side bliver noten ”krypteret i din browser og derefter gemt i Privnote”. Tjenesten tilbyder en ”manuel adgangskode” til at kryptere noten, udløb efter 1 time, 24 timer, 7 dage eller 30 dage, en e-mail, når noten er slettet, og det fornuftige råd at sende adgangskoden ad ”en anden vej” end linket.[1] Til ”her er Wi-Fi-koden, slet efter læsning” mellem mennesker, der stoler på hinanden, er det fint.
Hvad er de 3 risici?
1. Phishing via kloner, der læser din note
Privnotes kendte navn har affødt domæner, der ligner det rigtige, og de bedst dokumenterede af dem blev bygget for at stjæle.
I juni 2020 skrev Brian Krebs, at privnotes.com (med s) udgav sig for at være Privnote, ikke krypterede noterne og kørte et script, der fandt bitcoinadresser i en note og udskiftede dem med svindlernes egne. Det skete kun, når afsenderen og modtageren åbnede noten fra forskellige IP-adresser. Derfor opdagede en afsender, der tjekkede sin egen note, aldrig, at adressen var skiftet ud.[2] I april 2024 dokumenterede han et helt netværk af kloner, bl.a. privnote[.]co, tornote[.]io, privatenote[.]io, pirvnota[.]com, privatemessage[.]net, privnode[.]com og privnate[.]com, som ”fungerer nogenlunde som annonceret, men i al stilhed også indsætter deres egne betalingsadresser til kryptovaluta, når der oprettes en note, der indeholder kryptotegnebøger”. Fire adresser knyttet til et af webstederne modtog næsten 18.000 $ på fire dage, og bagmændene skiftede til nye adresser cirka hver femte dag.[3]
Faren er ikke det rigtige websted. Faren er, at et klik på et søgeresultat eller en annonce kan føre dig til en overbevisende forfalskning, hvis eneste formål er at læse din hemmelighed. Bruger du Privnote, så skriv selv domænet. Et tjek af linkets omdømme, fx med vores gratis værktøj link trust score, kan give en mistænkelig URL et hurtigt eftersyn, før du indsætter noget i den.
2. Kryptering, du ikke kan efterprøve
Privnote siger, at noterne krypteres, så serveren ikke kan læse dem. I 2020 fortalte firmaet Krebs, at den rigtige Privnote bruger kryptering, ”så selv Privnote ikke kan læse indholdet”.[2] Det kan sagtens være rigtigt. Men koden er lukket, så ingen uden for firmaet kan bekræfte det, og det, man kan se udefra, er ikke beroligende.
Her er præcis, hvad vi kunne og ikke kunne efterprøve den 2. oktober 2026:
- Efterprøvet: den offentlige side på privnote.com indlæser en
JavaScript-fil ved navn
gibberish-aes.jsfra sine statiske filer.[1] - Efterprøvet: det oprindelige Gibberish-AES-projekt på GitHub blev arkiveret (gjort skrivebeskyttet) den 16. oktober 2018. Ifølge projektets egen README ”understøtter det kun CBC som krypteringstilstand for AES”, det er bygget til at være kompatibelt med OpenSSLs MD5-baserede nøgleafledning, og det har en note om, at det er forældet. Noten anbefaler libsodium eller Stanfords JavaScript Crypto Library i stedet, fordi Gibberish-AES ”er ret gammelt og bruger en ældre chiffertilstand uden autentificering, CBC”.[4]
- Ikke efterprøvet: vi har ikke foretaget reverse engineering af Privnotes minificerede programkode for at bekræfte, at det er dette bibliotek, der krypterer en ny note i dag, og ikke en gammel kodevej til ældre noter. Opfat fundet som ”det eneste kryptobibliotek, siden leverer”, ikke som bevis for, hvad der kører.
Sammenlign med værktøjer, hvis kildekode du kan læse: PrivateBin dokumenterer 256-bit AES i Galois Counter Mode (en autentificeret tilstand), der kører i browseren med nøglen i den del af linket, der står efter #,[5] og Yopass krypterer i browseren med OpenPGP under en Apache-2.0-licens.[6] For et værktøj til hemmeligheder er ”stol på os” en markant svagere position end ”tjek selv”.
3. Ingen måde at rette en fejl på
Har du sendt noten til den forkerte person? Der er intet dashboard, hvor du kan tilbagekalde den. Skal du bevise over for en kunde, at nogle loginoplysninger aldrig blev åbnet? Der er ingen revisionslog: e-mailen om sletningen fortæller dig, at noten blev læst, men ikke af hvem eller hvorfra. Vil du vide, om det var den rigtige modtager, der læste den, eller en sikkerhedsgateway til e-mail, der hentede linket? Det kan du ikke se.
Til uformelle noter betyder intet af det noget. På arbejdet betyder det hele noget.
Hvad skal du bruge i stedet?
| Dit behov | Bedre valg | Hvorfor |
|---|---|---|
| Overdragelser i en virksomhed, kunders loginoplysninger | LinkPilot | Revisionslog for hver hemmelighed, tilbagekaldelse, adgangssætninger, vedhæftede filer, arbejdsområder til teams; krypteret i din browser med nøglen i den del af linket, der står efter # |
| Udbredt og allerede i en adgangskodeadministrator | Bitwarden Send | Sends med tekst er gratis, Sends med filer kræver Premium; kan slettes eller deaktiveres før udløb |
| Anonyme personlige noter, open source | OneTimeSecret | MIT-licens, kan hostes selv, REST-API, gratis niveau |
| Selvhostet, styret af IT | Password Pusher | Apache-2.0, grænse for antal visninger, links, der udløber, revisionslog, API |
| Kryptering, hvis kildekode du kan læse | PrivateBin / Yopass | Krypteret i browseren, nøglen i linket, kode, der kan gennemgås |
Den fulde sammenligning af syv værktøjer med en pristabel og henvisning til hver leverandørs prisside finder du i bedste alternativer til Privnote. Vil du se vores eget produkt over for Privnote funktion for funktion, inklusive det ærlige forbehold, at LinkPilot kun findes som hostet tjeneste og har lukket kildekode, så læs LinkPilot vs Privnote. Vil du prøve mekanismen uden konto, så brug generatoren til hemmelige engangslinks til en adgangskode eller en nøgle og værktøjet til selvdestruerende noter til en besked.
Rettelser: den første version af indlægget sagde, at LinkPilot ikke hævdede at kryptere i browseren. Siden den 29. september 2026 krypterer LinkPilot tekst og vedhæftede filer i browseren med nøglen i den del af linket, der står efter #. Hemmeligheder, der blev oprettet før den dato, blev gemt som klartekst, indtil de udløb. Her er præcis, hvad LinkPilot lover.
Sådan bruger du et værktøj til engangsnoter sikkert
- Skriv selv domænet. Gå aldrig til et værktøj til hemmeligheder via annoncer eller søgeresultater. Det er angrebet med kloner beskrevet på én linje.
- Tilføj en adgangssætning, og send den ad en anden kanal end linket.
- Vælg det korteste udløb, der kan fungere, så noter, der ikke bliver åbnet, forsvinder af sig selv.
- Skift hemmeligheden, hvis noget ser forkert ud. En status som slettet, før noten blev læst, eller en e-mail om sletning, før modtageren åbnede den, er dit første varsel om, at en anden har gjort det.
- Skriv aldrig selve adgangskoden i en e-mail eller en chat, kun linket. Vores guide til sikker deling af adgangskoder sammenligner de fem måder, teams deler loginoplysninger på, og forklarer, hvorfor den regel er vigtig.
Mekanismen med én visning er en rigtig god idé, og derfor bruger så mange værktøjer den. Spørgsmålet om sikkerhed handler om alt omkring mekanismen: hvem der driver den, om du kan efterprøve den, og hvad du kan gøre, når noget går galt. Bedøm Privnote og alle alternativer, også vores eget, ud fra de tre spørgsmål.
Kilder
[1] Privnote. Home page and page source (tjekket den 2. oktober 2026). https://privnote.com/
[2] Krebs, B. (14. juni 2020). Privnotes.com Is Phishing Bitcoin from Users of Private Messaging Service Privnote.com. Krebs on Security. https://krebsonsecurity.com/2020/06/privnotes-com-is-phishing-bitcoin-from-users-of-private-messaging-service-privnote-com/
[3] Krebs, B. (4. april 2024). Fake Lawsuit Threat Exposes Privnote Phishing Sites. Krebs on Security. https://krebsonsecurity.com/2024/04/fake-lawsuit-threat-exposes-privnote-phishing-sites/
[4] mdp/gibberish-aes. A fully OpenSSL compliant javascript library for AES encryption (repository arkiveret den 16. oktober 2018). GitHub. https://github.com/mdp/gibberish-aes
[5] PrivateBin/PrivateBin. A minimalist, open source online pastebin where the server has zero knowledge of pasted data. GitHub. https://github.com/PrivateBin/PrivateBin
[6] jhaals/yopass. Secure sharing of secrets, passwords and files. GitHub. https://github.com/jhaals/yopass