Ninguna herramienta puede decirte quién abrió un enlace de un solo uso. Un enlace no lleva asociada ninguna identidad, y ninguno de los servicios de esta lista pide al destinatario que inicie sesión. Lo que un servicio puede registrar es que el enlace se abrió, cuándo y, a veces, una dirección de red con hash, una ubicación aproximada y el navegador que lo abrió. Las herramientas se diferencian en cuánto de eso guardan, quién puede verlo y si te avisan en el momento.
Este artículo recoge lo que registra cada herramienta según su propia documentación a 14 de octubre de 2026, para que elijas la adecuada a la pregunta que de verdad tienes: «¿le ha llegado?», «¿cuándo?» o «¿quién más lo ha abierto?». Si solo necesitas el enlace, el generador gratis de enlaces secretos de un solo uso crea uno sin cuenta.
¿Qué demuestra la apertura de un enlace?
Que el enlace se abrió a una hora concreta, desde un tipo de cliente concreto y desde un lugar aproximado, pero nunca quién lo abrió. Cuando alguien abre un enlace de un solo uso, el servidor ve una petición: una hora, una dirección de red, una cadena del navegador y una estimación del país y la ciudad que aporta el proveedor de red perimetral. No ve un nombre, una dirección de correo ni el propietario del dispositivo. Incluso una herramienta que guarda la dirección completa solo te dice de qué red llegó la petición, y en el tráfico móvil y de oficina suele ser una pasarela compartida.
Así que el límite honesto de cualquiera de estos productos es este: el secreto se abrió a esta hora, desde este tipo de cliente y más o menos desde aquí. Basta para responder «¿recibió mi compañero la contraseña antes de que la cambie?» y «¿se abrió antes incluso de que la enviara?». No basta para acusar a nadie.
Qué registra cada herramienta
| Herramienta | ¿Puedes ver que se abrió? | Qué se registra | Quién lo ve |
|---|---|---|---|
| LinkPilot | Sí, en el historial del secreto | Tipo de evento (creado, visto, frase de contraseña incorrecta, destruido, expirado, revocado), fecha y hora, IP con hash y sal diaria, país y ciudad desde la red perimetral cuando están disponibles, cadena User-Agent | El espacio de trabajo, en Pro |
| Password Pusher | Sí, registro de auditoría de Pro | La fecha y hora de cada visualización («visto por el destinatario el 9 de junio, 15:07» en su ejemplo) | Quien lo envía, en los planes Pro |
| Bitwarden Send | Solo el número de accesos | Un recuento de accesos frente al límite que fijas | Quien lo envía |
| Yopass | Licencia business: confirmaciones de lectura | Un aviso por correo o webhook cuando se abre el secreto | Quien lo envía |
| password.link | Sí, notificaciones | Eventos de creación, visualización o expiración del enlace, enviados por correo, Slack o webhook | Quien lo envía |
| SnapPwd | Correo opcional | Un aviso cuando se accede al secreto, si diste una dirección | Quien lo envía |
| OneTimeSecret | Estado del secreto | Si el secreto se ha recibido o destruido; la documentación no menciona datos de quien lo ve | Quien lo envía |
| PrivateBin, 1time.io, OncePad | No | Nada sobre quien lo lee, por diseño; PrivateBin advierte de que las autoridades podrían exigir los registros de acceso del administrador del servidor | Nadie |
Los datos proceden de la web de cada proveedor en la fecha indicada y cambian con el tiempo; consulta el proyecto antes de fiarte de una columna.
Por qué LinkPilot guarda un historial y por qué aplica un hash a la dirección
LinkPilot está pensado para quien comparte credenciales en nombre de una empresa, donde «¿lo ha abierto?» es tanto una cuestión de cumplimiento normativo como de curiosidad. Cada secreto tiene un historial de eventos: creado, visto, intento fallido de frase de contraseña, destruido, expirado y revocado. Cada evento lleva la fecha y hora, el país y la ciudad que indica la red perimetral, la cadena User-Agent del navegador y un hash de la dirección de red en lugar de la dirección. El hash usa SHA-256 con una sal que cambia cada día y se trunca a 32 caracteres. Así, dos aperturas del mismo día desde la misma dirección coinciden entre sí, pero nadie puede convertir el registro de nuevo en una IP, y los registros de mañana no se pueden cruzar con los de hoy.
Es un equilibrio buscado. El propietario de un espacio de trabajo puede ver que un secreto se abrió dos veces, desde dos países, con diez minutos de diferencia, que es la señal de «cambia la credencial ya». No obtiene un registro de vigilancia de los destinatarios. Los intentos fallidos de frase de contraseña se registran igual, así que un intento de fuerza bruta también aparece en el historial. La página de arquitectura de seguridad detalla exactamente qué se guarda y qué no.
El historial es una función de Pro. En el plan Free y en la herramienta anónima de destrucción tras la lectura, el secreto se destruye igualmente en la primera visualización y un segundo visitante ve «ya visto y destruido», lo que responde por sí solo a la pregunta más habitual: si ves ese mensaje, el enlace se abrió.
¿Para qué sirve el registro?
Para confirmar la entrega, detectar una apertura prematura, descubrir un reenvío y documentar un incidente.
- Confirmar la entrega antes de cambiar la credencial. Enviaste una contraseña de base de datos el viernes; el lunes el historial muestra que se abrió el viernes desde la ciudad del destinatario. Puedes cambiarla según lo previsto en lugar de adivinar.
- Detectar una apertura prematura. El secreto se creó a las 09:00 y se abrió a las 09:00:04 desde una dirección de un centro de datos con una cadena de navegador propia de un bot, antes de que el destinatario pudiera haber hecho clic. Eso es una vista previa del enlace o un escáner, y por eso LinkPilot responde a las vistas previas solo con metadatos y nunca las cuenta como visualización. Consulta los escáneres de enlaces y los secretos de un solo uso.
- Descubrir un reenvío. En un enlace de un solo uso no puede haber dos aperturas, pero un secreto que expiró sin abrirse mientras el destinatario jura que hizo clic indica que el enlace pasó antes por otro sitio.
- Informes de incidentes. Un auditor que pregunta «¿quién tuvo acceso a esta credencial y cuándo?» recibe un registro con fechas en lugar de una búsqueda en Slack.
Para qué no sirve
- Identificar a una persona. Ya se ha explicado arriba. Una dirección con hash y una cadena de navegador no son una identidad, y el hash de LinkPilot está diseñado para que no puedan llegar a serlo.
- Demostrar que el destinatario lo leyó. Abrir no es leer. El navegador descargó el secreto y lo descifró; lo que pasó después queda fuera de la vista de cualquier herramienta.
- Sustituir el cambio de credencial. Si quien abrió el secreto no era la persona correcta, la única respuesta segura es cambiar la credencial. El historial te dice que lo hagas; no puede deshacer la visualización.
Cómo elegir según esta pregunta
- Necesitas un registro que puedas enseñar a un auditor: LinkPilot Pro (historial con dirección con hash y ubicación) o Password Pusher Pro (fechas y horas).
- Quieres que te avisen en el momento en que se abre: password.link, SnapPwd o Yopass con la licencia business.
- Solo necesitas un recuento: Bitwarden Send.
- No quieres que se registre nada sobre quien lo lee, por principio: PrivateBin, 1time.io u OncePad, sabiendo que la pregunta «¿le ha llegado?» tendrás que hacerla en persona.
La comparativa completa, con modelos de cifrado, archivos y autoalojamiento, está en 10 alternativas a OneTimeSecret comparadas. Para ver paso a paso lo que ocurre entre la creación y la destrucción, lee cómo funcionan los enlaces secretos de un solo uso.
Referencias
- Página del producto Password Pusher (ejemplo de registro de auditoría, precios de Pro). https://eu.pwpush.com/
- Bitwarden Send, duración (número de accesos). https://bitwarden.com/help/send-lifespan/
- Yopass (confirmaciones de lectura con la licencia business). https://yopass.se/
- password.link (notificaciones). https://password.link/
- SnapPwd (correo de aviso). https://snappwd.io/
- Documentación de OneTimeSecret. https://docs.onetimesecret.com/
- PrivateBin (nota sobre los registros de acceso). https://privatebin.info/
- 1time.io. https://1time.io/
- OncePad. https://oncepad.com/
- Arquitectura de seguridad de LinkPilot (qué se registra en cada visualización). https://uselinkpilot.com/security-architecture