OneTimeSecret es seguro para un secreto personal que no te importaría que leyera una persona equivocada. Para una credencial de empresa le faltan tres cosas que un equipo de TI acaba necesitando: un cifrado que ocurra antes de que el texto salga de tu dispositivo, una forma de retirar un enlace y un registro de quién abrió qué. El mecanismo de una sola visualización es sólido y el proyecto es de código abierto. Este análisis explica qué protege ese modelo, qué no protege y cuándo conviene usar otra herramienta.
Todo lo que se dice aquí sobre OneTimeSecret procede de sus propias páginas, su documentación y sus precios a 19 de octubre de 2026. Las funciones cambian; compruébalas antes de confiar en ellas. Nosotros hacemos LinkPilot, que compite con OneTimeSecret, así que lee las comparaciones teniéndolo en cuenta.
Qué es OneTimeSecret
OneTimeSecret es un servicio web, y un proyecto de código abierto, para compartir un texto mediante un enlace que solo se puede abrir una vez. La instancia alojada es onetimesecret.com; el código está en GitHub, en github.com/onetimesecret/onetimesecret, y su documentación incluye instrucciones de autoalojamiento.[1][2] Pegas el texto, si quieres fijas una expiración y una frase de contraseña, y envías el enlace. La página de inicio resume la promesa en una línea: «Cuando el destinatario abre el enlace, los datos se destruyen de forma permanente».[1]
El plan gratuito alojado («Basic») permite un dominio personalizado, una API REST y plazos de expiración «de hasta 14 días». Identity Plus (35 EUR al mes) amplía la expiración a 30 días y añade dominios ilimitados; Team Plus (125 EUR al mes) añade inicio de sesión único, acceso basado en roles y un historial de auditoría marcado como beta.[3]
¿Qué protege el modelo de una sola visualización?
Impide que un secreto siga existiendo en los sitios donde de otro modo se quedaría, y eso es lo que el diseño hace bien. Una contraseña pegada en un correo o en Slack se queda en dos bandejas de entrada, dos índices de búsqueda y todas las copias de seguridad de ambos. Una contraseña detrás de un enlace de un solo uso existe en el servicio hasta que alguien lo abre por primera vez; después desaparece, y el enlace que queda en el historial del chat no lleva a ninguna parte. Esa protección es real, y es el motivo por el que los enlaces de un solo uso son la opción por defecto correcta para una credencial que tiene que viajar.
OneTimeSecret añade dos controles. Una expiración, para que un enlace que nadie abre no se quede ahí indefinidamente, y una frase de contraseña opcional, para que un enlace reenviado a la persona equivocada no se abra por sí solo.[1] Merece la pena usar las dos siempre.
Hay dos puntos más a su favor. El código es público y el proyecto lo describe como auditado por la comunidad, algo que no ofrece la mayoría de la competencia alojada.[2] Y la página de inicio dice que cada secreto se almacena y se procesa en la región que elijas, lo que importa a los equipos con una norma de residencia de datos.[1]
¿Qué no protege OneTimeSecret?
Tres cosas: el operador tiene la clave, un enlace enviado no se puede retirar y nada registra quién lo abrió.
El operador tiene la clave
La documentación de OneTimeSecret dice: «Tus secretos se cifran de forma segura en nuestros servidores, lo que garantiza la protección de los datos».[2] Leído al pie de la letra, significa que el servicio recibe el texto sin cifrar y lo cifra después. El operador, o cualquiera con suficiente acceso a sus sistemas, podría en principio leer un secreto mientras está almacenado. Para un proyecto de código abierto que lleva años funcionando a la vista de todos, es una decisión de confianza razonable, y la mayoría de la gente la toma sin pensarlo. Aun así, es una decisión. Una herramienta que cifra en el navegador y guarda la clave en la parte del enlace que los navegadores nunca envían a un servidor saca al operador de la lista de quienes podrían leer el secreto.
Una frase de contraseña reduce la exposición, pero la documentación pública no dice cómo se almacena ni si interviene en la clave de cifrado, así que no podemos decir en qué medida. Úsala de todos modos y envíala por un canal distinto al del enlace.
No hay forma de retirar un enlace
Una vez enviado un enlace de OneTimeSecret, la vista del remitente muestra si el secreto se ha recibido o se ha destruido.[1] La documentación pública no describe cómo retirar desde un panel un enlace que aún no se ha leído. Si enviaste una credencial a la persona equivocada, o el destinatario se marcha antes de abrirla, las opciones son cambiar la credencial o esperar a que expire. Para una nota personal no pasa nada. Para la contraseña de administrador de un cliente, es la carencia que más importa.
No hay registro de quién lo abrió
El plan gratuito alojado te dice que un secreto se abrió. No guarda un historial de cuándo, desde dónde ni de si alguien probó antes una frase de contraseña incorrecta; el historial de auditoría es una función de Team Plus y aparece como beta en la página de precios.[3] Ninguna herramienta de enlaces de un solo uso puede decirte quién abrió un enlace, porque un enlace no lleva identidad, pero una marca de tiempo y una ubicación aproximada bastan para decidir si cambiar la credencial. ¿Se puede ver quién abrió un enlace de un solo uso? compara lo que registran siete herramientas.
Lo que ningún enlace de un solo uso puede hacer, en ninguna herramienta
No son problemas de OneTimeSecret; son problemas de los enlaces de un solo uso, y afectan a LinkPilot tanto como a cualquier otra.
- Un enlace reenviado antes de abrirse es una credencial en las manos equivocadas. Una expiración corta y una frase de contraseña enviada por otro canal son las únicas defensas.
- La vista previa de un enlace puede consumir un enlace de un solo uso si el servicio muestra el secreto con una simple petición. OneTimeSecret muestra una página de confirmación antes de mostrar el contenido, y LinkPilot también; comprueba cómo se comporta cualquier otra herramienta antes de pegar un enlace en Slack. Los escáneres de enlaces y los secretos de un solo uso explica el mecanismo.
- Dominios que imitan al original. La categoría ha atraído clones de phishing (los casos documentados afectan a Privnote, no a OneTimeSecret); escribe tú el dominio y nunca llegues a una herramienta de secretos a través de un anuncio.
Cuándo OneTimeSecret es la opción correcta
- Quieres una herramienta de un solo propósito cuyo código puedas leer y ejecutar en tu propio servidor. LinkPilot no se puede autoalojar, así que aquí no hay discusión.
- Envías de vez en cuando un secreto personal y no necesitas un registro ni una forma de retirarlo.
- La residencia de datos es un requisito obligatorio y las regiones que ofrece OneTimeSecret coinciden con las tuyas.
Cuándo usar otra herramienta
- Necesitas revocar un enlace después de enviarlo.
- Necesitas un registro de cada apertura para una auditoría, el cuestionario de seguridad de un cliente o tu propia respuesta a incidentes.
- Quieres que el secreto se cifre antes de salir de tu navegador, para que ningún operador tenga la clave.
- Compartes secretos en equipo y quieres roles, un espacio de trabajo y una app de Slack en lugar de una cuenta personal.
Para esa lista, el generador gratuito de enlaces secretos de un solo uso de LinkPilot cifra en el navegador sin cuenta; la revocación, el historial de cada secreto y las frases de contraseña están en el plan Pro, y la comparación directa está en LinkPilot frente a OneTimeSecret. El panorama completo, con Password Pusher, PrivateBin y Yopass para quien prefiere el autoalojamiento, está en las mejores alternativas a OneTimeSecret, y el método para compartir contraseñas se explica en compartir contraseñas de forma segura en equipo.
Cómo usar OneTimeSecret de forma segura
- Escribe tú onetimesecret.com; no sigas un anuncio de búsqueda.
- Fija la expiración más corta que el destinatario pueda cumplir.
- Añade una frase de contraseña y envíala por un canal distinto al del enlace (el enlace por correo, la frase de contraseña por chat o por teléfono).
- Revisa la vista del remitente al cabo de un día. Si el secreto no se ha recibido, cambia la credencial en lugar de reenviar el enlace.
- No pongas nunca el secreto y su contexto (qué sistema, qué cuenta) en el mismo mensaje.
Referencias
[1] Onetime Secret. Homepage. https://onetimesecret.com/. Consultado el 19 de octubre de 2026.
[2] Onetime Secret. Documentation. https://docs.onetimesecret.com/. Consultado el 19 de octubre de 2026.
[3] Onetime Secret. Pricing. https://onetimesecret.com/en/pricing. Consultado el 19 de octubre de 2026.
[4] Repositorio del código fuente de OneTimeSecret. https://github.com/onetimesecret/onetimesecret.