¿Es seguro Privnote? Para una nota que no te importaría que leyera una vez la persona equivocada, sí. Para una contraseña, una clave de API o cualquier cosa que le importe a una empresa, no. ¿Es legítimo privnote.com? Sí: es el servicio auténtico y lleva años funcionando. El peligro está en los sitios que lo imitan.
El mecanismo de una sola lectura funciona. Los tres riesgos que vienen a continuación están en todo lo que lo rodea, y el primero ya le ha costado dinero de verdad a gente real.
Actualizado el 2 de octubre de 2026: hemos añadido lo que pudimos comprobar sobre la biblioteca de cifrado de Privnote a partir del código fuente de su página, la red de clones de 2024 documentada por Krebs on Security y la corrección de una afirmación anterior sobre el cifrado de LinkPilot. Donde este artículo dice «lo comprobamos», la fecha de la comprobación es el 2 de octubre de 2026.
Este artículo es el veredicto sobre la seguridad. Si ya sabes que quieres otra cosa, la comparativa de las mejores alternativas a Privnote analiza siete herramientas por cifrado, revocación, registros de auditoría y precio, y LinkPilot frente a Privnote es la comparación directa con nuestro propio producto. Si tienes que enviar una contraseña hoy, la guía para compartir contraseñas de forma segura explica cómo hacerlo, la herramienta gratis de nota que se autodestruye funciona sin cuenta y en los precios de LinkPilot verás qué incluyen Free y Pro.
¿Qué hace bien Privnote?
Hay que reconocerle lo que hace bien. El producto en sí es muy cómodo: sin cuenta, pegas una nota, obtienes un enlace y la nota se destruye tras la lectura. La propia página de Privnote dice que la nota se «cifra en tu navegador y después se almacena en Privnote», ofrece una «contraseña manual» para cifrar la nota, plazos de expiración de 1 hora, 24 horas, 7 días o 30 días, un aviso por correo cuando la nota se destruye y el consejo sensato de enviar la contraseña por «un método distinto» del enlace.[1] Para un «aquí tienes la contraseña del wifi, bórrala después de leerla» entre personas que confían entre sí, sirve.
¿Cuáles son los 3 riesgos?
1. Clones de phishing que leen tu nota
La fama de la marca Privnote ha dado lugar a dominios que la imitan, y los mejor documentados se crearon para robar.
En junio de 2020, Brian Krebs informó de que privnotes.com (en plural) imitaba a Privnote, en realidad no cifraba las notas y ejecutaba un script que detectaba las direcciones de bitcoin de una nota y las sustituía por las de los estafadores. Solo lo hacía cuando el remitente y el destinatario abrían la nota desde direcciones IP distintas, así que quien la enviaba y la revisaba nunca veía el cambio.[2] En abril de 2024 documentó toda una red de clones, entre ellos privnote[.]co, tornote[.]io, privatenote[.]io, pirvnota[.]com, privatemessage[.]net, privnode[.]com y privnate[.]com, que «funcionan más o menos como anuncian, pero además insertan sin avisar sus propias direcciones de pago de criptomonedas cuando se crea una nota que contiene monederos de criptomonedas». Cuatro direcciones vinculadas a uno de esos sitios recibieron casi 18.000 USD en cuatro días, y los operadores cambiaban las direcciones aproximadamente cada cinco días.[3]
El peligro no es el sitio auténtico. Es que un clic en un resultado de búsqueda o en un anuncio te lleve a una copia convincente cuyo único propósito es leer tu secreto. Si usas Privnote, escribe tú mismo el dominio. Una comprobación de la reputación del enlace, como nuestra herramienta gratis de puntuación de confianza del enlace, sirve para revisar una URL sospechosa antes de pegar nada en ella.
2. Un cifrado que no puedes comprobar
Privnote dice que las notas se cifran para que el servidor no pueda leerlas. En 2020 la empresa le dijo a Krebs que el Privnote auténtico usa cifrado «para que ni siquiera Privnote pueda leer el contenido».[2] Puede que sea cierto. Pero el código es cerrado, así que nadie de fuera de la empresa puede confirmarlo, y lo que se ve desde fuera no tranquiliza.
Esto es exactamente lo que pudimos comprobar, y lo que no, el 2 de octubre de 2026:
- Comprobado: la página de privnote.com carga un archivo
JavaScript llamado
gibberish-aes.jsdesde sus recursos estáticos.[1] - Comprobado: el proyecto original Gibberish-AES en GitHub se archivó (pasó a solo lectura) el 16 de octubre de 2018. Su propio README dice que «solo admite el modo de cifrado AES CBC», está hecho para ser compatible con la derivación de claves basada en MD5 de OpenSSL e incluye un aviso de obsolescencia que recomienda usar en su lugar libsodium o la Stanford JavaScript Crypto Library, porque Gibberish-AES «es bastante antiguo y usa un modo de cifrado más antiguo y sin autenticación, CBC».[4]
- No comprobado: no hemos aplicado ingeniería inversa al código minificado de la aplicación de Privnote para confirmar que esta biblioteca es la que cifra hoy una nota nueva, y no una ruta heredada para notas antiguas. Toma el hallazgo como «la única biblioteca criptográfica que incluye la página», no como prueba de lo que se ejecuta.
Compáralo con herramientas cuyo código fuente puedes leer: PrivateBin documenta AES de 256 bits en modo Galois/Counter (un modo autenticado), ejecutado en el navegador con la clave en la parte del enlace que va después del #,[5] y Yopass cifra en el navegador con OpenPGP bajo licencia Apache-2.0.[6] En una herramienta de secretos, «confía en nosotros» es una posición mucho más débil que «compruébalo tú mismo».
3. Ninguna forma de deshacer un error
¿Has enviado la nota a quien no era? No hay ningún panel para revocarla. ¿Necesitas demostrarle a un cliente que una credencial nunca se abrió? No hay historial de auditoría: el correo de destrucción te dice que la nota se leyó, no quién la leyó ni desde dónde. ¿Te preguntas si la leyó el destinatario o una pasarela de seguridad del correo que abrió el enlace? No hay forma de saberlo.
Nada de esto importa en notas personales; todo importa en el trabajo.
¿Qué conviene usar en su lugar?
| Tu situación | Mejor opción | Por qué |
|---|---|---|
| Entregas de trabajo, credenciales de clientes | LinkPilot | Historial de auditoría por secreto, revocación, frases de contraseña, archivos adjuntos, espacios de trabajo de equipo; cifrado en tu navegador con la clave en la parte del enlace que va después del # |
| Opción muy extendida, integrada en un gestor de contraseñas | Bitwarden Send | Sends de texto gratis; Sends de archivos con Premium; se pueden eliminar o desactivar antes de que expiren |
| Notas personales anónimas, código abierto | OneTimeSecret | Licencia MIT, autoalojable, API REST, plan gratuito |
| Autoalojado, bajo control de TI | Password Pusher | Apache-2.0, límite de vistas, enlaces que expiran, registros de auditoría, API |
| Cifrado cuyo código fuente puedes leer | PrivateBin / Yopass | Cifrado en el navegador, clave en el enlace, código auditable |
La comparativa completa de siete herramientas, con una tabla de precios y la página de precios de cada proveedor citada, está en mejores alternativas a Privnote. Para comparar nuestro producto con Privnote función por función, con la salvedad honesta de que LinkPilot solo existe como servicio alojado y es de código cerrado, consulta LinkPilot frente a Privnote. Para probar el mecanismo sin cuenta, usa el generador de enlaces secretos de un solo uso para una contraseña o una clave, y la herramienta de nota que se autodestruye para un mensaje.
Historial de correcciones: la primera versión de este artículo decía que LinkPilot no afirmaba cifrar en el navegador. Desde el 29 de septiembre de 2026 cifra en el navegador el texto y los archivos adjuntos, con la clave en la parte del enlace que va después del #. Los secretos creados antes de esa fecha se guardaron como texto sin cifrar hasta que expiraron. Aquí está exactamente lo que afirma.
¿Cómo se usa de forma segura cualquier herramienta de notas de un solo uso?
- Escribe tú mismo el dominio. No llegues nunca a una herramienta de secretos a través de anuncios o resultados de búsqueda: ahí está, en una línea, el ataque de los clones.
- Añade una frase de contraseña y envíala por un canal distinto del enlace.
- Elige la expiración más corta que te sirva para que las notas que nadie abre desaparezcan solas.
- Cambia el secreto si algo no cuadra. Que la nota figure como destruida antes de la lectura, o que llegue el correo de destrucción antes de que el destinatario la abra, es la primera señal de que la ha abierto otra persona.
- No pongas nunca la contraseña en un correo o un chat, solo el enlace. Nuestra guía para compartir contraseñas de forma segura compara las cinco formas en que los equipos comparten credenciales y explica por qué importa esa regla.
El mecanismo de una sola lectura es una buena idea, y por eso tantas herramientas lo implementan. La cuestión de la seguridad está en todo lo que lo rodea: quién lo gestiona, si puedes comprobarlo y qué puedes hacer cuando algo sale mal. Juzga a Privnote, y a cada alternativa, incluida la nuestra, por esas tres preguntas.
Referencias
[1] Privnote. Home page and page source (comprobado el 2 de octubre de 2026). https://privnote.com/
[2] Krebs, B. (14 de junio de 2020). Privnotes.com Is Phishing Bitcoin from Users of Private Messaging Service Privnote.com. Krebs on Security. https://krebsonsecurity.com/2020/06/privnotes-com-is-phishing-bitcoin-from-users-of-private-messaging-service-privnote-com/
[3] Krebs, B. (4 de abril de 2024). Fake Lawsuit Threat Exposes Privnote Phishing Sites. Krebs on Security. https://krebsonsecurity.com/2024/04/fake-lawsuit-threat-exposes-privnote-phishing-sites/
[4] mdp/gibberish-aes. A fully OpenSSL compliant javascript library for AES encryption (repositorio archivado el 16 de octubre de 2018). GitHub. https://github.com/mdp/gibberish-aes
[5] PrivateBin/PrivateBin. A minimalist, open source online pastebin where the server has zero knowledge of pasted data. GitHub. https://github.com/PrivateBin/PrivateBin
[6] jhaals/yopass. Secure sharing of secrets, passwords and files. GitHub. https://github.com/jhaals/yopass