Cómo dice OneTimeSecret que protege un secreto
El resumen de seguridad de Onetime Secret describe su modelo de forma breve: un secreto está pensado para verse una vez y destruirse después de forma permanente, un secreto que no se ha visto se puede destruir, los secretos se cifran en tránsito y en reposo en todos los planes, cada secreto tiene una expiración y una frase de contraseña opcional añade una capa que el enlace por sí solo no puede abrir. Su página de protección de datos añade que el transporte se protege con TLS, que procura conservar solo los metadatos necesarios para operar el servicio y que puedes elegir la región donde se procesan y almacenan los datos. La página de inicio afirma que, una vez que el destinatario abre el enlace, los datos se destruyen de forma permanente y nadie, ni siquiera Onetime Secret, puede recuperarlos.
Son las propiedades adecuadas para una herramienta de secretos de un solo uso, y están expuestas con claridad.
Lo único que la documentación no dice
Ni el resumen de seguridad ni la página de protección de datos dicen dónde se hace el cifrado: en tu navegador antes de enviar el secreto, o en los servidores de Onetime Secret después de recibirlo. De esa diferencia depende si el operador podría leer un secreto mientras está almacenado. El cifrado en reposo protege la base de datos frente a quien robe el disco; por sí solo no impide que el servicio que tiene la clave descifre el registro. Las páginas tampoco describen cómo se procesa o se almacena una frase de contraseña, y el máximo de expiración solo se indica como un límite del plan.
Esto no es una acusación. Onetime Secret es de código abierto y se puede autoalojar, así que quien necesite saberlo puede leer el código o montar su propia instancia, lo cual es una garantía más sólida que cualquier página de marketing. Es solo una pregunta que la documentación del servicio alojado deja abierta y, si tu modelo de amenazas incluye al operador, es la pregunta que hay que hacer.
Análisis de One Time Secret: qué hace bien
Es sencillo, gratis para particulares y equipos, de código abierto y autoalojable, con un repositorio de GitHub enlazado. La opción de destruir un secreto antes de que se lea, las frases de contraseña y la expiración cubren los controles que necesita la mayoría. Además permite elegir la región de los datos, algo que pocos competidores ofrecen y que LinkPilot no ofrece. Para un secreto personal de vez en cuando, o para un equipo que quiera gestionar el servicio por su cuenta, sigue siendo una buena elección.
En qué se diferencia LinkPilot
LinkPilot responde a la pregunta abierta de forma explícita: el secreto se cifra en tu navegador con AES-GCM-256, la clave se coloca en el enlace después del #, donde los navegadores nunca la envían, y nuestros servidores, la base de datos y los servidores perimetrales guardan texto cifrado y ninguna clave. El código que lo hace se publica en el repositorio de la CLI, con licencia MIT, junto con vectores de prueba. La página de arquitectura de seguridad expone el modelo y sus límites, entre ellos que los secretos creados antes del 29 de septiembre de 2026 se almacenaron como texto sin cifrar hasta que expiraron y que el nombre, el tamaño y el tipo de un archivo adjunto son visibles para nosotros.
Alrededor del secreto, LinkPilot añade la revocación desde un panel, archivos adjuntos, roles de equipo y, en el plan Pro, una frase de contraseña que se mezcla con la clave de descifrado y un historial de auditoría. Lo que no ofrece es autoalojamiento ni elección de la región de los datos; la página de alternativa a OneTimeSecret y la comparativa completa sopesan esas ventajas e inconvenientes.