OneTimeSecret on turvallinen henkilökohtaiselle salaisuudelle, jota ei haittaisi, vaikka yksi väärä ihminen lukisi sen. Yrityksen kirjautumistiedoille siitä puuttuu kolme asiaa, joita IT-tiimi lopulta tarvitsee: salaus, joka tehdään ennen kuin teksti lähtee laitteeltasi, keino vetää linkki takaisin ja tieto siitä, kuka avasi mitäkin. Itse kertakatselun mekanismi on toimiva, ja projekti on avointa lähdekoodia. Tämä arvio käy läpi, mitä malli suojaa, mitä se ei suojaa ja milloin kannattaa käyttää muuta.
Kaikki alla oleva tieto OneTimeSecretistä perustuu sen omiin sivuihin, dokumentaatioon ja hinnastoon 19. lokakuuta 2026. Ominaisuudet muuttuvat, joten tarkista ne ennen kuin luotat niihin. Teemme LinkPilotia, joka kilpailee OneTimeSecretin kanssa, joten lue tämän sivun vertailut se mielessä pitäen.
Mikä OneTimeSecret on
OneTimeSecret on verkkopalvelu ja avoimen lähdekoodin projekti, jolla jaetaan tekstiä linkillä, jonka voi avata vain kerran. Isännöity palvelu on onetimesecret.com. Lähdekoodi on GitHubissa osoitteessa github.com/onetimesecret/onetimesecret, ja dokumentaatiossa on ohjeet palvelun ylläpitoon omalla palvelimella.[1][2] Liität tekstin, asetat halutessasi voimassaoloajan ja salalauseen ja lähetät linkin. Etusivu tiivistää lupauksen yhteen lauseeseen: ”Kun vastaanottaja avaa linkin, tiedot tuhotaan pysyvästi.”[1]
Isännöity ilmainen paketti (”Basic”) sallii yhden oman verkkotunnuksen, REST API:n ja voimassaoloajan ”enintään 14 päivää”. Identity Plus (35 euroa kuukaudessa) nostaa voimassaoloajan 30 päivään ja tuo rajattomasti verkkotunnuksia. Team Plus (125 euroa kuukaudessa) lisää kertakirjautumisen, roolipohjaiset käyttöoikeudet ja tarkastuslokin, joka on merkitty beetaversioksi.[3]
Mitä kertakatselun malli suojaa?
Malli estää salaisuutta jäämästä talteen paikkoihin, joihin se muuten jäisi, ja sen yhden asian rakenne tekee hyvin. Sähköpostiin tai Slackiin liitetty salasana on kahdessa postilaatikossa, kahdessa hakuindeksissä ja kummankin jokaisessa varmuuskopiossa. Kertakäyttölinkin takana oleva salasana on palvelussa vain ensimmäiseen avaukseen asti. Sen jälkeen se on poissa, ja keskusteluhistoriaan jäänyt linkki ei johda mihinkään. Suoja on todellinen, ja siksi kertakäyttölinkit ovat oikea oletus kirjautumistiedoille, joiden on kuljettava paikasta toiseen.
OneTimeSecret lisää päälle kaksi asetusta: voimassaoloajan, jotta linkki, jota kukaan ei avaa, ei jää odottamaan loputtomiin, ja valinnaisen salalauseen, jotta väärälle ihmiselle välitetty linkki ei aukea itsestään.[1] Molempia kannattaa käyttää joka kerta.
Palvelun eduksi on sanottava kaksi muuta asiaa. Lähdekoodi on julkinen, ja projekti kertoo yhteisön auditoineen sen, mikä on enemmän kuin useimmat isännöidyt kilpailijat tarjoavat.[2] Etusivun mukaan jokainen salaisuus tallennetaan ja käsitellään valitsemallasi alueella, millä on merkitystä tiimeille, joilla on tietojen sijaintia koskeva sääntö.[1]
Mitä OneTimeSecret ei suojaa?
Kolmea asiaa: avain on palvelun ylläpitäjällä, lähetettyä linkkiä ei saa takaisin, eikä mikään kirjaa, kuka sen avasi.
Avain on ylläpitäjällä
OneTimeSecretin dokumentaatiossa sanotaan: ”Salaisuutesi salataan turvallisesti palvelimillamme, mikä varmistaa tietojen suojan.”[2] Kirjaimellisesti luettuna palvelu siis vastaanottaa selväkielisen tekstin ja salaa sen jälkikäteen. Ylläpitäjä, tai kuka tahansa, jolla on riittävä pääsy ylläpitäjän järjestelmiin, voisi periaatteessa lukea salaisuuden sen ollessa tallennettuna. Avoimen lähdekoodin projektille, jota on ylläpidetty avoimesti vuosia, tämä on kohtuullinen luottamuspäätös, ja useimmat tekevät sen ajattelematta. Päätös se silti on. Selaimessa salaava työkalu, joka pitää avaimen linkin siinä osassa, jota selaimet eivät koskaan lähetä palvelimelle, poistaa ylläpitäjän niiden joukosta, jotka voisivat lukea salaisuuden.
Salalause kaventaa altistusta, mutta julkinen dokumentaatio ei kerro, miten salalause tallennetaan tai käytetäänkö sitä salausavaimen muodostamiseen, joten emme voi sanoa, kuinka paljon. Käytä sitä silti, ja lähetä se eri kanavaa pitkin kuin linkki.
Linkkiä ei voi vetää takaisin
Kun olet lähettänyt OneTimeSecret-linkin, lähettäjän näkymä kertoo, onko salaisuus vastaanotettu vai tuhottu.[1] Julkinen dokumentaatio ei kuvaa avaamattoman linkin perumista hallintapaneelista. Jos lähetit kirjautumistiedot väärälle ihmiselle tai vastaanottaja lähtee talosta ennen avaamista, voit joko vaihtaa tunnukset tai odottaa, että linkki vanhenee. Henkilökohtaiselle muistiinpanolle se riittää. Asiakkaan ylläpitäjän salasanalle tämä on merkittävin puute.
Avaajasta ei jää tietoa
Ilmainen isännöity paketti kertoo, että salaisuus avattiin. Se ei pidä lokia siitä, milloin ja mistä se avattiin tai yrittikö joku ensin väärää salalausetta. Tarkastusloki kuuluu Team Plus -pakettiin, ja hinnastossa se on merkitty beetaversioksi.[3] Mikään kertakäyttölinkkityökalu ei pysty kertomaan, kuka linkin avasi, koska linkki ei sisällä henkilöllisyyttä. Aikaleima ja karkea sijainti riittävät kuitenkin päättämään, pitääkö tunnukset vaihtaa. Näkeekö, kuka avasi kertakäyttölinkin? vertailee, mitä seitsemän työkalua tallentaa.
Mitä kertakäyttölinkki ei tee missään työkalussa
Nämä eivät ole OneTimeSecretin ongelmia vaan kertakäyttölinkkien ongelmia, ja ne koskevat LinkPilotia siinä missä muitakin.
- Jos linkki välitetään eteenpäin ennen avaamista, kirjautumistiedot ovat väärissä käsissä. Lyhyt voimassaoloaika ja toista kanavaa pitkin lähetetty salalause ovat ainoat suojakeinot.
- Linkkien esikatselutoiminto voi käyttää kertakäyttölinkin loppuun, jos palvelu näyttää salaisuuden pelkällä sivunhaulla. OneTimeSecret näyttää vahvistussivun ennen kuin salaisuus näytetään, ja niin tekee myös LinkPilot. Tarkista minkä tahansa muun työkalun toiminta ennen kuin liität linkin Slackiin. Linkkiskannerit ja kertakäyttöiset salaisuudet selittää mekanismin.
- Samannäköiset verkkotunnukset. Ala on houkutellut tietojenkalastelukopioita (dokumentoidut tapaukset koskevat Privnotea, eivät OneTimeSecretiä). Kirjoita verkkotunnus itse, äläkä koskaan mene salaisuustyökaluun mainoksen kautta.
Milloin OneTimeSecret on oikea valinta
- Haluat yhteen tarkoitukseen tehdyn työkalun, jonka lähdekoodin voit lukea ja jota voit ajaa omalla palvelimellasi. LinkPilotia ei voi ylläpitää omalla palvelimella, joten valinta on selvä.
- Lähetät satunnaisesti henkilökohtaisen salaisuuden etkä tarvitse lokia tai keinoa perua linkkiä.
- Tietojen sijainti on ehdoton vaatimus, ja OneTimeSecretin tarjoamat alueet vastaavat omaasi.
Milloin kannattaa käyttää muuta
- Sinun pitää voida mitätöidä linkki lähettämisen jälkeen.
- Tarvitset tiedon jokaisesta avauksesta auditointia, asiakkaan tietoturvakyselyä tai omaa poikkeamien käsittelyäsi varten.
- Haluat, että salaisuus salataan ennen kuin se lähtee selaimestasi, jotta avain ei ole yhdelläkään ylläpitäjällä.
- Tiimisi jakaa salaisuuksia, ja haluat henkilökohtaisen tilin sijaan roolit, työtilan ja Slack-sovelluksen.
Näihin tarpeisiin LinkPilotin ilmainen salaisten linkkien luontityökalu salaa selaimessa ilman tiliä. Mitätöinti, salaisuuskohtainen loki ja salalauseet kuuluvat Pro-pakettiin, ja suora vertailu on sivulla LinkPilot vs OneTimeSecret. Muut vaihtoehdot, myös omalle palvelimelle sopivat Password Pusher, PrivateBin ja Yopass, löytyvät OneTimeSecret-vaihtoehtojen vertailusta, ja itse salasanojen jakotapa on kuvattu oppaassa turvallinen salasanojen jakaminen tiimeille.
Näin käytät OneTimeSecretiä turvallisesti
- Kirjoita onetimesecret.com itse, älä seuraa hakumainosta.
- Aseta lyhin voimassaoloaika, jonka vastaanottaja ehtii.
- Lisää salalause ja lähetä se eri kanavaa pitkin kuin linkki (linkki sähköpostilla, salalause chatissa tai puhelimessa).
- Tarkista lähettäjän näkymä vuorokauden kuluttua. Jos salaisuutta ei ole vastaanotettu, vaihda tunnukset äläkä lähetä linkkiä uudelleen.
- Älä koskaan laita salaisuutta ja sen asiayhteyttä (mikä järjestelmä, mikä tili) samaan viestiin.
Lähteet
[1] Onetime Secret. Homepage. https://onetimesecret.com/. Tarkistettu 19. lokakuuta 2026.
[2] Onetime Secret. Documentation. https://docs.onetimesecret.com/. Tarkistettu 19. lokakuuta 2026.
[3] Onetime Secret. Pricing. https://onetimesecret.com/en/pricing. Tarkistettu 19. lokakuuta 2026.
[4] OneTimeSecret-palvelun lähdekoodirepositorio. https://github.com/onetimesecret/onetimesecret.