Il n’existe pas de meilleure alternative unique à OneTimeSecret : tout dépend de votre contrainte. Pour un outil hébergé qui enregistre le moment où un secret a été ouvert et permet de retirer un lien, LinkPilot. Pour l’auto-hébergement, Password Pusher, PrivateBin ou Yopass. Pour un chiffrement dans le navigateur sans aucun compte, 1time.io, SnapPwd ou l’instance hébergée de Yopass. Dix outils sont comparés ci-dessous.
La différence vérifiable, au 14 octobre 2026 : la documentation de
OneTimeSecret indique « Vos secrets sont chiffrés de manière sécurisée
sur nos serveurs ». La plupart des outils ci-dessous, LinkPilot compris,
chiffrent le secret dans votre navigateur avant tout envoi et gardent la
clé dans la partie du lien située après le #, que les navigateurs ne
transmettent jamais. Vous pouvez le tester sans compte avec le
générateur gratuit de liens
secrets.
Depuis plus de dix ans, OneTimeSecret est la réponse par défaut à la question « comment envoyer ce mot de passe ? » : on colle un secret, on obtient un lien, et le lien ne fonctionne qu’une fois. L’outil est open source, simple et digne de confiance. Il est aussi volontairement minimaliste, et si vous lisez cette page, vous avez sans doute buté sur l’une de ses limites : aucune trace de qui a ouvert quoi, pas de pièces jointes sur l’offre hébergée, pas d’espace de travail d’équipe, et aucun moyen de retirer un lien depuis un tableau de bord.
Comparatif rapide des outils de secrets à usage unique (vérifié le 14 octobre 2026)
| Outil | Où a lieu le chiffrement | Expiration | Sait quand il a été ouvert ? | Fichiers | Auto-hébergement | Offre gratuite |
|---|---|---|---|---|---|---|
| LinkPilot | Navigateur (AES-GCM-256, clé dans la partie du lien après le #) | 1 heure, 24 heures ou 7 jours ; date personnalisée avec Pro | Oui : historique d’audit avec heure, IP hachée, localisation approximative, navigateur (Pro) | Oui | Non | 5 liens secrets ; l’outil anonyme ne demande aucun compte |
| Password Pusher | Navigateur (selon son site) | En jours et en nombre d’ouvertures | Oui : journal d’audit horodaté (Pro) | Oui | Oui (open source) | Oui ; Pro à partir de 19 $/mois |
| PrivateBin | Navigateur (AES-GCM, clé après le #) | Plusieurs durées, y compris jamais | Non | Oui | Oui (open source) | Gratuit, instances publiques |
| Yopass | Navigateur | 1 heure, 1 jour, 1 semaine | Licence business : accusés de lecture par e-mail ou webhook | Oui | Oui (open source) | Gratuit ; licence business à 149 € par an |
| Bitwarden Send | Navigateur (clé après le #) | Jusqu’à 31 jours ; limite d’ouvertures | Nombre d’ouvertures seulement | Premium | Oui (serveur Bitwarden) | Sends texte gratuits |
| Vanishing Vault | Navigateur (AES-256-GCM, clé après le #) | Jusqu’à 7 jours ; détruit dès la première ouverture | Non précisé | Non précisé | Code publié | Oui |
| password.link | Navigateur (AES-256-GCM) | Limites de durée et d’ouvertures | Notifications d’ouverture par e-mail, Slack ou webhook | Avec un compte | Non | Oui, limitée |
| SnapPwd | Navigateur (AES-GCM, clé après le #) | De 1 heure à 2 semaines, ou sur mesure | E-mail de notification en option | Oui, 1 Mo | Oui (code public) | Gratuit |
| 1time.io | Navigateur (AES-256-GCM, clé après le #) | De 1 heure à 30 jours ; de 1 à 10 ouvertures | Non précisé | Oui, 250 Mo | Oui (open source) | Gratuit, sans inscription |
| OncePad | Navigateur ; clé dérivée d’une phrase de passe de sept mots | Première ouverture, ou 24 heures | Non | Oui, 25 Mo | Non précisé | Gratuit |
| OneTimeSecret | Serveur (« chiffrés sur nos serveurs ») | De quelques minutes à plusieurs jours | État du secret seulement | Pas sur l’offre hébergée gratuite | Oui (open source) | Oui |
Les informations viennent du site ou de la documentation de chaque projet à la date indiquée. Les fonctionnalités évoluent : vérifiez auprès du projet avant de vous engager.
Quelle est la meilleure alternative à OneTimeSecret ?
Il n’y a pas de gagnant unique : tout dépend de votre contrainte. Une équipe qui doit savoir quand un secret a été ouvert, retirer un lien et joindre des fichiers, dans un produit hébergé, a intérêt à regarder LinkPilot. Si l’auto-hébergement est obligatoire, Password Pusher, PrivateBin et Yopass sont en tête des projets open source. Si vous voulez un chiffrement dans le navigateur, sans compte et sans relation avec un fournisseur, 1time.io, SnapPwd et l’instance hébergée de Yopass font exactement cela.
OneTimeSecret est-il sûr ?
Pour la plupart des usages personnels, oui. OneTimeSecret est open source, fonctionne depuis des années et détruit un secret après la première ouverture. Sa documentation indique que les secrets sont « chiffrés de manière sécurisée sur nos serveurs » : c’est donc l’opérateur qui détient la clé. Le forfait gratuit ne propose ni révocation depuis un tableau de bord ni piste d’audit. L’analyse complète se trouve dans OneTimeSecret est-il sûr ?. Si vous voulez le même principe d’ouverture unique avec un secret chiffré dans votre navigateur, le générateur gratuit de liens secrets à usage unique ne demande aucun compte.
Notre méthode d’évaluation
Nous avons passé chaque outil au crible de sept questions, classées par ordre d’importance pour quelqu’un qui quitte OneTimeSecret :
- Où a lieu le chiffrement, et l’opérateur peut-il lire le secret ?
- Quelles sont les options d’expiration, et le lien cesse-t-il de fonctionner dès la première ouverture ?
- L’expéditeur peut-il savoir que le secret a été ouvert, et qu’est-ce qui est enregistré ?
- Les pièces jointes sont-elles prises en charge, et jusqu’à quelle taille ?
- Peut-on l’héberger soi-même, et le code est-il public ?
- Combien coûte-t-il dès qu’il faut plus que quelques secrets ?
- Existe-t-il un modèle d’équipe ou d’espace de travail, avec révocation depuis un tableau de bord ?
Chaque réponse provient du site ou de la documentation du fournisseur au 14 octobre 2026, avec un lien dans les références. Quand un site ne précise pas un point, le tableau indique « non précisé » au lieu de deviner.
Les modèles de sécurité comparés
La question pratique est de savoir si l’opérateur du service pourrait lire votre secret. Trois schémas se retrouvent parmi les dix outils.
Chiffré dans le navigateur, clé dans la partie du lien située après
le #. PrivateBin, Bitwarden Send, Vanishing Vault, SnapPwd, 1time.io
et LinkPilot génèrent tous la clé dans votre navigateur et la placent
après le # du lien de partage. Les navigateurs n’envoient jamais cette
partie à un serveur : l’opérateur détient le texte chiffré, sans la clé.
La conséquence est la même pour tous : un lien perdu, c’est un secret
perdu, et un lien transféré, c’est un secret transféré. Les deux
exceptions déclarées par LinkPilot : les secrets créés avant le
29 septembre 2026 étaient stockés en texte en clair jusqu’à leur
expiration, et le nom, la taille et le type d’un fichier restent
visibles sous forme de métadonnées.
Chiffré dans le navigateur, clé dérivée d’une phrase de passe. OncePad dérive la clé d’une phrase de passe de sept mots envoyée à part, si bien que le lien seul ne sert à rien. Yopass et password.link chiffrent aussi dans le navigateur ; password.link scinde la clé pour qu’une partie reste après le #. Password Pusher présente son chiffrement comme côté client et vérifiable sur GitHub.
Chiffré sur le serveur. La documentation de OneTimeSecret indique que les secrets sont chiffrés sur ses serveurs. C’est une conception raisonnable avec un opérateur de confiance, et le code est ouvert, mais le modèle de confiance diffère des deux premiers groupes : l’opérateur peut, en principe, lire ce qu’il stocke.
Une phrase de passe n’est pas la même chose que le chiffrement. Sur Bitwarden Send, le mot de passe sert uniquement à contrôler l’accès et n’intervient pas dans le chiffrement ; sur LinkPilot, la phrase de passe est étirée avec PBKDF2 et intégrée à la clé de déchiffrement, de sorte que ni le lien seul ni la phrase de passe seule n’ouvrent le secret. Lisez attentivement la formulation du fournisseur quand une page annonce « protégé par mot de passe ».
Les tarifs comparés
- LinkPilot : forfait Free avec 5 liens secrets et une expiration au bout de 1 heure, 24 heures ou 7 jours ; le générateur de liens secrets anonyme ne demande aucun compte. Le forfait Pro, à 29 $ par mois, ajoute les phrases de passe, l’expiration personnalisée et l’historique d’audit. Tableau complet sur la page Tarifs.
- Password Pusher : gratuit sans compte ; Pro à partir de 19 $ par mois pour un particulier et de 29 $ par mois pour une équipe ; licences auto-hébergées à partir de 59 $ par mois, facturées à l’année.
- Yopass : gratuit et open source ; la licence business à 149 € par an ajoute les accusés de lecture et le support.
- Bitwarden Send : Sends texte sur le forfait gratuit ; les Sends de fichiers exigent Premium.
- PrivateBin, SnapPwd, 1time.io, OncePad, Vanishing Vault : utilisation hébergée gratuite ; PrivateBin et SnapPwd peuvent aussi être auto-hébergés.
- password.link : offre gratuite avec un nombre limité de secrets ; les pièces jointes, les notifications, l’API et la personnalisation à votre marque exigent un compte.
- OneTimeSecret : offre hébergée gratuite ; les forfaits payants ajoutent les domaines personnalisés et de la capacité. Consultez sa page de tarifs.
1. LinkPilot : pour toute personne qui partage au nom d’une entreprise
LinkPilot reprend le même mécanisme de destruction après lecture et y ajoute ce que OneTimeSecret ne tente pas : un historique par secret (créé, ouvert, phrase de passe erronée, détruit, expiré, révoqué) avec, pour chaque événement, une IP hachée, une localisation approximative et la chaîne du navigateur (user agent) ; la révocation depuis un tableau de bord ; des espaces de travail d’équipe avec cinq rôles ; des pièces jointes soumises aux mêmes réglages de phrase de passe et d’expiration ; et, ce qui est rare, des liens courts sur votre propre domaine avec des statistiques respectueuses de la vie privée dans le même espace de travail. L’ouverture et la destruction se font en une seule opération indivisible : deux personnes qui ouvrent le lien au même instant ne peuvent pas le lire toutes les deux, et l’aperçu d’un lien dans Slack ou dans un e-mail ne peut pas détruire un secret, car les aperçus ne récupèrent que des métadonnées.
Depuis le 29 septembre 2026, le secret est chiffré dans votre navigateur avec AES-GCM-256 et la clé reste dans la partie du lien située après le #. Le code de chiffrement est publié, avec des vecteurs de test, dans le dépôt de la CLI sous licence MIT : on peut le lire au lieu de le croire sur parole. Le revers, sans détour : LinkPilot ne peut pas être auto-hébergé, et le service lui-même n’est pas open source. Comment fonctionnent les liens secrets à usage unique détaille le mécanisme ; la page architecture de sécurité liste ce qui est journalisé et où se situent les limites. Comparatif complet : LinkPilot ou OneTimeSecret.
2. Password Pusher : le choix des services informatiques
Password Pusher (pwpush) est un classique des équipes informatiques depuis quinze ans : expiration en jours et en nombre d’ouvertures, liens supprimables, phrases de passe, envoi de fichiers, une API, et une version auto-hébergée bien maintenue avec une édition communautaire gratuite. Ses forfaits Pro ajoutent un journal d’audit qui indique le moment de chaque ouverture, la fonctionnalité qui manque le plus aux équipes sur OneTimeSecret. Il lui manque en revanche un modèle d’espace de travail avec des rôles. Comparatif : LinkPilot ou Password Pusher.
3. PrivateBin : le modèle de chiffrement le plus vérifiable
PrivateBin chiffre dans le navigateur avec AES-GCM, garde la clé dans la partie de l’URL située après le # et est open source, si bien que toute la chaîne peut être auditée. Il propose la destruction après lecture, plusieurs durées d’expiration (y compris jamais), la protection par mot de passe et l’envoi de fichiers. Il n’y a ni tableau de bord, ni trace des lectures, ni modèle d’équipe, et le projet lui-même précise qu’un administrateur de serveur peut être contraint de remettre les journaux d’accès. Comparatif : LinkPilot ou PrivateBin.
4. Yopass : le chiffrement dans le navigateur sans lourde infrastructure
Yopass chiffre dans le navigateur, propose des liens à usage unique qui expirent au bout de 1 heure, 1 jour ou 1 semaine, prend en charge les fichiers et une CLI, et peut être auto-hébergé gratuitement. Sa licence business à 149 € par an ajoute des accusés de lecture par e-mail ou webhook : vous savez ainsi quand un secret a été ouvert. Un bon compromis si PrivateBin vous semble lourd.
5. Bitwarden Send : le choix courant si vous utilisez déjà Bitwarden
Send chiffre côté client avec la clé dans la partie du lien située après le #, permet de fixer une date de suppression jusqu’à 31 jours, une expiration et un nombre maximal d’ouvertures, et affiche à l’expéditeur un compteur d’ouvertures. Le mot de passe d’un Send sert à contrôler l’accès et ne fait pas partie du chiffrement. Les Sends texte sont gratuits ; les Sends de fichiers exigent Premium. Si votre équipe utilise déjà Bitwarden, c’est l’option qui demande le moins d’efforts.
6. Vanishing Vault : zero-knowledge selon sa propre description
Vanishing Vault chiffre dans le navigateur avec AES-256-GCM, garde la clé après le #, se détruit dès la première ouverture et limite l’expiration à sept jours. Il se présente comme zero-knowledge et publie son code pour qu’on puisse l’auditer. Son site ne dit rien de la protection par mot de passe, de la prise en charge des fichiers ni des notifications de lecture.
7. password.link : notifications et équipes dans un produit hébergé
password.link chiffre dans le navigateur, gère des limites de durée et d’ouvertures, peut exiger un mot de passe et un CAPTCHA pour chaque lien, et envoie des notifications par e-mail, Slack ou webhook quand un lien est créé, ouvert ou expiré. Les équipes, le SSO et les domaines personnalisés sont disponibles avec un compte. C’est le concurrent hébergé le plus proche de LinkPilot sur la question « l’a-t-il ouvert ? », sans la partie gestion de liens.
8. SnapPwd : sans compte, code ouvert
SnapPwd chiffre dans le navigateur avec la clé après le #, supprime le secret après le premier affichage ou à l’expiration (de 1 heure à 2 semaines, ou sur mesure), accepte les fichiers jusqu’à 1 Mo, ne demande aucun compte et publie le client comme le serveur, ce qui permet de l’héberger soi-même. Un e-mail de notification en option vous prévient quand le secret a été consulté.
9. 1time.io : des limites généreuses, sans inscription
1time.io chiffre dans le navigateur avec la clé après le #, propose une expiration de 1 heure à 30 jours et une limite de 1 à 10 ouvertures, accepte les fichiers jusqu’à 250 Mo, ajoute une phrase de passe en option, et est open source, avec une extension de navigateur et une CLI. Il ne précise pas si l’expéditeur peut voir qu’un secret a été ouvert.
10. OncePad : deux canaux par conception
OncePad chiffre dans le navigateur avec une clé dérivée d’une phrase de passe de sept mots : le lien ne contient donc aucune clé, et la phrase de passe passe par un second canal. Les secrets restent uniquement en mémoire, se détruisent à la première ouverture et expirent au bout de 24 heures. Fichiers jusqu’à 25 Mo. Aucun suivi des ouvertures, et c’est voulu.
Un mot sur Privnote
Privnote est l’option anonyme la plus rapide et convient pour des notes sans importance, mais son code est fermé, il vit de la publicité, et de nombreux clones d’hameçonnage (phishing) qui l’imitent ont été signalés. Nous en avons fait une évaluation plus complète dans Privnote est-il sûr ? et un comparatif des alternatives dédié.
Les risques des liens à usage unique, quel que soit l’outil
- Un lien transféré, c’est un secret transféré. Aucun outil ne peut empêcher le destinataire de faire suivre le lien avant de l’ouvrir. Une expiration courte et une phrase de passe transmise à part limitent ce risque.
- Les aperçus peuvent consommer un lien. Certaines messageries et certains services d’e-mail récupèrent les liens dès qu’ils sont collés. Les outils qui ne renvoient que des métadonnées à cette requête (LinkPilot, PrivateBin, la plupart des conceptions avec la clé après le #) ne sont pas concernés ; vérifiez avant de confier des identifiants à un outil. Plus de détails dans les scanners de liens et les secrets à usage unique.
- « Chiffré » a plusieurs sens. Le chiffrement côté serveur protège contre le vol d’un disque, pas contre l’opérateur. Le chiffrement dans le navigateur avec la clé après le # protège aussi contre l’opérateur. Décidez de ce dont vous avez besoin.
- La trace prouve une ouverture, pas une personne. Même le meilleur journal d’audit montre une heure, une adresse hachée et la chaîne du navigateur. Si la mauvaise personne a ouvert le lien, renouvelez les identifiants ; inutile de chercher à savoir qui c’était.
- Les sites clones. Tapez le domaine vous-même ou utilisez un favori. C’est le principal problème de Privnote, et il concerne tout outil gratuit populaire.
Lequel choisir ?
- Une entreprise ou un infogérant (MSP) qui transmet des identifiants à ses clients : LinkPilot. L’historique, la révocation et les fichiers sont le cœur du besoin, et le secret est chiffré dans votre navigateur plutôt que sur le serveur.
- L’auto-hébergement est non négociable : Password Pusher pour les fonctions de workflow, PrivateBin ou Yopass pour le chiffrement vérifiable le plus simple.
- Sans compte, sans fournisseur, chiffrement dans le navigateur : 1time.io ou SnapPwd.
- Vous utilisez déjà Bitwarden : Send.
- Vous voulez savoir quand le lien a été ouvert, mais pas par qui : password.link, la licence business de Yopass, Password Pusher Pro ou LinkPilot Pro.
- Usage personnel occasionnel : l’offre hébergée de OneTimeSecret reste tout à fait valable. C’est une réponse honnête, venant d’un concurrent.
Quel que soit votre choix, adoptez les mêmes habitudes : une expiration courte, une phrase de passe transmise par un autre canal, et le renouvellement de tout identifiant dont le lien a été ouvert par la mauvaise personne. Plus de détails dans partager un mot de passe en toute sécurité : 5 méthodes comparées.
Ce qui a changé dans cette mise à jour
14 octobre 2026 : passage de six à dix outils (ajout de Bitwarden Send, Vanishing Vault, password.link, SnapPwd, 1time.io et OncePad), ajout de la colonne « sait quand il a été ouvert », des sections sur les modèles de sécurité et les tarifs, et de la section sur les risques. Chaque ligne a été revérifiée sur le site du fournisseur à cette date.
Références
- Documentation de OneTimeSecret, Introduction : « Your secrets are securely encrypted on our servers. » https://docs.onetimesecret.com/en/introduction/
- Password Pusher, page produit et tarifs. https://eu.pwpush.com/
- Page du projet PrivateBin. https://privatebin.info/
- Yopass. https://yopass.se/
- Bitwarden Send, durée de vie et chiffrement. https://bitwarden.com/help/send-lifespan/ et https://bitwarden.com/help/send-encryption/
- Vanishing Vault. https://vanishingvault.com/
- password.link. https://password.link/
- SnapPwd. https://snappwd.io/
- 1time.io. https://1time.io/
- OncePad. https://oncepad.com/
- Architecture de sécurité de LinkPilot. https://uselinkpilot.com/security-architecture
Les phrases de passe, l’expiration personnalisée et l’historique d’audit sont inclus dans le forfait Pro, à 29 $ par mois. Essayez le mécanisme avant d’aller plus loin dans la comparaison : le générateur gratuit de liens secrets ne demande aucun compte.