La meilleure alternative à Privnote dépend de votre besoin : LinkPilot pour un historique d’audit et la révocation dans un outil hébergé, Bitwarden Send si vous utilisez déjà Bitwarden, OneTimeSecret ou Password Pusher pour l’auto-hébergement avec une API, et PrivateBin ou Yopass pour un chiffrement dont vous pouvez lire le code source. Les sept outils sont comparés ci-dessous, et chaque prix a été vérifié le 4 octobre 2026.
Tous envoient un lien qui disparaît une fois ouvert : collez le secret, envoyez le lien, et la première ouverture par le destinataire le détruit. Vous pouvez en créer un sans compte avec le générateur gratuit de liens secrets. Pour une équipe, le guide du partage sécurisé de mots de passe explique quand un lien à usage unique est le bon outil, et la page Tarifs de LinkPilot détaille ce que comprennent les forfaits Free et Pro.
Comparatif rapide des outils de secrets à usage unique (vérifié le 4 octobre 2026)
| Outil | Détruit après ouverture | Expiration | Compte requis pour créer | Où a lieu le chiffrement | Prix |
|---|---|---|---|---|---|
| LinkPilot | Oui. L’ouverture par le destinataire détruit le contenu ; un aperçu de lien ou une simple requête GET ne le détruit pas. | Oui. L’outil sans compte fait expirer un secret au bout de 7 jours par défaut. Avec un compte, tous les forfaits proposent 1 heure, 24 heures ou 7 jours ; une date d’expiration personnalisée est une fonction du forfait Pro. | Non pour le générateur gratuit de liens secrets. Le forfait Free limite les liens secrets actifs à 5. | Dans votre navigateur : AES-GCM côté client, avec la clé dans la partie du lien située après le #. | Free, 0 $, avec la limite de 5 liens secrets. Pro 29 $/mois. |
| OneTimeSecret | Oui : « Une fois que le destinataire ouvre le lien, les données sont définitivement détruites » (onetimesecret.com, vérifié le 4 octobre 2026). | Forfait Basic « jusqu’à 14 jours » ; Identity Plus et Team Plus « jusqu’à 30 jours » (onetimesecret.com/en/pricing, vérifié le 4 octobre 2026). | Non vérifié. La page d’accueil affiche un formulaire de création sans dire si un compte est nécessaire (vérifié le 4 octobre 2026). | Déclaration de l’éditeur : « Vos secrets sont chiffrés de manière sécurisée sur nos serveurs » (docs.onetimesecret.com, vérifié le 4 octobre 2026). Le chiffrement dans le navigateur n’est pas mentionné. | Basic 0 €/mois ; Identity Plus 35 €/mois ; Team Plus 125 €/mois, tarifs UE tels qu’affichés (onetimesecret.com/en/pricing, vérifié le 4 octobre 2026). |
| password.link | Oui : les liens « s’autodétruisent après une seule ouverture » (password.link, vérifié le 4 octobre 2026). | Réglable pour chaque lien (« expiration time ») ; limites précises non vérifiées (password.link, vérifié le 4 octobre 2026). | Non : la page d’accueil propose « Create a one-time link » sans connexion ; un compte donne accès aux pièces jointes, à la personnalisation de marque et aux notifications (password.link, vérifié le 4 octobre 2026). | Déclaration de l’éditeur : « Votre secret est chiffré dans ce navigateur avant de le quitter », en AES-256-GCM, avec « le secret chiffré et la partie privée envoyés à notre backend » (password.link, vérifié le 4 octobre 2026). | Compte gratuit proposé, « aucune carte bancaire requise » ; prix des forfaits payants non vérifiés (la page des tarifs renvoyait une erreur 404 le 4 octobre 2026). |
| 1time.io | Oui : « Les liens sont détruits après lecture par défaut » (1time.io, vérifié le 4 octobre 2026). | 1 heure, 1 jour, 3 jours, 7 jours ou 30 jours (1time.io, vérifié le 4 octobre 2026). | Non : « Aucune inscription requise » (1time.io, vérifié le 4 octobre 2026). | Déclaration de l’éditeur : « Le chiffrement AES a lieu dans votre navigateur. Le serveur ne stocke que le texte chiffré », avec la clé dans la partie du lien située après le # (1time.io, vérifié le 4 octobre 2026). | « Gratuit et open source » selon l’éditeur (1time.io, vérifié le 4 octobre 2026). |
Les cellules des autres éditeurs citent leur propre page publique à la date indiquée ; nous n’avons pas testé leur code. La ligne LinkPilot provient de notre propre configuration tarifaire et de notre code côté client.
Privnote a popularisé les notes à lecture unique : on colle, on partage, et la note disparaît. Pour une note anonyme et rapide, l’outil fait toujours l’affaire. Mais son code est fermé, il ne propose rien pour les équipes, et sa popularité en a fait une cible : Krebs on Security a documenté des sites clones qui imitent son nom, lisent les notes et remplacent les adresses de cryptomonnaie qu’elles contiennent, en 2020 puis de nouveau en 2024.[1][2] C’est un vrai problème pour un outil dont la seule fonction est de recevoir des secrets. Le verdict complet sur sa sécurité se trouve dans Privnote est-il sûr ? ; cet article dresse la liste des alternatives.
Mis à jour le 2 octobre 2026 : ajout de Bitwarden Send et de scrt.link (sept alternatives au lieu de cinq), d’un tableau de sécurité et d’un tableau des prix citant la page tarifaire de chaque éditeur, d’une section expliquant pourquoi le chiffrement de Privnote est invérifiable d’après le code source de sa page en ligne, et de références externes tout au long de l’article. Chaque prix et chaque limite ci-dessous ont été vérifiés le 2 octobre 2026 ; les éditeurs les modifient, vérifiez donc de nouveau avant d’acheter.
Quelle est la meilleure alternative à Privnote ?
LinkPilot envoie un lien secret qui disparaît une fois ouvert.
Pour un usage professionnel, LinkPilot est l’alternative à Privnote la plus complète : il ajoute au même principe de destruction après lecture la révocation, un historique d’audit pour chaque secret, les phrases de passe, les pièces jointes et les espaces de travail d’équipe, et il chiffre dans votre navigateur avec la clé dans la partie du lien située après le #. Si votre équipe utilise déjà Bitwarden, Bitwarden Send est le remplacement le plus simple. Pour des notes anonymes, OneTimeSecret est le choix open source par défaut, digne de confiance, et PrivateBin ou Yopass offrent, si vous les hébergez vous-même, un chiffrement dont vous pouvez lire le code source.
Sites comme Privnote : les sept en une ligne chacun
Si vous cherchiez des sites comme Privnote, voici la version courte ; chaque outil a sa propre section plus bas.
- LinkPilot : hébergé, chiffré dans le navigateur, avec un historique d’audit et la révocation ; l’outil gratuit de note qui s’autodétruit ne demande aucun compte.
- Bitwarden Send : des Sends texte gratuits dans un gestionnaire de mots de passe que vous utilisez peut-être déjà.
- OneTimeSecret : open source, anonyme, chiffré sur ses serveurs.
- Password Pusher : limites d’ouvertures, liens qui expirent, une API et l’auto-hébergement.
- PrivateBin : chiffrement côté navigateur dont vous pouvez lire le code source.
- Yopass : chiffrement côté navigateur, avec peu de chose à faire tourner.
- scrt.link : hébergé, avec de gros fichiers sur les offres payantes.
Notre méthode d’évaluation
Six critères, appliqués à chaque outil le 2 octobre 2026 à partir de son site public, de sa page de tarifs et de son dépôt de code quand il en existe un : le code est-il open source et auto-hébergeable ; la promesse de chiffrement peut-elle être vérifiée dans le code publié ; l’expéditeur peut-il révoquer une note non lue ; existe-t-il un journal d’audit ; que limite réellement l’offre gratuite ; combien coûtent les offres payantes. Nous n’avons pas fait tourner chaque outil dans un débogueur. Quand un éditeur ne publie pas une information, le tableau indique « Non publié » au lieu de deviner. LinkPilot est notre propre produit : sa ligne est donc une affirmation de l’éditeur, et c’est sur la page architecture de sécurité qu’il faut nous juger.
Sécurité et vérification comparées
| Outil | Open source | Auto-hébergement | Chiffrement vérifiable ? | Révocation avant ouverture | Journal d’audit | Prix |
|---|---|---|---|---|---|---|
| LinkPilot | Non (hébergé) | Non | En partie : modèle documenté (AES-GCM-256 dans le navigateur, clé dans la partie du lien après le #), code source non public | Oui (avec un compte) | Oui, pour chaque secret (Pro) | Free ; Pro 29 $/mois |
| Bitwarden Send | Oui (serveur sous AGPL-3.0)[3] | Oui[4] | Oui : chiffré dès la création, code source publié | Oui (désactiver ou supprimer)[5] | Journaux d’événements sur les forfaits entreprise | Texte gratuit ; fichiers avec Premium à 19,80 $/an |
| OneTimeSecret | Oui (MIT)[6] | Oui (Docker) | Code source public ; sa documentation ne décrit pas de chiffrement dans le navigateur | Oui (destruction via l’API v2)[7] | Minimal | Gratuit ; Identity Plus 35 €/mois |
| Password Pusher | Oui (Apache-2.0)[8] | Oui (Docker) | Code source public ; chiffré au repos sur le serveur (AES-256-GCM)[9] | Oui (expiration par nombre d’ouvertures ou par durée, suppression possible) | Oui (journaux d’audit sur l’offre Free) | Gratuit ; Solo 19 $/mois |
| PrivateBin | Oui (zlib/libpng)[10] | Oui (auto-hébergement uniquement, ou une instance publique) | Oui : AES-256-GCM dans le navigateur, clé dans la partie du lien après le #, code source public[10] | Lien de suppression uniquement | Non | Gratuit |
| Yopass | Oui (Apache-2.0)[11] | Oui (Docker, Kubernetes) | Oui : OpenPGP dans le navigateur, code source public[11] | Non publié | Non | Gratuit ; les fichiers de plus de 1 Mo exigent une licence entreprise |
| scrt.link | Revendiqué ; dépôt introuvable le 2 oct. 2026[12] | Offre hébergée en marque blanche | Revendiqué : clé dans le lien, jamais envoyée au serveur ; non vérifié par nous | Non publié | Accusés de lecture sur les offres payantes | Gratuit ; Secret 1 $/mois facturé à l’année |
| Privnote (référence) | Non | Non | Non : code fermé ; la page charge une bibliothèque AES-CBC archivée en 2018[13][14] | Non | Non (seulement un e-mail de destruction) | Gratuit |
Vérifié le 2 octobre 2026 sur le site et le dépôt de chaque projet. « Chiffrement vérifiable » signifie qu’un tiers peut lire le code exécuté dans le navigateur, pas que nous l’avons audité.
Prix comparés
| Outil | Offre gratuite et ses limites | Payant à partir de | Ce qu’apporte l’offre payante | Source |
|---|---|---|---|---|
| LinkPilot | 5 liens secrets actifs, destruction après lecture, expiration par défaut ; sans inscription pour l’outil gratuit | 29 $/mois (Pro) | 50 liens secrets, protection par phrase de passe, expiration personnalisée et historique d’audit, 5 domaines personnalisés ; Agency 299 $/mois | uselinkpilot.com/pricing |
| Bitwarden Send | Sends texte jusqu’à 1 000 caractères, durée de vie maximale de 31 jours, mot de passe et nombre d’accès en option | 19,80 $/an (Premium, 1,65 $/mois facturé à l’année) | Sends de fichiers (500 Mo sur ordinateur, 100 Mo sur mobile) ; Families 47,88 $/an ; Teams 4 $ et Enterprise 6 $ par utilisateur et par mois | bitwarden.com/pricing, About Send |
| OneTimeSecret | Basic 0 € : un domaine personnalisé, expiration jusqu’à 14 jours, envoi par e-mail, API REST | 35 €/mois (Identity Plus) | Domaines illimités, personnalisation de marque, expiration jusqu’à 30 jours, membres illimités ; Team Plus à 125 €/mois ajoute le RBAC et le SSO | onetimesecret.com/pricing |
| Password Pusher | 0 $ : liens qui expirent selon le nombre d’ouvertures ou la durée, phrase de passe, journaux d’audit, API JSON et CLI, sans compte | 19 $/mois (Solo) | Import de fichiers, personnalisation de marque, domaine personnalisé ; Team 29 $/mois (3 utilisateurs, RBAC, webhooks) ; Organization 49 $/mois (5 utilisateurs, SSO) ; forfaits auto-hébergés facturés à part | pwpush.com/pricing |
| PrivateBin | Logiciel libre ; c’est vous qui faites tourner l’instance (import de fichiers désactivé par défaut, taille maximale réglable) | s.o. | s.o. | github.com/PrivateBin/PrivateBin |
| Yopass | Logiciel libre ; expiration de 1 heure, 1 jour ou 1 semaine ; démo hébergée sur share.yopass.se | Licence entreprise (prix non publié) | Import de fichiers de plus de 1 Mo | yopass.se, github.com/jhaals/yopass |
| scrt.link | Confidential 0 $ : texte, fichiers jusqu’à 10 Mo, conservation de 24 heures | 1 $/mois facturé à l’année (1,50 $ au mois) | Secret : fichiers de 1 Go, conservation de 7 jours, mot de passe, accusés de lecture ; Top Secret 5 $/mois à l’année (7,50 $ au mois) : fichiers de 100 Go, 30 jours, API | scrt.link/pricing |
| Privnote | Gratuit : notes texte, mot de passe en option, expiration de 1 heure à 30 jours, e-mail de destruction | s.o. | s.o. | privnote.com |
Tous les prix ont été vérifiés le 2 octobre 2026 sur les pages indiquées dans la colonne Source. Les prix annuels sont présentés tels que l’éditeur les indique.
Pourquoi le chiffrement de Privnote est invérifiable
La page de Privnote indique qu’une note est « chiffrée dans votre navigateur puis stockée dans Privnote », et en 2020 l’entreprise a déclaré à Krebs on Security qu’elle chiffre les notes « de sorte que même Privnote ne peut pas en lire le contenu ».[1][13] C’est peut-être vrai. Le problème est que personne en dehors de l’entreprise ne peut le vérifier, et ce qui est visible de l’extérieur n’aide pas.
Ce que nous avons vérifié le 2 octobre 2026 : la page en ligne de
privnote.com charge un script nommé gibberish-aes.js depuis ses
ressources statiques.[13] Le projet d’origine Gibberish-AES
sur GitHub a été archivé, en lecture seule, le 16 octobre 2018. Son
README indique qu’il « ne prend en charge que le mode de chiffrement AES
CBC » et qu’il est conçu pour être compatible avec OpenSSL (l’exemple
du README lui-même dérive la clé avec -md md5). Il porte aussi un
avis d’obsolescence qui recommande libsodium ou la Stanford JavaScript
Crypto Library, car la bibliothèque « utilise un mode de chiffrement
ancien et non authentifié, CBC ».[14]
Ce que nous n’avons pas vérifié : si cette bibliothèque est le code qui chiffre aujourd’hui une nouvelle note, ou un code ancien conservé pour les vieilles notes. Nous n’avons pas fait la rétro-ingénierie du code minifié de l’application. L’affirmation honnête est donc la suivante : la seule bibliothèque de cryptographie que charge la page de Privnote est une bibliothèque que son propre auteur a déclarée obsolète en 2018 parce qu’elle utilise un mode non authentifié, et Privnote ne publie rien qui permette de confirmer ce qu’il en fait réellement.
À comparer avec PrivateBin, qui documente un « AES 256 bits en mode Galois Counter », chiffré et déchiffré dans le navigateur avec la clé dans la partie du lien située après le #, dans un dépôt public,[10] ou avec Yopass, qui chiffre dans le navigateur avec OpenPGP sous licence Apache-2.0.[11] Vous pouvez contester leurs choix ; vous pouvez au moins les lire.
1. LinkPilot : pour qui partage au nom d’une entreprise
Les lacunes de Privnote correspondent exactement aux besoins des
entreprises : la preuve qu’un identifiant a été ouvert (ou non), la
possibilité de supprimer une note non lue, et une trace de qui a
partagé quoi. Les liens secrets de LinkPilot se détruisent à la
première ouverture, en une seule opération indivisible, consignent chaque événement de leur
cycle de vie (création, ouverture, phrase de passe erronée,
destruction, expiration, révocation) dans un historique propre à chaque
secret, peuvent être révoqués depuis le tableau de bord, et acceptent
des pièces jointes protégées par les mêmes réglages de phrase de passe
et d’expiration. Les aperçus de lien de Slack et des e-mails ne peuvent
pas déclencher la destruction : une requête GET ne renvoie que des
métadonnées, et l’ouverture n’est enregistrée que lorsque le
destinataire clique explicitement sur Afficher.
Depuis le 29 septembre 2026, le contenu est chiffré dans le navigateur en AES-GCM-256 et la clé voyage dans la partie du lien située après le #, que les navigateurs n’envoient jamais à un serveur. Deux compromis, dits clairement : LinkPilot est uniquement hébergé et son code est fermé, donc ceux qui veulent héberger eux-mêmes doivent chercher ailleurs, et les secrets créés avant le 29 septembre 2026 étaient stockés en texte en clair jusqu’à leur expiration. Le forfait Free limite les liens secrets actifs à 5 ; les phrases de passe, l’expiration personnalisée et l’historique d’audit font partie du forfait Pro à 29 $/mois. Essayez l’outil de destruction après lecture sans compte, lisez LinkPilot ou Privnote pour la comparaison directe, ou consultez l’architecture de sécurité.
2. Bitwarden Send : le choix courant si vous utilisez déjà Bitwarden
Bitwarden Send « est un outil qui permet de transmettre du texte ou des fichiers sensibles directement à n’importe qui grâce à des liens sécurisés et temporaires ». Les Sends texte sont gratuits (jusqu’à 1 000 caractères) ; les Sends de fichiers exigent Premium, avec une limite de 500 Mo sur ordinateur et de 100 Mo sur mobile. Un Send vit 31 jours au maximum, peut avoir un mot de passe et un nombre maximal d’accès, et peut être désactivé ou supprimé avant son expiration.[5] Le serveur est open source sous AGPL-3.0, avec les licences complémentaires de Bitwarden,[3] et Bitwarden documente l’auto-hébergement sur votre propre serveur Linux.[4] Ce qui lui manque, c’est un journal d’audit par secret pour les particuliers : les journaux d’événements sont réservés aux forfaits entreprise. Si votre organisation utilise déjà Bitwarden, c’est le remplacement de Privnote le plus simple de cette liste.
3. OneTimeSecret : le choix anonyme par défaut, digne de confiance
Open source sous licence MIT, ancien et simple.[6] Si vous
voulez simplement Privnote sans l’inquiétude des sites clones,
OneTimeSecret est l’équivalent le plus direct : un lien à usage unique,
une phrase de passe en option, et l’auto-hébergement avec une seule
commande docker run. Son forfait Basic est gratuit et comprend un
domaine personnalisé, une expiration jusqu’à 14 jours et l’API REST ;
Identity Plus coûte 35 €/mois.[15] L’API v2 a ajouté des
opérations de destruction, qui permettent à l’expéditeur de détruire un
secret non lu.[7] L’outil reste mono-usage, sans équipes ni
véritable journal d’audit, et sa documentation ne décrit pas de
chiffrement dans le navigateur. Consultez les meilleures alternatives
à OneTimeSecret pour les
compromis propres à cet outil.
4. Password Pusher : le choix des services informatiques
Sous licence Apache-2.0, avec un déploiement Docker Compose.[8] Les « pushes » expirent après un nombre d’ouvertures, une durée, ou les deux, et les données sont supprimées une fois expirées ; il existe une API JSON (v2) et une CLI. Le forfait Free du service hébergé comprend la protection par phrase de passe, les journaux d’audit et l’API, sans compte ; Solo, à 19 $/mois, ajoute l’import de fichiers, la personnalisation de marque et un domaine personnalisé ; Team (29 $) et Organization (49 $) ajoutent le RBAC, les webhooks et le SSO ; les forfaits auto-hébergés sont facturés à part.[9] Le chiffrement a lieu côté serveur, au repos (la page de tarifs indique AES-256-GCM plus TLS) : l’opérateur de l’instance fait donc partie du périmètre de confiance, ce qui ne pose pas de problème quand l’opérateur, c’est vous. Comparaison détaillée dans LinkPilot ou Password Pusher.
5. PrivateBin : le modèle de chiffrement vérifiable le plus solide
PrivateBin chiffre et déchiffre dans le navigateur en AES 256 bits en
mode Galois Counter ; la clé fait partie de l’URL, après le #, donc
le serveur ne stocke que du texte chiffré. L’outil propose la
destruction après lecture, un mot de passe en option et l’import de
fichiers (désactivé par défaut, taille maximale réglable), sous licence
zlib/libpng.[10] Si votre modèle de menace inclut
« l’opérateur lit mes notes », PrivateBin y répond d’une façon
qu’aucun outil côté serveur ne peut égaler. Le prix à payer : faire
tourner une instance (ou faire confiance à celle de quelqu’un d’autre)
et se passer des fonctions de flux de travail, c’est-à-dire ni comptes, ni journal
d’audit, et une révocation possible uniquement via le lien de
suppression. Voir LinkPilot ou
PrivateBin.
6. Yopass : le chiffrement dans le navigateur sans grand-chose à faire tourner
Sous licence Apache-2.0, Yopass chiffre dans le navigateur avec OpenPGP et s’héberge facilement avec Docker et un backend Memcached ou Redis ; une démo hébergée tourne sur share.yopass.se. Les durées d’expiration sont de 1 heure, 1 jour ou 1 semaine, et les liens à usage unique sont supprimés après la première récupération. L’import de fichiers est pris en charge, mais les fichiers de plus de 1 Mo sont réservés à la licence entreprise.[11] Un bon choix pour les développeurs qui veulent un chiffrement dans le navigateur avec moins de configuration que PrivateBin. Pas de révocation ni de journal d’audit.
7. scrt.link : hébergé, avec de gros fichiers sur les offres payantes
scrt.link affirme que la clé de chiffrement « n’est jamais stockée ; elle devient une partie du lien lui-même » et n’est jamais transmise au serveur, et que son code est sur GitHub ; nous n’avons pas trouvé le dépôt le 2 octobre 2026, considérez donc ces deux points comme des affirmations de l’éditeur.[12] L’offre gratuite Confidential donne du texte, des fichiers jusqu’à 10 Mo et une conservation de 24 heures, avec des secrets illimités ; Secret coûte 1 $/mois facturé à l’année pour des fichiers de 1 Go, une conservation de 7 jours, un mot de passe en option et des accusés de lecture ; Top Secret coûte 5 $/mois facturé à l’année pour des fichiers de 100 Go, une conservation de 30 jours et un accès à l’API.[16] C’est le bon choix si ce que vous envoyez est volumineux. Pas de journal d’audit par secret au-delà des accusés de lecture, et aucune révocation documentée.
Les options auto-hébergées et open source en un coup d’œil
- OneTimeSecret :
docker run -p 3000:3000 ... onetimesecret/onetimesecretavec une URL Redis.[6] - Password Pusher : Docker Compose avec un
TLS_DOMAINpour un certificat Let's Encrypt automatique.[8] - PrivateBin : une application PHP à déposer chez n’importe quel hébergeur web ; aucune base de données requise par défaut.[10]
- Yopass : Docker Compose ou Kubernetes, Memcached ou Redis.[11]
- Bitwarden : déploiement auto-hébergé complet documenté pour Linux.[4]
LinkPilot, scrt.link et Privnote sont uniquement hébergés.
Comment repérer un site clone de Privnote
D’après les deux enquêtes de Krebs :[1][2]
- Le domaine est presque le bon. privnotes.com (au pluriel), privnote.co, privnode.com, privnate.com, pirvnota.com : chaque clone documenté est une faute de frappe ou un changement d’extension du vrai nom.
- Vous venez d’un résultat de recherche ou d’une publicité. Les opérateurs des clones achètent ce trafic. Tapez le domaine vous-même.
- Une adresse de cryptomonnaie dans votre note a changé. Le clone de 2020 ne remplaçait les adresses que lorsque l’expéditeur et le destinataire utilisaient des adresses IP différentes : vérifier sa propre note ne prouvait donc rien.
- Le site n’est pas celui que votre contact a utilisé la dernière fois. Une vérification de la réputation du lien, comme notre score de confiance des liens gratuit, peut signaler un domaine récent ou suspect avant que vous ne colliez quoi que ce soit.
Lequel choisir ?
- Transmission aux clients, MSP, onboarding : LinkPilot. Le journal d’audit et la révocation sont tout l’intérêt.
- Déjà sur Bitwarden : Bitwarden Send.
- Notes personnelles anonymes : OneTimeSecret.
- Tout auto-héberger : Password Pusher pour le flux de travail, PrivateBin ou Yopass pour un chiffrement dont vous pouvez lire le code.
- Gros fichiers : scrt.link.
Quel que soit votre choix, envoyez la phrase de passe par un autre canal que le lien : c’est l’habitude qui apporte le plus de protection pour le moins d’effort. Notre guide du partage sécurisé de mots de passe détaille cette règle et les quatre autres qui valent la peine d’être adoptées.
Ce qui a changé dans cette mise à jour
- 4 octobre 2026 : introduction réécrite pour présenter d’abord la réponse sur les secrets à usage unique et l’outil sans compte ; ajout d’un tableau comparatif rapide daté (LinkPilot, OneTimeSecret, password.link, 1time.io) et d’un appel à l’action final. Les sections consacrées aux éditeurs n’ont pas changé.
- 2 octobre 2026 : ajout de Bitwarden Send et de scrt.link ; ajout des tableaux de sécurité et de prix avec leurs sources ; ajout de « Pourquoi le chiffrement de Privnote est invérifiable », d’après le code source de la page en ligne et le README de la bibliothèque archivée ; ajout des références ; ajout des sections sur les options auto-hébergées et sur la façon de repérer un clone.
- 29 septembre 2026 : correction de la fiche LinkPilot, qui indiquait que LinkPilot ne prétendait pas chiffrer dans le navigateur. C’est désormais le cas, pour les contenus texte et les pièces jointes, avec la clé dans la partie du lien située après le #.
Références
[1] Krebs, B. (14 juin 2020). Privnotes.com Is Phishing Bitcoin from Users of Private Messaging Service Privnote.com. Krebs on Security. https://krebsonsecurity.com/2020/06/privnotes-com-is-phishing-bitcoin-from-users-of-private-messaging-service-privnote-com/
[2] Krebs, B. (4 avril 2024). Fake Lawsuit Threat Exposes Privnote Phishing Sites. Krebs on Security. https://krebsonsecurity.com/2024/04/fake-lawsuit-threat-exposes-privnote-phishing-sites/
[3] bitwarden/server. The core infrastructure backend (API, database, Docker, etc). GitHub. https://github.com/bitwarden/server
[4] Bitwarden. Linux Standard Deployment (guide d’auto-hébergement). https://bitwarden.com/help/install-on-premise-linux/
[5] Bitwarden. About Send. https://bitwarden.com/help/about-send/
[6] onetimesecret/onetimesecret. Keep sensitive info out of your email and chat logs. GitHub. https://github.com/onetimesecret/onetimesecret
[7] Onetime Secret. REST API documentation (API v2 : opérations de métadonnées et de destruction). https://docs.onetimesecret.com/en/rest-api/
[8] pglombardo/PasswordPusher. Securely share sensitive information with automatic expiration & deletion. GitHub. https://github.com/pglombardo/PasswordPusher
[9] Password Pusher. Pricing. https://eu.pwpush.com/pricing
[10] PrivateBin/PrivateBin. A minimalist, open source online pastebin where the server has zero knowledge of pasted data. GitHub. https://github.com/PrivateBin/PrivateBin
[11] jhaals/yopass. Secure sharing of secrets, passwords and files. GitHub. https://github.com/jhaals/yopass ; Yopass. Home. https://yopass.se/
[12] scrt.link. Home. https://scrt.link/
[13] Privnote. Home page and page source (vérifié le 2 octobre 2026). https://privnote.com/
[14] mdp/gibberish-aes. A fully OpenSSL compliant javascript library for AES encryption (dépôt archivé le 16 octobre 2018). GitHub. https://github.com/mdp/gibberish-aes
[15] Onetime Secret. Pricing. https://onetimesecret.com/en/pricing
[16] scrt.link. Pricing. https://scrt.link/pricing
Créer un secret à usage unique maintenant
LinkPilot envoie un lien secret qui disparaît une fois ouvert. Collez le secret, envoyez le lien, et la première ouverture le détruit.
Créer un lien secret gratuit, sans compte
Besoin de la révocation, de l’historique d’audit ou des espaces de travail d’équipe ? Inscrivez-vous gratuitement.