OneTimeSecret est-il sûr ?

OneTimeSecret convient à un secret personnel que vous accepteriez de voir lu par une mauvaise personne. Pour des identifiants professionnels, il lui manque trois choses dont une équipe informatique finit par avoir besoin : un chiffrement effectué avant que le texte ne quitte votre appareil, un moyen de reprendre un lien et une trace de qui a ouvert quoi. Le mécanisme d’ouverture unique est solide en lui-même et le projet est open source. Cet examen décrit ce que ce modèle protège, ce qu’il ne protège pas et quand choisir autre chose.

Tout ce qui suit sur OneTimeSecret provient de ses propres pages, de sa documentation et de ses tarifs au 19 octobre 2026. Les fonctionnalités changent : vérifiez-les avant de vous y fier. Nous éditons LinkPilot, concurrent de OneTimeSecret ; lisez les comparaisons de cette page en gardant cela à l’esprit.

Ce qu’est OneTimeSecret

OneTimeSecret est un service web, et un projet open source, qui sert à partager un texte par un lien ne pouvant être ouvert qu’une fois. L’instance hébergée est onetimesecret.com ; le code se trouve sur GitHub à l’adresse github.com/onetimesecret/onetimesecret, et la documentation explique comment l’héberger soi-même.^[1][2] Vous collez le texte, définissez si vous le souhaitez une expiration et une phrase de passe, puis envoyez le lien. La page d’accueil résume la promesse en une ligne : « Dès que le destinataire ouvre le lien, les données sont définitivement détruites. »^[1]

Le forfait gratuit hébergé (« Basic ») comprend un seul domaine personnalisé, une API REST et des durées d’expiration « jusqu’à 14 jours ». Identity Plus (35 € par mois) porte l’expiration à 30 jours et ajoute des domaines illimités ; Team Plus (125 € par mois) ajoute l’authentification unique (SSO), les accès par rôle et un journal d’audit signalé comme bêta.^[3]

Que protège le modèle à ouverture unique ?

Il empêche un secret de subsister là où il subsisterait autrement, et c’est la seule chose que cette conception fait bien. Un mot de passe collé dans un e-mail ou dans Slack reste dans deux boîtes de réception, deux index de recherche et chaque sauvegarde des deux. Un mot de passe derrière un lien à usage unique n’existe sur le service que jusqu’à la première ouverture, puis il disparaît, et le lien qui reste dans l’historique de la conversation ne mène plus nulle part. Cette protection est réelle, et c’est pour cette raison que les liens à usage unique sont le bon choix par défaut pour des identifiants qui doivent circuler.

OneTimeSecret y ajoute deux réglages. Une expiration, pour qu’un lien que personne n’ouvre ne reste pas disponible indéfiniment ; et une phrase de passe facultative, pour qu’un lien transféré à la mauvaise personne ne s’ouvre pas tout seul.^[1] Utilisez les deux à chaque fois.

Deux autres points jouent en sa faveur. Le code est public et le projet le présente comme audité par la communauté, ce que la plupart des concurrents hébergés ne proposent pas.^[2] Et la page d’accueil indique que chaque secret est stocké et traité dans la région que vous choisissez, ce qui compte pour les équipes soumises à une règle de localisation des données.^[1]

Contre quoi OneTimeSecret ne protège-t-il pas ?

Trois choses : l’opérateur détient la clé, un lien envoyé ne peut pas être repris et rien n’enregistre qui l’a ouvert.

L’opérateur détient la clé

La documentation de OneTimeSecret indique : « Vos secrets sont chiffrés de manière sécurisée sur nos serveurs, ce qui garantit la protection des données. »^[2] Prise à la lettre, cette phrase signifie que le service reçoit votre texte en clair et le chiffre ensuite. L’opérateur, ou toute personne disposant d’un accès suffisant à ses systèmes, pourrait en principe lire un secret pendant qu’il est stocké. Pour un projet open source mené publiquement depuis des années, c’est une décision de confiance raisonnable, et la plupart des gens la prennent sans y penser. Cela reste une décision. Un outil qui chiffre dans le navigateur, avec la clé conservée dans la partie du lien que les navigateurs n’envoient jamais à un serveur, retire l’opérateur de la liste des personnes capables de lire le secret.

Une phrase de passe réduit l’exposition, mais la documentation publique ne dit pas comment elle est stockée ni si elle entre dans la clé de chiffrement : nous ne pouvons donc pas dire dans quelle mesure. Utilisez-en une malgré tout, et envoyez-la par un autre canal que le lien.

Aucun moyen de reprendre un lien

Une fois un lien OneTimeSecret envoyé, la vue de l’expéditeur indique si le secret a été reçu ou détruit.^[1] La documentation publique ne décrit aucun moyen de retirer un lien non lu depuis un tableau de bord. Si vous avez envoyé des identifiants à la mauvaise personne, ou si la personne part avant de l’ouvrir, il ne vous reste qu’à renouveler les identifiants ou à attendre l’expiration. Pour une note personnelle, cela suffit. Pour le mot de passe administrateur d’un client, c’est la lacune qui pèse le plus.

Aucune trace de qui l’a ouvert

Le forfait gratuit hébergé vous dit qu’un secret a été ouvert. Il ne conserve pas d’historique indiquant quand, depuis où, ni si quelqu’un a d’abord essayé une mauvaise phrase de passe ; le journal d’audit est une fonctionnalité de Team Plus, signalée comme bêta sur la page des tarifs.^[3] Aucun outil de lien à usage unique ne peut vous dire qui a ouvert un lien, car un lien ne porte aucune identité, mais un horodatage et une localisation approximative suffisent pour décider s’il faut renouveler. Peut-on savoir qui a ouvert un lien à usage unique ? compare ce qu’enregistrent sept outils.

Ce qu’aucun lien à usage unique ne peut faire, quel que soit l’outil

Ce ne sont pas des problèmes propres à OneTimeSecret, mais des problèmes de liens à usage unique, et ils s’appliquent à LinkPilot comme à tout le monde.

• Un lien transféré avant d’être ouvert, ce sont des identifiants entre de mauvaises mains. Une expiration courte et une phrase de passe envoyée par un second canal sont les seules défenses.
• Un aperçu de lien peut consommer un lien à usage unique si le service affiche le secret dès une simple requête. OneTimeSecret présente une page de confirmation avant d’afficher le secret, LinkPilot aussi ; vérifiez le comportement de tout autre outil avant de coller un lien dans Slack. Les scanners de liens et les secrets à usage unique explique le mécanisme.
• Les faux domaines qui imitent le vrai. Cette catégorie d’outils a attiré des clones d’hameçonnage (phishing) ; les cas documentés concernent Privnote, pas OneTimeSecret. Saisissez le domaine vous-même et n’accédez jamais à un outil de secrets par une publicité.

Quand OneTimeSecret est le bon choix

• Vous voulez un outil à usage unique dont vous pouvez lire le code source et que vous pouvez faire tourner sur votre propre serveur. LinkPilot ne peut pas être auto-hébergé : la question ne se pose même pas.
• Vous envoyez de temps en temps un secret personnel et n’avez besoin ni de trace ni de moyen de le retirer.
• La localisation des données est une exigence stricte et les régions proposées par OneTimeSecret correspondent aux vôtres.

Quand choisir autre chose

• Vous devez pouvoir révoquer un lien après l’avoir envoyé.
• Vous avez besoin d’une trace de chaque ouverture pour un audit, le questionnaire de sécurité d’un client ou votre propre réponse aux incidents.
• Vous voulez que le secret soit chiffré avant de quitter votre navigateur, pour qu’aucun opérateur ne détienne la clé.
• Vous partagez des secrets en équipe et voulez des rôles, un espace de travail et une application Slack plutôt qu’un compte personnel.

Pour ces besoins, le générateur gratuit de liens secrets à usage unique de LinkPilot chiffre dans le navigateur, sans compte ; la révocation, l’historique par secret et les phrases de passe font partie du forfait Pro, et la comparaison directe se trouve dans LinkPilot vs OneTimeSecret. Le panorama plus large, avec Password Pusher, PrivateBin et Yopass pour l’auto-hébergement, est dans les meilleures alternatives à OneTimeSecret, et la méthode de partage des mots de passe elle-même est décrite dans le partage sécurisé de mots de passe en équipe.

Utiliser OneTimeSecret en toute sécurité

1. Saisissez onetimesecret.com vous-même ; ne suivez pas une annonce dans les résultats de recherche.
2. Choisissez l’expiration la plus courte que le destinataire peut respecter.
3. Ajoutez une phrase de passe et envoyez-la par un autre canal que le lien (le lien par e-mail, la phrase de passe par messagerie ou par téléphone).
4. Consultez la vue de l’expéditeur au bout d’un jour. Si le secret n’a pas été reçu, renouvelez les identifiants plutôt que de renvoyer le lien.
5. Ne mettez jamais le secret et son contexte (quel système, quel compte) dans le même message.

Références

[1] Onetime Secret. Homepage. https://onetimesecret.com/. Consulté le 19 octobre 2026.

[2] Onetime Secret. Documentation. https://docs.onetimesecret.com/. Consulté le 19 octobre 2026.

[3] Onetime Secret. Pricing. https://onetimesecret.com/en/pricing. Consulté le 19 octobre 2026.

[4] Dépôt du code source de OneTimeSecret. https://github.com/onetimesecret/onetimesecret.