Choisissez Password Pusher si vous êtes une équipe informatique ou technique qui veut plafonner le nombre d’ouvertures, pouvoir supprimer un lien, disposer d’une API et héberger l’outil elle-même. Choisissez OneTimeSecret pour l’outil open source le plus simple et le plus fiable pour envoyer un texte confidentiel ponctuel. Évitez Privnote pour tout ce qui a de la valeur : son code est fermé et de nombreux cas d’hameçonnage par des sites clones ont été signalés. Les trois répondent à la même question, « comment envoyer une information sensible sous la forme d’un lien qui cesse de fonctionner ? », avec des compromis différents, et parfois aucun n’est la bonne réponse.
Lequel des trois choisir ?
Choisissez Password Pusher si vous êtes une équipe informatique ou technique qui veut plafonner le nombre d’ouvertures, pouvoir supprimer un lien, disposer d’une API et d’une option d’auto-hébergement. Choisissez OneTimeSecret si vous voulez l’outil open source le plus simple et le plus fiable pour un texte confidentiel ponctuel. Évitez Privnote pour tout ce qui a de la valeur : son code est fermé et de nombreux cas d’hameçonnage par des sites clones ont été signalés.
Comparaison fonction par fonction
| Fonction | OneTimeSecret | Privnote | Password Pusher |
|---|---|---|---|
| Open source | Oui | Non | Oui |
| Auto-hébergement | Oui | Non | Oui |
| Utilisation sans inscription | Oui | Oui | Oui |
| Destruction après lecture | Oui (une seule ouverture) | Oui (une seule ouverture) | Oui, N ouvertures au choix |
| Phrase de passe | Oui | Oui (mot de passe) | Oui |
| Durée avant expiration | Jusqu’à 14 jours en version hébergée | Quelques jours | Réglable, longues durées possibles |
| Supprimer ou révoquer un lien | Limité | Non | Oui, liens supprimables |
| Partage de fichiers | Limité / payant | Non | Oui (envoi de fichiers) |
| API | Oui (basique) | Non | Oui, complète |
| Journal d’audit | Minimal | Non | Limité |
| Espaces de travail d’équipe / RBAC | Non | Non | Limité |
Informations publiées en juillet 2026. Les trois projets évoluent : vérifiez les détails actuels auprès de chacun.
Où OneTimeSecret l’emporte-t-il ?
Sur la simplicité et la possibilité de vérifier. Il fait une seule chose, et la fait bien, depuis plus de dix ans ; le code est public et la version hébergée suffit pour un usage occasionnel. Si votre seul besoin est « envoyer un texte confidentiel une fois, avec une phrase de passe facultative », OneTimeSecret est la solution qui compte le moins de rouages. Ses limites apparaissent en équipe : peu de visibilité pour l’audit, une prise en charge limitée des fichiers et aucune notion d’espace de travail. (Pour aller plus loin : les meilleures alternatives à OneTimeSecret ; face à face : LinkPilot ou OneTimeSecret.)
Où Privnote l’emporte-t-il ?
Sur la rapidité pour des notes sans enjeu : pas d’inscription, une interface minimale et c’est fait. Mais c’est le seul des trois outils dont le code est fermé, si bien que personne ne peut vérifier de façon indépendante ce qu’il affirme sur son chiffrement, et sa marque attire des clones d’hameçonnage (phishing) documentés par la presse spécialisée en sécurité. Nous en avons fait une évaluation complète dans Privnote est-il sûr ? et la comparaison directe dans LinkPilot ou Privnote. Pour tout ce qui touche à des identifiants ou à de l’argent, choisissez autre chose ; pour un message sans enjeu, une note qui s’autodétruit, chiffrée dans le navigateur, fait le même travail.
Où Password Pusher l’emporte-t-il ?
Sur les fonctions d’exploitation. Le plafond d’ouvertures (« détruit après 3 ouvertures ») couvre le cas où un scanner risque d’ouvrir le lien, les liens peuvent être supprimés, il existe une vraie API et une CLI, un module d’envoi de fichiers et une méthode d’auto-hébergement sous Docker éprouvée, le tout documenté sur docs.pwpush.com. Pour un service informatique qui veut s’en tenir à un seul outil, pwpush est en général la bonne réponse open source. Il lui manque un modèle multi-organisation : pas de RBAC par espace de travail ni de rapports d’audit consolidés. (Face à face : LinkPilot ou Password Pusher.)
Quand aucun des trois n’est-il la bonne réponse ?
Quand la question n’est plus « puis-je envoyer ceci une fois ? » mais « puis-je prouver ce qui s’est passé, et revenir en arrière ? », deux questions que se posent les entreprises après leurs premiers identifiants envoyés par erreur. Aucun des trois ne réunit au même endroit un historique d’audit par secret, la révocation depuis un tableau de bord pour toute une équipe, l’accès par rôle et les notifications de remise.
C’est la place qu’occupe LinkPilot : la même destruction après lecture, où l’ouverture et la suppression se font en une seule étape indivisible, avec en plus l’historique d’audit, la révocation, les pièces jointes, des phrases de passe hachées côté client, des espaces de travail d’équipe, ainsi que des liens courts personnalisés avec statistiques dans le même produit. LinkPilot n’existe qu’en version hébergée : les adeptes de l’auto-hébergement s’en tiendront à pwpush ou à PrivateBin.
Mise à jour du 29 septembre 2026 : cette phrase indiquait à l’origine que LinkPilot ne revendiquait pas le chiffrement de bout en bout. Le texte est désormais chiffré dans le navigateur et nous ne détenons aucune clé, pièces jointes comprises. Le modèle exact est décrit ici. Vous pouvez l’essayer sans compte avec le générateur de liens secrets à usage unique.
Comment tester l’un des trois avant de lui faire confiance ?
Dix minutes avec un secret sans valeur règlent la plupart des questions auxquelles le tableau comparatif ne répond pas.
- Récupérez d’abord le lien depuis un terminal.
curl -s -o /dev/null -w "%{http_code}" "<url>"fait exactement ce que font l’outil d’aperçu de liens d’une messagerie ou une passerelle de filtrage des e-mails. Ouvrez ensuite le lien dans un navigateur. Si le navigateur indique que le secret a déjà été consulté, l’outil le détruit à la simple récupération et il est dangereux de coller ses liens dans Slack ou dans un e-mail. - Ouvrez-le normalement, puis ouvrez-le une seconde fois. La deuxième visite doit dire en toutes lettres que le secret n’existe plus, sans aucun contenu.
- Définissez une phrase de passe et envoyez le lien sans elle. La page doit refuser d’afficher quoi que ce soit tant que la phrase de passe n’est pas saisie, et ralentir ou bloquer les tentatives erronées répétées.
- Laissez-en un expirer sans l’ouvrir. Regardez ce qu’affiche la page après l’échéance et si la vue de l’expéditeur le signale.
- Vérifiez ce que l’expéditeur peut voir. OneTimeSecret indique « reçu » ou « détruit » ; le forfait Pro de Password Pusher conserve un journal des ouvertures ; Privnote envoie un e-mail de destruction si vous l’avez demandé. Demandez-vous si cela suffit pour la question que vous poserez vraiment plus tard : « le destinataire l’a-t-il reçu ? » ou « qui d’autre l’a vu ? »
Qu’ont-ils en commun ?
Le lien est la clé. Quiconque possède le lien complet peut ouvrir le secret jusqu’à sa destruction ou son expiration : un e-mail transféré ou un historique de navigateur synchronisé constitue donc une fuite avec chacun de ces outils. Une expiration courte et une phrase de passe envoyée par un autre canal sont les seules défenses, et elles ne coûtent rien sur aucun des trois.
Notre verdict
- Usage personnel et occasionnel : OneTimeSecret.
- Équipe informatique ou technique, auto-hébergé : Password Pusher.
- Notes anonymes sans enjeu : Privnote fonctionne, mais saisissez le domaine vous-même et réservez-le à ce qui n’a pas d’importance.
- Équipes qui ont besoin d’audit et de révocation : un produit à espaces de travail comme LinkPilot.
Quel que soit votre choix, associez-le aux bonnes habitudes décrites dans comment envoyer un mot de passe de manière sécurisée : expiration courte, phrase de passe envoyée par un autre canal, renouvellement au moindre doute.
Références
- Onetime Secret, Documentation et dépôt du code source.
- Password Pusher, Documentation et dépôt du code source.