OneTimeSecret בטוח לסוד אישי שלא אכפת לכם אם מישהו לא נכון יקרא אותו. לפרטי התחברות של עסק חסרים בו שלושה דברים שצוות IT צריך בסופו של דבר: הצפנה שמתבצעת לפני שהטקסט יוצא מהמכשיר שלכם, דרך למשוך קישור בחזרה, ותיעוד של מי פתח מה. מנגנון הצפייה האחת עצמו תקין, והפרויקט הוא קוד פתוח. הסקירה הזו מסבירה ממה המודל הזה מגן, ממה לא, ומתי כדאי להשתמש במשהו אחר.
כל מה שכתוב כאן על OneTimeSecret לקוח מהדפים, מהתיעוד ומדף המחירים שלו, כפי שהיו ב-19 באוקטובר 2026. תכונות משתנות, אז בדקו אותן לפני שאתם מסתמכים עליהן. אנחנו מפתחים את LinkPilot, שמתחרה ב-OneTimeSecret, אז קראו את ההשוואות כאן עם זה בראש.
מה זה OneTimeSecret
OneTimeSecret הוא שירות אינטרנט, וגם פרויקט קוד פתוח, לשיתוף טקסט דרך קישור שאפשר לפתוח פעם אחת. הגרסה המתארחת נמצאת ב-onetimesecret.com, והקוד נמצא ב-GitHub בכתובת github.com/onetimesecret/onetimesecret, עם הוראות לאירוח עצמי בתיעוד.[1][2] מדביקים את הטקסט, אפשר להגדיר תפוגה וביטוי סיסמה, ושולחים את הקישור. דף הבית מנסח את ההבטחה בשורה אחת: "ברגע שהנמען פותח את הקישור, הנתונים מושמדים לצמיתות."[1]
התוכנית החינמית המתארחת ("Basic") כוללת דומיין מותאם אישית אחד, REST API וחלונות תפוגה "של עד 14 ימים". Identity Plus (€35 לחודש) מאריכה את התפוגה ל-30 ימים ומוסיפה דומיינים ללא הגבלה. Team Plus (€125 לחודש) מוסיפה התחברות יחידה (SSO), הרשאות לפי תפקיד ויומן ביקורת שמסומן כגרסת בטא.[3]
ממה מגן מודל הצפייה האחת?
הוא מונע מהסוד להמשיך לחיות במקומות שבהם הוא היה נשאר אחרת, וזה הדבר האחד שהעיצוב הזה עושה טוב. סיסמה שהודבקה באימייל או ב-Slack יושבת בשתי תיבות דואר, בשני אינדקסים של חיפוש ובכל גיבוי של שניהם. סיסמה מאחורי קישור חד-פעמי קיימת בשירות עד הפתיחה הראשונה, ואז היא נעלמת, והקישור שנשאר בהיסטוריית הצ'אט לא מוביל לשום מקום. ההגנה הזו אמיתית, ובגללה קישורים חד-פעמיים הם ברירת המחדל הנכונה לפרטי התחברות שצריכים לעבור ממקום למקום.
OneTimeSecret מוסיף על זה שני אמצעי בקרה. תפוגה, כדי שקישור שאף אחד לא פותח לא יישאר שם לנצח, וביטוי סיסמה אופציונלי, כדי שקישור שהועבר לאדם הלא נכון לא ייפתח מעצמו.[1] כדאי להשתמש בשניהם בכל פעם.
עוד שתי נקודות לזכותו. הקוד פומבי, והפרויקט מתאר אותו כקוד שעבר ביקורת של הקהילה, וזה יותר ממה שרוב המתחרים המתארחים מציעים.[2] ודף הבית אומר שכל סוד נשמר ומעובד באזור שתבחרו, וזה חשוב לצוותים שחייבים לשמור נתונים באזור מסוים.[1]
ממה OneTimeSecret לא מגן?
משלושה דברים: המפעיל מחזיק במפתח, אי אפשר להחזיר קישור שנשלח, ושום דבר לא מתעד מי פתח אותו.
המפעיל מחזיק במפתח
בתיעוד של OneTimeSecret כתוב: "הסודות שלכם מוצפנים באופן מאובטח בשרתים שלנו, וכך מובטחת הגנה על הנתונים."[2] אם קוראים את זה מילולית, המשמעות היא שהשירות מקבל את הטקסט הגלוי ומצפין אותו רק אחר כך. המפעיל, או כל מי שיש לו מספיק גישה למערכות של המפעיל, יכול באופן עקרוני לקרוא סוד בזמן שהוא שמור. לפרויקט קוד פתוח שפועל בגלוי כבר שנים, זו החלטת אמון סבירה, ורוב האנשים מקבלים אותה בלי לחשוב. ועדיין, זו החלטה. כלי שמצפין בדפדפן, ושומר את המפתח בחלק של הקישור שדפדפנים אף פעם לא שולחים לשרת, מוציא את המפעיל מרשימת האנשים שיכולים לקרוא את הסוד.
ביטוי סיסמה מצמצם את החשיפה, אבל התיעוד הפומבי לא אומר איך ביטוי הסיסמה נשמר או אם הוא משמש לגזירת מפתח ההצפנה, ולכן אנחנו לא יכולים להגיד בכמה. השתמשו בו בכל זאת, ושלחו אותו בערוץ אחר מזה של הקישור.
אין דרך להחזיר קישור
אחרי ששלחתם קישור של OneTimeSecret, התצוגה של השולח מראה אם הסוד התקבל או נמחק.[1] התיעוד הפומבי לא מתאר החזרה של קישור שלא נקרא מלוח בקרה. אם שלחתם פרטי התחברות לאדם הלא נכון, או שהאדם עזב לפני שפתח אותם, האפשרויות שלכם הן להחליף את פרטי ההתחברות או לחכות לתפוגה. לפתק אישי זה בסדר. לסיסמת הניהול של לקוח, זה הפער החשוב ביותר.
אין תיעוד של מי פתח אותו
התוכנית החינמית המתארחת אומרת לכם שסוד נפתח. היא לא שומרת ציר זמן של מתי, מאיפה, או אם מישהו ניסה קודם ביטוי סיסמה שגוי. יומן הביקורת הוא תכונה של Team Plus, ובדף המחירים הוא מסומן כגרסת בטא.[3] אף כלי של קישורים חד-פעמיים לא יכול להגיד לכם מי פתח קישור, כי קישור לא נושא זהות, אבל חותמת זמן ומיקום משוער מספיקים כדי להחליט אם להחליף את פרטי ההתחברות. אפשר לראות מי פתח קישור חד-פעמי? משווה מה שבעה כלים מתעדים.
כל מה שקישור חד-פעמי לא יכול לעשות, בכל כלי
אלה לא בעיות של OneTimeSecret. אלה בעיות של קישורים חד-פעמיים, והן חלות על LinkPilot בדיוק כמו על כל אחד אחר.
- קישור שהועבר הלאה לפני שנפתח הוא פרטי התחברות בידיים הלא נכונות. תפוגה קצרה וביטוי סיסמה בערוץ שני הם ההגנות היחידות.
- תצוגה מקדימה של קישור יכולה לנצל את הצפייה היחידה של קישור חד-פעמי, אם השירות מציג את הסוד כבר בבקשה רגילה. OneTimeSecret מציג דף אישור לפני הצגת הסוד, וכך גם LinkPilot. בדקו איך כל כלי אחר מתנהג לפני שאתם מדביקים קישור ב-Slack. סורקי קישורים וסודות חד-פעמיים מסביר את המנגנון.
- דומיינים מתחזים. בתחום הזה כבר הופיעו אתרי פישינג מתחזים (במקרים המתועדים מדובר ב-Privnote, לא ב-OneTimeSecret). הקלידו את הדומיין בעצמכם, ואף פעם אל תגיעו לכלי לשיתוף סודות דרך מודעה.
מתי OneTimeSecret הוא הבחירה הנכונה
- אתם רוצים כלי בעל ייעוד אחד שאפשר לקרוא את קוד המקור שלו ולהריץ אותו בשרת שלכם. אי אפשר להריץ את LinkPilot באירוח עצמי, אז כאן ההכרעה ברורה.
- אתם שולחים מדי פעם סוד אישי, ולא צריכים תיעוד או דרך להחזיר אותו.
- מיקום הנתונים הוא דרישה מחייבת, והאזורים ש-OneTimeSecret מציע מתאימים לכם.
מתי להשתמש במשהו אחר
- אתם צריכים לבטל את הקישור אחרי ששלחתם אותו.
- אתם צריכים תיעוד של כל פתיחה, לביקורת, לשאלון אבטחה של לקוח או לטיפול שלכם באירועי אבטחה.
- אתם רוצים שהסוד יוצפן לפני שהוא יוצא מהדפדפן, כך שאף מפעיל לא מחזיק במפתח.
- אתם משתפים סודות כצוות, ורוצים תפקידים, סביבת עבודה ואפליקציה ל-Slack ולא חשבון אישי.
לצרכים האלה, מחולל הקישורים הסודיים החד-פעמיים החינמי של LinkPilot מצפין בדפדפן בלי חשבון. ביטול הקישור, ציר הזמן לכל סוד וביטויי סיסמה זמינים בתוכנית Pro, וההשוואה הישירה נמצאת בעמוד LinkPilot מול OneTimeSecret. התמונה הרחבה, כולל Password Pusher, PrivateBin ו-Yopass למי שמעדיף אירוח עצמי, נמצאת בסקירה החלופות הטובות ל-OneTimeSecret, ושיטת שיתוף הסיסמאות עצמה מוסברת בעמוד שיתוף סיסמאות מאובטח לצוותים.
איך משתמשים ב-OneTimeSecret בצורה בטוחה
- הקלידו את onetimesecret.com בעצמכם. אל תלחצו על מודעה בתוצאות החיפוש.
- הגדירו את התפוגה הקצרה ביותר שהנמען יכול לעמוד בה.
- הוסיפו ביטוי סיסמה ושלחו אותו בערוץ אחר מזה של הקישור (את הקישור באימייל, את ביטוי הסיסמה בצ'אט או בטלפון).
- בדקו את התצוגה של השולח אחרי יום. אם הסוד לא התקבל, החליפו את פרטי ההתחברות במקום לשלוח את הקישור שוב.
- אף פעם אל תשימו את הסוד ואת ההקשר שלו (איזו מערכת, איזה חשבון) באותה הודעה.
מקורות
[1] Onetime Secret. Homepage. https://onetimesecret.com/. נבדק ב-19 באוקטובר 2026.
[2] Onetime Secret. Documentation. https://docs.onetimesecret.com/. נבדק ב-19 באוקטובר 2026.
[3] Onetime Secret. Pricing. https://onetimesecret.com/en/pricing. נבדק ב-19 באוקטובר 2026.
[4] OneTimeSecret source repository. https://github.com/onetimesecret/onetimesecret.