सीक्रेट लिंक या पासवर्ड मैनेजर: किसका क्या काम

पासवर्ड मैनेजर उन क्रेडेंशियल को रखता है जिन्हें टीम बार-बार इस्तेमाल करती है। वन-टाइम सीक्रेट लिंक, यानी एक बार खुलने वाला लिंक, एक क्रेडेंशियल को एक व्यक्ति तक एक बार पहुंचाता है और फिर अपने साथ लाई गई कॉपी को मिटा देता है। आधिकारिक रिकॉर्ड मैनेजर में रखें और लिंक को हैंडओवर के लिए इस्तेमाल करें। सुरक्षा का ध्यान रखने वाली ज़्यादातर टीमों को दोनों की ज़रूरत होती है, और ज़्यादातर दिक्कतें तब आती हैं जब एक का काम दूसरे से लिया जाता है।

दोनों किस काम के लिए बने हैं

मैनेजर ही आधिकारिक रिकॉर्ड रखता है। सीक्रेट लिंक पहुंचाने का ज़रिया है, जो पीछे कुछ नहीं छोड़ता: हैंडओवर के बाद लिंक मिट जाता है, एक्सपायर हो जाता है या वापस ले लिया जाता है, और चैट या ईमेल में बचा URL किसी चीज़ तक नहीं ले जाता।

पासवर्ड मैनेजर कब बेहतर है

• जब कोई जानी-पहचानी टीम उस क्रेडेंशियल को बार-बार इस्तेमाल करेगी।
• जब आपको एक ही मुख्य कॉपी चाहिए जो हर जगह अपडेट हो जाए।
• जब प्राप्तकर्ता पहले से आपके वॉल्ट में है।
• जब ब्राउज़र और CLI टूल में ऑटोफ़िल चाहिए।
• जब आपको सारे क्रेडेंशियल पर ब्रीच मॉनिटरिंग और कमज़ोर पासवर्ड की रिपोर्ट चाहिए।

सीक्रेट लिंक कब बेहतर है

• जब प्राप्तकर्ता कोई कॉन्ट्रैक्टर, ग्राहक या वेंडर है जो आपके वॉल्ट में नहीं है, और कभी होगा भी नहीं।
• जब क्रेडेंशियल सिर्फ़ एक बार पहुंचाना है।
• जब हैंडओवर के लिए आपको साफ़ ऑडिट इवेंट चाहिए, जैसे “यह 14:32 पर पढ़ा गया”, जो उसी डिलीवरी से जुड़ा हो।
• जब क्रेडेंशियल कोई कम समय वाला टोकन, OTP या रोटेशन सीक्रेट है, जिसे कहीं पड़ा नहीं रहना चाहिए।
• जब आपको मजबूरी में जिस चैनल का इस्तेमाल करना पड़ रहा है, उससे संवेदनशील जानकारी को बाहर रखना है। ईमेल और चैट सब कुछ संभालकर रखते हैं, जबकि मिट चुका लिंक कुछ नहीं रखता।

स्थिति देखकर चुनें

तीन उदाहरण, कदम-दर-कदम

कॉन्ट्रैक्टर को हैंडओवर

1. मैनेजर से क्रेडेंशियल निकालें (या उससे बेहतर, सिर्फ़ उस कॉन्ट्रैक्टर के लिए सीमित अधिकार और तय समय वाला क्रेडेंशियल बनाएं)।
2. वन-टाइम सीक्रेट लिंक बनाएं: एक बार खुलने के बाद मिट जाए, 24 घंटे की एक्सपायरी, पासफ़्रेज़ के साथ।
3. लिंक ईमेल से भेजें और पासफ़्रेज़ SMS या Slack DM से।
4. लिंक खुलने के इवेंट पर नज़र रखें। पढ़े जाने के बाद लिंक बेकार हो जाता है और ईमेल थ्रेड में कुछ भी संवेदनशील नहीं रहता।
5. काम खत्म होने पर क्रेडेंशियल को उसके स्रोत पर ही वापस लें।

नए कर्मचारी की ऑनबोर्डिंग

मुख्य जानकारी मैनेजर में रहती है। दिक्कत यह है कि नया कर्मचारी अभी वॉल्ट में नहीं है, और उसका पहला क्रेडेंशियल ही वॉल्ट का एक्सेस है। यह शुरुआती क्रेडेंशियल उसी दिन एक्सपायर होने वाले वन-टाइम लिंक से भेजें। उसके बाद सब कुछ हमेशा की तरह मैनेजर से चलता है।

ग्राहक को API key भेजना

key को कभी सीधे ईमेल न करें: ईमेल कई सर्वर पर अनिश्चित समय तक स्टोर रहता है और अकाउंट हथियाने के हमलों में यही सबसे पहला निशाना होता है। key बनाएं, वन-टाइम लिंक भेजें, और लिंक मिटने के इवेंट को ही डिलीवरी की पुष्टि मान लें। अगर लिंक बिना पढ़े एक्सपायर हो जाता है, तो ग्राहक के शिकायत करने से पहले ही आपको पता चल जाता है कि डिलीवरी नहीं हुई। तब नए लिंक के साथ फिर से भेजें।

ज़्यादातर टीमें आखिर में यही तरीका अपनाती हैं

1. टीम के लंबे समय तक चलने वाले क्रेडेंशियल पासवर्ड मैनेजर (1Password, Bitwarden, Vaultwarden) में रहते हैं।
2. जब वॉल्ट से बाहर के किसी व्यक्ति को क्रेडेंशियल चाहिए, तो अधिकार रखने वाला टीम का सदस्य उसे मैनेजर से निकालता है और कम एक्सपायरी वाला वन-टाइम सीक्रेट लिंक भेजता है।
3. प्राप्तकर्ता क्रेडेंशियल को अपने मैनेजर में सेव कर लेता है।
4. लिंक मिट जाता है। मुख्य कॉपी और पासवर्ड बदलने का इतिहास मैनेजर में रहता है।

इस तरह ऑडिट की ज़िम्मेदारी सही बंटती है: “किसके पास किस चीज़ का एक्सेस है” इसका जवाब मैनेजर देता है, और “हैंडओवर कब हुआ और क्या उसे ठीक एक ही व्यक्ति ने पढ़ा” इसका जवाब लिंक देता है।

मैनेजर के अपने शेयर लिंक के बारे में क्या?

कई मैनेजर अब अपने खुद के एक्सपायर होने वाले शेयर फ़ीचर देते हैं, जैसे 1Password item sharing और Bitwarden Send (जुलाई 2026 में प्रकाशित जानकारी के अनुसार; बारीकियों पर भरोसा करने से पहले मौजूदा डॉक्यूमेंटेशन देख लें)। अगर आपका सारा काम एक ही मैनेजर के अंदर होता है, तो ये ठीक और सुविधाजनक विकल्प हैं।

अलग सीक्रेट लिंक की ज़रूरत तब भी रहती है जब आपको दूसरे चैनल से भेजा जाने वाला पासफ़्रेज़ चाहिए, हर सीक्रेट की ऑडिट टाइमलाइन चाहिए जिसे बाद में दिखाया जा सके, ऐसा लिंक चाहिए जिसे चैट और ईमेल के लिंक प्रीव्यू बॉट खोलकर मिटा न दें, या ऐसा टूल चाहिए जो यह मानकर न चले कि दूसरी तरफ़ कौन-सा मैनेजर (अगर कोई है) इस्तेमाल होता है।

पासवर्ड बदलने (रोटेशन) का क्या?

सीक्रेट लिंक रोटेशन का रिकॉर्ड नहीं रखता। अगर आप एक ही जानकारी दो अलग लिंक से दो बार शेयर करते हैं, तो किसी लिंक को दूसरे के बारे में पता नहीं होता। हैंडओवर के लिए यह ठीक है, लेकिन लगातार निगरानी के लिए बेकार। यह ज़िम्मेदारी मैनेजर पर रहने दें, और हर रोटेशन को नए लिंक के साथ एक नया हैंडओवर मानें।

सीमाएं और साफ़ चेतावनियां

• सीक्रेट लिंक स्टोरेज नहीं है। अगर प्राप्तकर्ता लिंक मिटने से पहले जानकारी को अपने मैनेजर में सेव नहीं करता, तो आपको उसे फिर से भेजना पड़ेगा। भेजते समय यह साफ़ बता दें।
• प्राप्तकर्ता के आगे कोई भी टूल कुछ नहीं कर सकता। एक बार किसी व्यक्ति ने क्रेडेंशियल पढ़ लिया, तो वह उसे कहीं भी कॉपी कर सकता है। दोनों टूल भेजने और स्टोर करने के दौरान सुरक्षा देते हैं, दूसरी तरफ़ के व्यक्ति के पास पहुंचने के बाद नहीं।
• अपने प्रोवाइडर का एन्क्रिप्शन मॉडल समझें। भरोसेमंद पासवर्ड मैनेजर वॉल्ट को एंड-टू-एंड एन्क्रिप्ट करते हैं, और LinkPilot भी सीक्रेट लिंक के टेक्स्ट को ऐसे ही एन्क्रिप्ट करता है: जानकारी आपके ब्राउज़र में ही एन्क्रिप्ट होती है और कुंजी URL में # के बाद के हिस्से में रहती है, इसलिए ऑपरेटर किसी चालू सीक्रेट को नहीं पढ़ सकता। पासफ़्रेज़ का हैश ब्राउज़र में ही बनता है और मिट चुके सीक्रेट का डेटा इस तरह ओवरराइट किया जाता है कि उसे वापस नहीं लाया जा सकता। अटैच की गई फ़ाइलें भी इसी तरह एन्क्रिप्ट होती हैं। अपडेट, 29 सितंबर 2026: इस बिंदु में पहले लिखा था कि सीक्रेट लिंक एंड-टू-एंड एन्क्रिप्टेड नहीं हैं, जो उस तारीख तक सही था। पूरी जानकारी सुरक्षा आर्किटेक्चर पेज पर है।
• मैनेजर का मास्टर पासवर्ड वह एक जगह है जिसके टूटने पर सब कुछ खतरे में पड़ जाता है। सारा आधिकारिक रिकॉर्ड एक जगह रखने की यही कीमत है। इसे मज़बूत पासफ़्रेज़ और हार्डवेयर पर आधारित 2FA से सुरक्षित रखें।

आगे पढ़ें

• API keys सुरक्षित तरीके से कैसे शेयर करें
• पासवर्ड सुरक्षित तरीके से शेयर करना: 5 तरीकों की तुलना
• LinkPilot और OneTimeSecret की तुलना

स्रोत

• 1Password Support, Share items with anyone।
• Bitwarden Help Center, About Send।