OneTimeSecret के मुताबिक वह सीक्रेट को कैसे सुरक्षित रखता है
Onetime Secret के सुरक्षा ओवरव्यू के मुताबिक उसका मॉडल संक्षेप में यह है: सीक्रेट इस तरह बनाया गया है कि एक बार देखा जाए और फिर हमेशा के लिए मिट जाए। जो सीक्रेट देखा नहीं गया, उसे मिटाया जा सकता है। सभी प्लान में सीक्रेट भेजे जाते समय और स्टोर रहते समय एन्क्रिप्टेड रहते हैं। हर सीक्रेट की एक्सपायरी होती है। चाहें तो पासफ़्रेज़ लगाया जा सकता है, जो ऐसी परत जोड़ता है जिसे अकेला लिंक नहीं खोल सकता। उसका डेटा प्रोटेक्शन पेज यह भी बताता है कि डेटा भेजते समय TLS से सुरक्षित रहता है, कि वह सिर्फ़ उतना मेटाडेटा रखने की कोशिश करता है जितना सेवा चलाने के लिए ज़रूरी है, और कि आप वह रीजन चुन सकते हैं जहां डेटा प्रोसेस और स्टोर होता है। होमपेज पर लिखा है कि प्राप्तकर्ता के लिंक खोलते ही डेटा हमेशा के लिए मिटा दिया जाता है और उसे कोई वापस नहीं पा सकता, Onetime Secret भी नहीं।
वन-टाइम सीक्रेट टूल में यही खूबियां होनी चाहिए, और ये साफ़ शब्दों में बताई गई हैं।
वह एक बात जो डॉक्यूमेंटेशन में नहीं लिखी
न सुरक्षा ओवरव्यू में और न डेटा प्रोटेक्शन पेज पर यह लिखा है कि एन्क्रिप्शन कहां होता है: सीक्रेट भेजे जाने से पहले आपके ब्राउज़र में, या पहुंचने के बाद Onetime Secret के सर्वर पर। इसी फ़र्क से तय होता है कि सेवा का ऑपरेटर स्टोर रहते समय सीक्रेट पढ़ सकता है या नहीं। स्टोरेज में एन्क्रिप्शन डेटाबेस को उस व्यक्ति से बचाता है जो डिस्क चुरा ले। लेकिन अकेले इससे वह सेवा, जिसके पास कुंजी है, रिकॉर्ड को डिक्रिप्ट करने से नहीं रुकती। इन पेजों में यह भी नहीं बताया गया कि पासफ़्रेज़ को कैसे प्रोसेस या स्टोर किया जाता है, और एक्सपायरी की अधिकतम अवधि सिर्फ़ प्लान की सीमा के रूप में दी गई है।
यह कोई आरोप नहीं है। Onetime Secret ओपन सोर्स है और उसे अपने सर्वर पर होस्ट किया जा सकता है। इसलिए जिसे भी जानना ज़रूरी हो, वह कोड पढ़ सकता है या अपना इंस्टेंस चला सकता है, और यह किसी भी मार्केटिंग पेज से ज़्यादा पक्की गारंटी है। बात बस इतनी है कि होस्ट की गई सेवा का डॉक्यूमेंटेशन इस सवाल को खुला छोड़ देता है। अगर आपके थ्रेट मॉडल में ऑपरेटर भी शामिल है, तो यही सवाल पूछना चाहिए।
OneTimeSecret रिव्यू: इसमें क्या अच्छा है
यह सरल है, अकेले यूज़र और टीमों के लिए मुफ़्त है, ओपन सोर्स है और इसे अपने सर्वर पर होस्ट किया जा सकता है, जिसके लिए GitHub रिपॉज़िटरी का लिंक दिया गया है। देखे जाने से पहले मिटाने की सुविधा, पासफ़्रेज़ और एक्सपायरी में वे कंट्रोल आ जाते हैं जिनकी ज़्यादातर लोगों को ज़रूरत होती है। इसमें डेटा रीजन भी चुना जा सकता है, जो कम ही प्रतिस्पर्धी सेवाएं देती हैं और LinkPilot नहीं देता। कभी-कभार भेजे जाने वाले किसी निजी सीक्रेट के लिए, या उस टीम के लिए जो यह सेवा खुद चलाना चाहती है, यह अब भी अच्छा विकल्प है।
LinkPilot कहां अलग है
LinkPilot इस खुले सवाल का साफ़ जवाब देता है: सीक्रेट आपके ब्राउज़र में AES-GCM-256 से एन्क्रिप्ट होता है, कुंजी लिंक में # के बाद रखी जाती है, जहां से ब्राउज़र उसे कभी नहीं भेजते, और हमारे सर्वर, डेटाबेस और एज पर एन्क्रिप्ट किया हुआ डेटा रहता है, कुंजी नहीं। यह काम करने वाला कोड MIT लाइसेंस वाली CLI रिपॉज़िटरी में टेस्ट वेक्टर के साथ मिलता है। सुरक्षा आर्किटेक्चर पेज पर यह मॉडल और इसकी सीमाएं लिखी हैं। इनमें यह भी शामिल है कि 29 सितंबर 2026 से पहले बनाए गए सीक्रेट एक्सपायर होने तक बिना एन्क्रिप्शन के, सादे टेक्स्ट के रूप में स्टोर रहे और अटैच की गई फ़ाइल का नाम, साइज़ और टाइप हमें दिखते हैं।
सीक्रेट के साथ LinkPilot में डैशबोर्ड से लिंक वापस लेना, फ़ाइल अटैचमेंट और टीम के रोल मिलते हैं, और Pro में डिक्रिप्शन कुंजी में मिलाया जाने वाला पासफ़्रेज़ और ऑडिट टाइमलाइन। जो यह नहीं देता, वह है सेल्फ़-होस्टिंग और डेटा रीजन चुनने का विकल्प। OneTimeSecret के विकल्प वाले पेज और पूरी तुलना में इन फ़ायदे-नुकसान को तौला गया है।