LinkPilot के सीक्रेट लिंक कैसे काम करते हैं

1. एक नज़र में

LinkPilot एक ही प्लेटफ़ॉर्म पर लिंक की दो अलग पाइपलाइन चलाता है: स्मार्ट लिंक, यानी क्लिक एनालिटिक्स वाले और आपके अपने डोमेन वाले शॉर्ट URL, और सीक्रेट लिंक, जो संवेदनशील कॉन्टेंट को एक बार, तय समय-सीमा में और पासफ़्रेज़ की सुरक्षा के साथ पहुंचाते हैं। डेटा, कोड और प्रोडक्ट, तीनों स्तर पर दोनों को अलग रखा गया है, ताकि सीक्रेट का कॉन्टेंट कभी एनालिटिक्स डैशबोर्ड, डेटासेट एक्सपोर्ट या AI फ़ीचर में न पहुंच सके।

यह पेज खास तौर पर सीक्रेट लिंक की पाइपलाइन के बारे में है: सीक्रेट कैसे बनता है, कैसे दिखाया जाता है, देखे जाने के बाद क्या होता है और इस दौरान कौन-सा मेटाडेटा लॉग होता है।

2. सीक्रेट लिंक कैसे काम करते हैं

1. भेजने वाला व्यक्ति सीक्रेट बनाता है। चाहे तो साथ में पासफ़्रेज़, एक्सपायरी का समय और यह सीमा भी तय कर सकता है कि कितनी बार देखे जाने के बाद सीक्रेट मिट जाए।
2. कुछ भी भेजे जाने से पहले भेजने वाले का ब्राउज़र कॉन्टेंट को एन्क्रिप्ट करता है। हम तक एन्क्रिप्ट किया हुआ डेटा (सिफ़रटेक्स्ट) पहुंचता है, जो अलग secret_links टेबल में लिखा जाता है। यह टेबल क्लिक एनालिटिक्स की टेबल से अलग रखी गई है।
3. LinkPilot एक शॉर्ट URL लौटाता है (जैसे shrd.link/s/<slug>#k=<key>), जिसे प्राप्तकर्ता के साथ शेयर करना होता है। # के बाद का हिस्सा डिक्रिप्शन कुंजी है। यह भेजने वाले के ब्राउज़र में बनती है और हमें कभी नहीं भेजी जाती। हम यह URL बाद में दोबारा नहीं बना सकते।
4. लिंक खुलने पर ऐप secret-reveal एज फ़ंक्शन को कॉल करता है। GET सिर्फ़ मेटाडेटा लौटाता है (स्टेटस, और यह कि पासफ़्रेज़ ज़रूरी है या नहीं)। एन्क्रिप्ट किया हुआ डेटा पासफ़्रेज़ के साथ भेजे गए POST से ही मिलता है। इसके बाद प्राप्तकर्ता का ब्राउज़र लिंक में # के बाद वाले हिस्से की कुंजी से उसे डिक्रिप्ट करता है। सीक्रेट दिखाने वाला फ़ंक्शन खुद कभी कुछ डिक्रिप्ट नहीं करता, और चाहकर भी नहीं कर सकता।
5. सीक्रेट के सफलतापूर्वक दिखने की एंट्री एटॉमिक तरीके से दर्ज होती है। कितनी बार देखे जाने के बाद सीक्रेट मिटे, इस सेटिंग के हिसाब से वह उसी समय burned मार्क हो सकता है।

3. एन्क्रिप्शन मॉडल

यहां हम एकदम सटीक रहना चाहते हैं, क्योंकि “एन्क्रिप्टेड” और “ज़ीरो-नॉलेज” जैसे शब्द अक्सर ढीले-ढाले ढंग से इस्तेमाल होते हैं।

• भेजे जाते समय: प्राप्तकर्ता, हमारे एज और हमारे मैनेज्ड डेटाबेस के बीच पूरा ट्रैफ़िक शुरू से आखिर तक TLS से एन्क्रिप्ट रहता है।
• आपके ब्राउज़र में, भेजे जाने से पहले: 29 सितंबर 2026 से कॉन्टेंट क्लाइंट की तरफ़ ही AES-GCM-256 से एन्क्रिप्ट होता है, एक 256-बिट कुंजी के साथ जो आपके ब्राउज़र में बनती है। हम एन्क्रिप्ट किया हुआ डेटा स्टोर करते हैं, और कुछ नहीं। कुंजी शेयर लिंक में # के बाद वाले हिस्से में रहती है, जिसे ब्राउज़र किसी सर्वर को नहीं भेजते: न हमें, न Cloudflare को, जो सीक्रेट दिखाने वाला पेज सर्व करता है।
• स्टोर रहते समय: एन्क्रिप्ट किया हुआ डेटा एक ऐसे कॉलम में रहता है जो एनालिटिक्स डेटा से लॉजिकल तौर पर अलग है। यह मैनेज्ड Postgres इंस्टेंस पर है, जिसमें डिस्क के स्तर पर भी एन्क्रिप्शन है।
• पासफ़्रेज़: पासफ़्रेज़ सेट करने पर उसे पहले Unicode के एक मानक रूप (NFKC) में बदला जाता है, ताकि किसी दूसरे कीबोर्ड या इनपुट तरीके से टाइप किया गया वही पासफ़्रेज़ वही कुंजी बनाए। फिर PBKDF2-SHA256 (2,10,000 इटरेशन) से उसे मज़बूत किया जाता है और HKDF-SHA256 के ज़रिए लिंक की कुंजी के साथ जोड़ा जाता है। इसलिए न अकेला लिंक सीक्रेट को डिक्रिप्ट कर सकता है, न अकेला पासफ़्रेज़। अलग से, पासफ़्रेज़ का SHA-256 हैश भेजा जाता है, ताकि जो पासफ़्रेज़ नहीं जानता, उसे सर्वर एन्क्रिप्ट किया हुआ डेटा लौटाने से ही मना कर दे। असली पासफ़्रेज़ कभी हमारे डेटाबेस या लॉग में नहीं लिखा जाता।
• इससे क्या सुरक्षित होता है और क्या नहीं: इससे हम, हमारा डेटाबेस और हमारा एज भरोसे के दायरे से बाहर हो जाते हैं। लेकिन अगर पूरा लिंक आगे भेज दिया गया, उसका स्क्रीनशॉट ले लिया गया या प्राप्तकर्ता की तरफ़ किसी चीज़ ने उसे लॉग कर लिया, तो यह सीक्रेट को नहीं बचाता, क्योंकि कुंजी उसी लिंक में होती है।
• दो अपवाद, साफ़ शब्दों में: 29 सितंबर 2026 से पहले बनाए गए सीक्रेट बिना एन्क्रिप्शन के, सादे टेक्स्ट के रूप में स्टोर हैं। उन्हें कभी चुपचाप दोबारा नहीं लिखा जाता, वे पहले की तरह ही काम करते हैं और एक्सपायर होने के साथ खत्म हो जाते हैं। फ़ाइल अटैचमेंट भी ब्राउज़र में ही एन्क्रिप्ट होते हैं, सीक्रेट की अपनी कुंजी से बनी कुंजी के साथ। इसलिए एक ही लिंक दोनों को खोलता है और हमारे पास किसी की भी कुंजी नहीं होती। हमें अब भी फ़ाइल का नाम, साइज़ और टाइप दिखता है: ये मेटाडेटा कॉलम हैं, कॉन्टेंट नहीं। 29 सितंबर 2026 से पहले अपलोड किए गए अटैचमेंट अब भी सामान्य फ़ाइलों के रूप में स्टोर हैं।

इसका व्यावहारिक नतीजा साफ़ बताना ज़रूरी है: कुंजी कभी हमारे पास नहीं होती, इसलिए हम आपके लिए कोई सीक्रेट वापस नहीं ला सकते। शेयर लिंक खो जाए, तो कॉन्टेंट भी खो जाता है।

खुद जांच लें। ब्राउज़र में होने वाले एन्क्रिप्शन पर आंख मूंदकर भरोसा करने की ज़रूरत नहीं। यही एन्क्रिप्शन कोड हमारी ओपन-सोर्स linkpilot-cli रिपॉज़िटरी (MIT लाइसेंस) में है, जिसमें CLI, TypeScript SDK और MCP सर्वर हैं। रिपॉज़िटरी में वे टेस्ट वेक्टर भी हैं जिन पर वेब ऐप को परखा जाता है। आप कुंजी बनाने का तरीका पढ़ सकते हैं, वेक्टर चला सकते हैं और पक्का कर सकते हैं कि क्लाइंट से बाहर जाने वाला डेटा एन्क्रिप्टेड है और कुंजी सिर्फ़ लिंक में # के बाद वाले हिस्से में जाती है। अगर उस कोड और इस पेज में कोई फ़र्क दिखे, तो रिपोर्ट करें।

4. सीक्रेट देखे जाने के बाद क्या होता है

• हर बार देखा जाना डेटाबेस फ़ंक्शन के ज़रिए एटॉमिक तरीके से दर्ज होता है, इसलिए एक साथ आई कई कोशिशों से सीक्रेट दो बार लीक नहीं हो सकता।
• देखे जाने की सीमा पूरी होते ही सीक्रेट का स्टेटस burned हो जाता है और स्टोर किया गया कॉन्टेंट [REDACTED] से ओवरराइट कर दिया जाता है।
• इसके बाद सीक्रेट खोलने की हर कोशिश पर HTTP 410 के साथ साफ़ जवाब मिलता है कि सीक्रेट “पहले ही देखा जा चुका है और मिटा दिया गया है”।
• ऑडिट टाइमलाइन हर बार देखे जाने, मिटने और वापस लिए जाने को हैश किए गए IP के साथ दर्ज करती है। किसी घटना की जांच करने और क्रेडेंशियल बदलने में यह काम आती है।

5. एक्सपायरी और लिंक वापस लेना

• हर सीक्रेट पर समय-सीमा लगाई जा सकती है: किसी भी प्लान में 1 घंटा, 24 घंटे या 7 दिन, और Pro में अपनी पसंद की तारीख और समय। साथ में यह सीमा भी लगाई जा सकती है कि वह कितनी बार देखा जा सके।
• एक्सपायर हो चुके सीक्रेट का स्टेटस अगली बार एक्सेस होने पर expired हो जाता है, और उसी राइट में कॉन्टेंट हटा दिया जाता है।
• सीक्रेट का मालिक डैशबोर्ड से कभी भी उसे वापस ले सकता है। वापस लिया गया सीक्रेट तुरंत दिखना बंद हो जाता है और HTTP 410 लौटाता है।
• सीक्रेट मिट जाए, एक्सपायर हो जाए या वापस ले लिया जाए, तो प्रोडक्ट के ज़रिए उसका कॉन्टेंट वापस नहीं लाया जा सकता। “वापस लेना रद्द करें” या “रीस्टोर करें” जैसा कोई विकल्प जानबूझकर नहीं रखा गया है।

6. पासफ़्रेज़ से सुरक्षा

• पासफ़्रेज़ वैकल्पिक है। लेकिन अगर आप नहीं चाहते कि कोई अनजान व्यक्ति सीक्रेट खोलकर उसे खत्म कर दे, तो हम पासफ़्रेज़ लगाने की सलाह देते हैं।
• पासफ़्रेज़ का SHA-256 हैश ब्राउज़र में ही बनता है, TLS पर भेजा जाता है और सर्वर पर हैश से ही मिलाया जाता है। असली पासफ़्रेज़ कभी हमारे डेटाबेस तक नहीं पहुंचता।
• हर सीक्रेट पर एक IP से पासफ़्रेज़ की कोशिशें 5 प्रति मिनट तक सीमित हैं। यह सीमा मेमोरी में चलने वाले लिमिटर और डेटाबेस पर आधारित स्लाइडिंग विंडो, दोनों से लागू होती है।
• हर नाकाम कोशिश हैश किए गए IP के साथ ऑडिट लॉग में लिखी जाती है, ताकि वर्कस्पेस के मालिक संदिग्ध गतिविधि देख सकें।
• हमारी सलाह है कि पासफ़्रेज़ लिंक से अलग किसी दूसरे माध्यम से भेजें, जैसे लिंक ईमेल से और पासफ़्रेज़ Slack DM या SMS से।

7. लिंक स्कैनर और प्रीव्यू बॉट से बचाव

ईमेल के सुरक्षा स्कैनर और चैट ऐप में लिंक का प्रीव्यू बनाने वाले टूल (Slack, LinkedIn, iMessage, Outlook) किसी URL के दिखते ही उसे खोल लेते हैं। पढ़ते ही मिट जाने वाले लिंक के मामले में, सीधे-सादे डिज़ाइन वाले सिस्टम में पहला प्रीव्यू ही सीक्रेट को प्राप्तकर्ता के देखने से पहले मिटा देगा।

LinkPilot इसे तीन तरीकों से रोकता है:

• मेटाडेटा और सीक्रेट दिखाने के अलग एंडपॉइंट। सीक्रेट दिखाने वाले एंडपॉइंट पर GET सिर्फ़ स्टेटस लौटाता है और यह बताता है कि पासफ़्रेज़ ज़रूरी है या नहीं। देखा जाना सिर्फ़ जानबूझकर भेजे गए POST अनुरोध पर दर्ज होता है, जो कोई इंसान “दिखाएं” बटन दबाकर भेजता है।
• पासफ़्रेज़ की रोक। पासफ़्रेज़ सेट होने पर सही हैश के बिना किसी को कॉन्टेंट नहीं मिलता, चाहे वह बॉट हो या इंसान।
• सीक्रेट दिखाने वाले हर रिस्पॉन्स पर Cache-Control: no-store लगा होता है, ताकि बीच के सर्वर सीक्रेट का कॉन्टेंट कैश न करें।

8. कौन-सा मेटाडेटा लॉग होता है

सीक्रेट खोलने की हर कोशिश पर हम सिर्फ़ उतना दर्ज करते हैं जितना वर्कस्पेस के मालिकों को भरोसेमंद ऑडिट ट्रेल देने के लिए ज़रूरी है:

• कोशिश का समय।
• हैश किया गया IP: क्लाइंट के IP और रोज़ बदलने वाले सॉल्ट को मिलाकर बना SHA-256, जिसे 32 कैरेक्टर तक छोटा किया जाता है। असली IP कभी स्टोर नहीं होता।
• एज से मिली मोटे तौर पर लोकेशन (देश और शहर), अगर अपस्ट्रीम प्रोवाइडर उसे देता है।
• क्लाइंट की भेजी हुई User-Agent स्ट्रिंग।
• इवेंट का प्रकार: created, viewed, failed_passphrase, burned, expired, revoked।

हम ये चीज़ें लॉग नहीं करते: सीक्रेट का कॉन्टेंट, असली पासफ़्रेज़, असली IP पता, प्राप्तकर्ता की कुकी (कोई कुकी होती ही नहीं) या किसी तीसरे पक्ष का ट्रैकिंग पिक्सल।

9. सीक्रेट लिंक और एनालिटिक्स लिंक में फ़र्क

दोनों पाइपलाइन एक ही ब्रांड, डैशबोर्ड और टीम कंट्रोल इस्तेमाल करती हैं, लेकिन उनका डेटा कभी एक-दूसरे में नहीं मिलता।

10. अटैचमेंट

• फ़ाइलें ब्राउज़र में ही एन्क्रिप्ट होती हैं, सीक्रेट की अपनी कुंजी से बनी कुंजी के साथ। इसलिए एक ही लिंक टेक्स्ट और फ़ाइल दोनों खोलता है।
• फ़ाइलें कम समय तक चलने वाले साइन किए हुए URL से मिलती हैं, और उन पर टेक्स्ट जैसी ही पासफ़्रेज़, एक्सपायरी और मिटने की सेटिंग लागू होती है।
• फ़ाइल का नाम, साइज़ और टाइप हमें मेटाडेटा के रूप में दिखते हैं; उसका कॉन्टेंट नहीं।
• 29 सितंबर 2026 से पहले अपलोड किए गए अटैचमेंट एक्सपायर होने तक सामान्य फ़ाइलों के रूप में स्टोर रहते हैं; उन्हें कभी दोबारा नहीं लिखा जाता।

11. डेटा कितने समय तक रखा जाता है

• सीक्रेट मिटने, एक्सपायर होने या वापस लिए जाने पर उसका कॉन्टेंट ओवरराइट कर दिया जाता है। रीस्टोर का कोई विकल्प जानबूझकर नहीं है, और हम इसे आपके लिए वापस नहीं ला सकते।
• अकाउंट का डेटा तब तक रखा जाता है जब तक वर्कस्पेस सक्रिय है, और डिलीट होने के बाद 30 दिन तक, ताकि गलती से हुआ डिलीट पलटा जा सके।
• शॉर्ट लिंक के क्लिक एनालिटिक्स 90 दिन बाद जोड़कर ऐसी गिनती में बदल दिए जाते हैं जिससे किसी की पहचान नहीं होती।
• ऑडिट टाइमलाइन के इवेंट में सिर्फ़ सेक्शन 8 में बताए गए हैश और सॉल्ट किए हुए मान रहते हैं; रखने के लिए कोई असली पता होता ही नहीं।

12. बिना अकाउंट वाले सीक्रेट और वर्कस्पेस सीक्रेट

मुफ़्त सीक्रेट लिंक जनरेटर बिना अकाउंट के सीक्रेट बनाता है। इसमें सीक्रेट हमेशा पढ़ते ही मिट जाता है, एक्सपायरी 1 घंटा, 24 घंटे या 7 दिन होती है, फ़ॉर्म को Turnstile ऑटोमेटेड गलत इस्तेमाल से बचाता है, और ब्राउज़र में होने वाला वही एन्क्रिप्शन लागू होता है।

वर्कस्पेस सीक्रेट में इसके अलावा ऑडिट टाइमलाइन, डैशबोर्ड से लिंक वापस लेना, फ़ाइल अटैचमेंट और Pro में पासफ़्रेज़ और अपनी पसंद की एक्सपायरी तारीख और समय मिलते हैं। एन्क्रिप्शन मॉडल दोनों में एक जैसा है।

13. सीमाएं, साफ़ शब्दों में

• आगे भेजा गया लिंक, आगे भेजा गया सीक्रेट है। सिस्टम में ऐसा कुछ नहीं जो प्राप्तकर्ता को खोलने से पहले लिंक आगे भेजने से रोक सके। कम एक्सपायरी और दूसरे माध्यम से भेजा गया पासफ़्रेज़ ही इसका बचाव हैं।
• खोया हुआ लिंक, खोया हुआ सीक्रेट है। कुंजी कभी हमारे पास नहीं होती, इसलिए वापस लाने के लिए कुछ है ही नहीं।
• 29 सितंबर से पहले का अपवाद। उस तारीख से पहले बनाए गए सीक्रेट एक्सपायर होने तक सादे टेक्स्ट के रूप में स्टोर थे।
• ओपन सोर्स नहीं, अपने सर्वर पर होस्ट नहीं हो सकता। एन्क्रिप्शन क्लाइंट टेस्ट वेक्टर के साथ MIT लाइसेंस वाली CLI रिपॉज़िटरी में प्रकाशित है; सेवा खुद एक होस्टेड प्रोडक्ट है। अगर सेल्फ़-होस्टिंग ज़रूरी है, तो ओपन-सोर्स विकल्प देखें।
• देखा जाना किसी व्यक्ति की पहचान नहीं है। टाइमलाइन बताती है कि सीक्रेट कब और मोटे तौर पर कहां से खोला गया, यह कभी नहीं कि किसने। अगर गलत व्यक्ति ने उसे खोला, तो क्रेडेंशियल बदल दें।

14. सुरक्षा कमज़ोरी की रिपोर्ट करना

सुरक्षा से जुड़ी खामियां और गलत इस्तेमाल वाले लिंक /report पर रिपोर्ट करें, ये सीधे टीम तक पहुंचते हैं। गोपनीयता और डेटा से जुड़े अनुरोध privacy@uselinkpilot.com पर भेजें; इनका जवाब 30 दिन के अंदर मिलता है। हम कौन-सा डेटा किस आधार पर प्रोसेस करते हैं, यह GDPR पेज पर लिखा है।

15. अक्सर पूछे जाने वाले सवाल