Så beskriver OneTimeSecret skyddet av en hemlighet
Säkerhetsöversikten hos Onetime Secret beskriver modellen kortfattat: en hemlighet är tänkt att visas en gång och sedan förstöras permanent, en hemlighet som inte har visats kan raderas, hemligheter krypteras under överföring och i vila i alla planer, varje hemlighet har en giltighetstid och en valfri lösenfras lägger till ett skydd som länken ensam inte kan öppna. Sidan om dataskydd tillägger att överföringen skyddas med TLS, att tjänsten strävar efter att bara spara de metadata som behövs för driften och att du kan välja i vilken region data behandlas och lagras. På startsidan står att data förstörs permanent när mottagaren öppnar länken och att ingen, inte heller Onetime Secret, kan hämta den.
Det är rätt egenskaper för ett verktyg för engångshemligheter, och de är tydligt beskrivna.
Det enda dokumentationen inte säger
Varken säkerhetsöversikten eller sidan om dataskydd säger var krypteringen sker: i din webbläsare innan hemligheten skickas, eller på servrarna hos Onetime Secret när den har kommit fram. Den skillnaden avgör om operatören skulle kunna läsa en hemlighet medan den lagras. Kryptering i vila skyddar databasen mot någon som stjäl disken, men hindrar inte i sig den tjänst som har nyckeln från att dekryptera posten. Sidorna beskriver inte heller hur en lösenfras behandlas eller lagras, och den längsta giltighetstiden anges bara som en gräns i planen.
Det här är ingen anklagelse. Onetime Secret är öppen källkod och går att köra på egen server, så den som behöver veta kan läsa koden eller köra en egen instans. Det är en starkare garanti än någon marknadsföringssida. Frågan lämnas helt enkelt öppen i dokumentationen för den driftade tjänsten, och om din hotmodell omfattar operatören är det den frågan du ska ställa.
Recension av One Time Secret: det här gör tjänsten bra
Den är enkel, gratis för både privatpersoner och team, har öppen källkod och går att köra på egen server, med en länk till ett GitHub-repo. Radering före visning, lösenfraser och giltighetstid täcker de inställningar som de flesta behöver. Du kan också välja region för dina data, något få konkurrenter erbjuder och som LinkPilot inte har. För en enstaka privat hemlighet, eller för ett team som vill driva tjänsten själv, är den fortfarande ett bra val.
Här skiljer sig LinkPilot
LinkPilot besvarar den öppna frågan uttryckligen: hemligheten krypteras i din webbläsare med AES-GCM-256, nyckeln placeras efter # i länken, där webbläsare aldrig skickar den, och våra servrar, vår databas och våra edge-servrar har bara chiffertext och ingen nyckel. Koden som gör detta finns i det MIT-licensierade CLI-repot, tillsammans med testvektorer. Sidan om säkerhetsarkitekturen beskriver modellen och dess begränsningar, bland annat att hemligheter som skapades före den 29 september 2026 lagrades i klartext tills de gick ut och att en bifogad fils namn, storlek och typ är synliga för oss.
Runt själva hemligheten lägger LinkPilot till återkallning från en dashboard, bifogade filer, roller i teamet och, med Pro, en lösenfras som blandas in i dekrypteringsnyckeln samt en granskningslogg. Det LinkPilot inte erbjuder är egen drift eller val av region för data. Sidan om alternativ till OneTimeSecret och hela jämförelsen väger de för- och nackdelarna mot varandra.