OneTimeSecret nói họ bảo vệ nội dung bí mật thế nào
Trang tổng quan bảo mật của Onetime Secret mô tả ngắn gọn mô hình của họ: nội dung bí mật được thiết kế để xem một lần rồi bị hủy vĩnh viễn, nội dung chưa ai xem có thể hủy, nội dung bí mật được mã hóa trên đường truyền và khi lưu trữ ở mọi gói, nội dung nào cũng có thời hạn, và cụm mật khẩu (passphrase) tùy chọn thêm một lớp mà riêng liên kết không mở được. Trang bảo vệ dữ liệu của họ cho biết thêm rằng đường truyền được bảo vệ bằng TLS, rằng họ cố gắng chỉ giữ siêu dữ liệu cần để vận hành dịch vụ, và rằng bạn chọn được khu vực xử lý và lưu dữ liệu. Trang chủ nói rằng khi người nhận mở liên kết, dữ liệu bị hủy vĩnh viễn và không ai, kể cả Onetime Secret, lấy lại được.
Đó là những đặc tính đúng cho một công cụ chia sẻ nội dung bí mật một lần, và họ nêu chúng rõ ràng.
Điều duy nhất tài liệu không nói
Cả trang tổng quan bảo mật lẫn trang bảo vệ dữ liệu đều không nói việc mã hóa diễn ra ở đâu: trong trình duyệt của bạn trước khi gửi, hay trên máy chủ của Onetime Secret sau khi nhận. Khác biệt này quyết định bên vận hành có đọc được nội dung bí mật khi lưu trữ hay không. Mã hóa khi lưu trữ bảo vệ cơ sở dữ liệu khỏi kẻ đánh cắp ổ đĩa; tự nó không ngăn được dịch vụ đang giữ khóa giải mã bản ghi. Các trang này cũng không mô tả cách xử lý hay lưu cụm mật khẩu, và thời hạn tối đa chỉ được nêu như một giới hạn của gói.
Đây không phải lời buộc tội. Onetime Secret là mã nguồn mở và có thể tự lưu trữ (self-hosting), nên ai cần biết có thể đọc mã nguồn hoặc tự chạy một bản riêng, và đó là bảo đảm mạnh hơn bất kỳ trang quảng cáo nào. Chỉ có điều tài liệu của bản đám mây bỏ ngỏ câu hỏi này, và nếu mô hình đe dọa của bạn tính cả bên vận hành, đây là câu cần hỏi.
Đánh giá One time secret: những điểm làm tốt
Công cụ này đơn giản, miễn phí cho cá nhân và nhóm, mã nguồn mở, và tự lưu trữ được với kho GitHub có liên kết sẵn. Hủy trước khi xem, cụm mật khẩu và thời hạn đáp ứng những thao tác kiểm soát mà phần lớn mọi người cần. Công cụ còn cho chọn khu vực lưu dữ liệu, điều ít đối thủ có và LinkPilot không có. Để gửi thỉnh thoảng một nội dung bí mật cá nhân, hoặc cho nhóm muốn tự vận hành dịch vụ, đây vẫn là lựa chọn đáng tin.
LinkPilot khác ở chỗ nào
LinkPilot trả lời thẳng câu hỏi bỏ ngỏ đó: nội dung bí mật được mã hóa ngay trong trình duyệt của bạn bằng AES-GCM-256, khóa nằm ở phần sau dấu # của liên kết, nơi trình duyệt không bao giờ gửi đi, và máy chủ, cơ sở dữ liệu và máy chủ biên của chúng tôi chỉ giữ bản mã, không giữ khóa. Mã nguồn làm việc này nằm trong kho CLI theo giấy phép MIT, kèm bộ test vector. Trang kiến trúc bảo mật nêu mô hình và các giới hạn của nó, trong đó có việc nội dung bí mật tạo trước ngày 29 tháng 9 năm 2026 được lưu ở dạng chưa mã hóa cho đến khi hết hạn, và việc chúng tôi thấy được tên, kích thước và loại của tệp đính kèm.
Quanh nội dung bí mật, LinkPilot có thêm tính năng thu hồi từ bảng điều khiển, tệp đính kèm, vai trò trong nhóm, và trong gói Pro có cụm mật khẩu trộn vào khóa giải mã cùng nhật ký kiểm tra. LinkPilot không có tự lưu trữ và không cho chọn khu vực lưu dữ liệu; trang giải pháp thay thế OneTimeSecret và bản so sánh đầy đủ cân nhắc những đánh đổi đó.