别再把密码打进聊天框——发一个链接就够了
你曾经在微信、Slack或邮件里发过的每一个密码，此刻依然原封不动地躺在某人的聊天记录和某人的云端备份里，清清楚楚地摆在那儿。One-Time Secret会在你的浏览器里把文字加密，藏进链接本身，留在聊天记录里的只是一串谁也读不懂的乱码。这整个过程里，压根没有任何服务器参与。
阅读本指南的其他语言: English · Español · Português · Bahasa Indonesia · Tiếng Việt · Français · Deutsch · Italiano · 日本語 · 中文 · 한국어 · ไทย · Filipino · हिन्दी · العربية
问题所在
分享一个秘密是日常琐事：给客人的Wi-Fi密码、给外包人员的管理员账号、给同事的API密钥、退款用的银行卡信息。于是你把它打进聊天框，从此它就一直留在那里：可被搜索，被自动备份，同步到一台你根本控制不了的电脑上，甚至一部被人随手拿起、还没锁屏的手机也能看见。大多数人都知道这样做不对，却还是照做不误，因为其他方案要求太多——对方没装的密码管理器、对方不肯装的加密App，或者一个你不得不去信任的「安全」网站，而你恰恰是想保护信息不被它看到。
One-Time Secret（加密链接传密码） 如何运作
- 输入这段秘密内容。在任何其他事情发生之前，它已经在你的浏览器里用AES-256-GCM加密完毕。
- 选择要多谨慎：用别的方式告诉对方的口令（默认开启），以及本页面何时隐藏它 — 打开后，或过一段时间后。
- 发出链接。对方打开并复制需要的内容。反过来，需要别人给你密码？用“索取”：对方会发回一个只有你的设备能打开的链接。打开永远免费，不需要账号。
你能得到什么
- 无需服务器，也能向别人索取秘密发出索取链接，回答会以链接的形式回来，用只存在于你浏览器里的密钥封存。删除这个索取，回复的每一份副本都无法再读取 — 真正的销毁，而不是一句承诺。
- 秘密藏在#号之后按照网络长久以来的设计惯例，URL里#号之后的所有内容，从不会被发送给网站服务器。加密后的秘密和它的密钥就藏在这个位置——这正是一个根本没有服务器的工具，依然能把秘密送到的原因。
- 聊天记录里不留任何可读内容留在微信、Slack或已发送邮件里的，只是一串看不懂的乱码。哪怕有人几个月后往回翻聊天记录，也找不到任何能用得上的东西。
- 加一个密语，让泄露的链接失去意义打开这个选项后，密钥会来自只有你和对方知道的一句话，这样即便链接被截获也毫无用处。可以打电话说出密语，再用短信发送链接。
- 或者干脆不用发送高级版可以把链接显示成二维码。举起手机，对方扫一下，秘密就传过去了，全程不经过任何网络。
从设计上保护隐私
这里没有服务器，没有账号，没有数据分析，也没有日志。我们没办法读取你的秘密，无法判断它是否已被打开，也无法找回它。这种设计带来一个值得坦诚说明的代价，因为同类工具大多都不会明说：没有服务器，就意味着确实没有任何东西能在第一次阅读后真正删除你的秘密。这里的「阅后即焚」实际做的是：在读者自己的浏览器里记下这个链接已经被打开过，并且拒绝在这台设备上再次显示。任何其他还持有这个链接的人——一条被转发的消息、另一部手机、一份备份——依然能打开它。像Privnote这类服务会把你的秘密保存在它们的服务器上再删除，从而真正实现只读一次的保证——那是一个真实的承诺，代价是它们的服务器上要保留你的秘密。我们选择了相反的取舍。如果你更需要「确保只读一次」而不是「确保数据不留在别人机器上」，请改用那一类服务；如果你需要即便链接被截获也毫无用处，请打开密语功能。
免费版与 Pro
更新内容
v2.0 · 2026-09-25
- 索取秘密：发一个索取链接，让别人把密码、PIN 码或银行账号发给你 — 只有你的浏览器能打开回复，全程没有服务器
- 收件箱：索取和回复都加密保存在这台设备上；删除一个索取，它所有回复的所有副本都将永远无法读取
- 口令现在默认开启，还有一个 🎲 按钮帮你生成强口令
- 说法更诚实：“阅后即焚”改为“打开后隐藏”，失效时间改为“多久后隐藏” — 页面只是隐藏秘密，无法销毁链接的副本
- 发送历史（只记名字、日期和设置）、“复制”旁边的分享按钮，并且应用已在标签页中打开时，链接也能正常打开
常见问题
One-Time Secret免费吗？
创建秘密链接免费，包括口令、“多久后隐藏”，以及同时最多 2 个未完成的索取。阅读永远免费，不需要账号。Pro 一次性 $1，增加二维码、一个链接里多个带名称的字段、给阅读者的留言，以及不限数量的索取。
秘密真的只能被读取一次吗？
严格来说并不是，我们更愿意实话实说。因为没有服务器，没有任何东西能真正删除你的秘密，所谓「焚毁」只是记录在读者的浏览器里，让这台设备无法再次打开它。任何还持有链接的人依然能打开。如果这个链接有可能落入不该看到它的人手里，请加上密语。
秘密会被发送到你们的服务器吗？
没有服务器。加密后的秘密存放在URL里#号之后的部分，浏览器从不会把这部分发送给网站服务器，加密和解密都在参与的两台设备上完成。我们从不会看到它，也没有任何办法看到。
为什么收到的链接是坏的？
有些聊天或邮件App会缩短、换行或重写很长的链接。请重新以纯文本形式发送，不要附带任何其他内容，或者改用二维码，让对方直接对着你的屏幕扫描。
怎样安全地请别人把密码发给我？
打开“索取”标签，写下你需要什么，把索取链接发出去。对方页面会用你链接里的公钥加密回答，所以对方发回的回复链接只能在发起索取的浏览器里打开 — 没有服务器，也不需要账号。想确认链接没被调包，就对比两边屏幕上的核对码。免费版同时保留 2 个未完成的索取；Pro 不设上限。
“多久后隐藏”到底做了什么？
它让页面在你选的时间过后，或在阅读者设备上打开过之后，不再显示秘密。这是一份体贴，不是一把锁：加密的秘密仍然在链接里，持有链接的人可以再次打开。让外泄链接失去作用的是口令 — 所以现在默认开启。