@hackallcode

• Шифрование в вашем браузере. Текст шифруется алгоритмом AES-GCM с 256-битным ключом ещё до отправки. Ключ создаётся случайно в браузере и на сервер не уходит.
• Ключ живёт только в ссылке. Он стоит после «#», а эту часть адреса браузер никогда не передаёт серверу. На сервере хранится только зашифрованный текст — без ссылки его не прочитать, в том числе нам.
• Открыть можно один раз. После нажатия «Показать секрет» он сразу удаляется с сервера. Если получатель видит «Секрет уже открыт», значит, ссылку открыл кто-то другой — считайте секрет скомпрометированным.
• Ограниченный срок жизни. Неоткрытый секрет удаляется по истечении выбранного срока, максимум через 7 дней.
• Превью ссылок не сжигают секрет. Мессенджеры и почта, которые заранее открывают ссылки, видят только страницу с кнопкой — секрет выдаётся лишь по нажатию.
• Ничего лишнего на странице. Нет счётчиков и сторонних скриптов, браузеру запрещено загружать что-либо кроме кода этого сайта и передавать адрес страницы другим сайтам.
• Не храним ваш IP. Для ограничения числа секретов сохраняется только его необратимый хеш, и только на сутки.

Важно: прочитать секрет может любой, у кого есть ссылка целиком. Передавайте её по надёжному каналу и не пересылайте в открытые чаты.

Агент может передать человеку пароль или токен, не печатая его в чат: создать одноразовую ссылку одним запросом и отправить только её.

curl -s https://secret.hackallcode.ru/api/secrets \
  -H 'Content-Type: application/json' \
  -d '{"secret": "текст", "ttl": 86400}'

Это та же ручка, что использует форма, только вместо шифротекста передаётся сам текст — его шифрует сервер, а в ответе приходит готовая ссылка url. Если агент умеет выполнять код, лучше шифровать на своей стороне — тогда сервер не видит секрет вовсе. Полная инструкция: llms.txt.