Ein Geheimnis teilen. Einmal.
Passwörter und Schlüssel gehören nicht in Chat oder Mail. Schick sie als Link, der genau einmal funktioniert, oder bitte jemanden, dir eins zu schicken. Dein Browser verschlüsselt, unser Server sieht nur Chiffretext.
Selbst betreiben mit eigenem Login-Anbieter. Empfänger brauchen nie ein Konto.
Geheimnisse reisen durch die unsichersten Orte.
Ein Passwort im Chat bleibt in der Chat-Historie, im Postfach, in Backups und in jedem Suchindex, meist jahrelang. Die meisten Lecks sind keine Hacks, sondern alte Nachrichten.
Chat oder Mail
- Wie lange es bleibtJahrelang, durchsuchbar
- Wer es lesen kannJeder mit Zugriff auf Postfach, Workspace oder Backups
- Wenn es weitergeleitet wirdEs verbreitet sich, ohne dass du es merkst
- Was der Anbieter siehtKlartext auf seinen Servern
- Wenn jemand anderes es geöffnet hatDu erfährst es nicht
- AufräumenVon Hand, meist vergessen
- Wie lange es bleibtNach dem ersten Anzeigen gelöscht
- Wer es lesen kannNur wer den Link zuerst öffnet
- Wenn es weitergeleitet wirdEine Kopie ist nutzlos, der Link gilt einmal
- Was der Anbieter siehtChiffretext, nie den Schlüssel
- Wenn jemand anderes es geöffnet hatDer Link ist verbraucht, so merkst du es
- AufräumenAutomatisch, inklusive Ablauf
Drei Schritte. Wer es empfängt, braucht kein Konto.
Verschlüsselt wird bei dir im Browser. Der Server sieht nie etwas Lesbares, und nach dem ersten Öffnen ist alles weg.
- Schritt 1
Im Browser verschlüsseln
Dein Browser erzeugt einen zufälligen Schlüssel und verschlüsselt den Text mit AES-256-GCM, bevor etwas dein Gerät verlässt.
Du schreibst dein Geheimnis in das Formular und wählst die Laufzeit, zwischen einer Minute und sieben Tagen. Auf Wunsch setzt du ein Passwort. Alles, was dafür nötig ist, läuft in deinem Browser. Erst danach geht etwas an den Server, und zwar nur der verschlüsselte Text.
- Für jedes Geheimnis ein neuer, zufälliger Schlüssel
- Verschlüsselt mit AES-256-GCM, direkt im Browser
- Laufzeit von einer Minute bis sieben Tage
- Schritt 2
Link teilen
Der Server speichert nur den Chiffretext. Der Schlüssel hängt hinter einem # am Link, und Browser senden diesen Teil nie an einen Server.
Du bekommst einen Link, der aus drei Teilen besteht: der Adresse, der Kennung des Geheimnisses und hinter dem # dem Schlüssel. Den Link schickst du über einen beliebigen Kanal, zum Beispiel per Chat, Mail oder Ticket. Der Server sieht nur die Adresse und die Kennung, nie den Teil hinter dem #.
- Der Server kennt nur Adresse und Kennung
- Der Schlüssel steht hinter dem #
- Browser senden diesen Teil nie ab
- Schritt 3
Einmal öffnen, dann weg
Das erste Anzeigen liefert den Chiffretext und löscht ihn im selben Schritt. Der Browser des Empfängers entschlüsselt ihn mit dem Schlüssel aus dem Link.
Wer den Link öffnet, braucht kein Konto. Beim ersten Aufruf holt der Browser den Chiffretext, der Server löscht ihn im selben Schritt, und der Browser entschlüsselt ihn lokal. Öffnet danach jemand den Link erneut, ist nichts mehr da. Wird er nie geöffnet, löscht der Server das Geheimnis zum Ablauf.
- Der Empfänger braucht kein Konto
- Beim ersten Anzeigen gelöscht
- Sonst gelöscht zum Ablauf
Der Schlüssel steht hinter dem #.
Eine Webadresse hat Teile. Alles bis zum # geht an den Server, wenn du den Link öffnest. Alles nach dem # bleibt per Definition im Browser. ExoSeal legt den Schlüssel dorthin, deshalb kann der Server das Geheimnis speichern, aber nie lesen.
seal.example.comServerWohin die Anfrage geht./s/3f9c1e7a-4b2d-4c8eGeheimnis-IDFindet den Chiffretext. Zufällig und nicht erratbar.#Zk4q9XvT2mLw0Pz3SchlüsselBleibt im Browser. Wird nie übertragen.
Wo ExoSeal dir wirklich hilft.
Überall, wo ein Passwort sonst im Chat landen würde.
ExoSeal passt zu allem, was nur eine Person lesen soll und danach nicht mehr existieren muss: Zugangsdaten, API-Schlüssel, Wiederherstellungscodes, Vertragsdetails. Such dir einen Fall aus und sieh, wie der Ablauf aussieht.
Zugang für Freelancer
Schick den Server-Login einmal, ohne dass er für immer im Projekt-Chat liegt.
- DuLogin einfügen, Laufzeit wählen, optional ein Passwort setzen.
- LinkDen Link per Chat schicken, das Passwort getrennt.
- GegenüberÖffnet ihn einmal und kopiert den Login. Danach ist er gelöscht.
Zwei Wege, ein Geheimnis zu teilen.
Ein Geheimnis senden, das du hast, oder eins anfragen, das du brauchst.
Senden
Du hast ein Geheimnis und jemand braucht es. Einfügen, Laufzeit wählen, optional ein Passwort, Link teilen.
Anmelden und sendenAnfragen
Jemand hat ein Geheimnis, das du brauchst. Schick einen Anfrage-Link: Die Person antwortet im Browser, du öffnest die Antwort mit deiner Passphrase.
Anmelden und anfragenWas der Server wirklich sieht.
Nichts in lesbarer Form. Hier die vollständige Liste.
Alles davon lässt sich im Quellcode nachlesen. ExoSeal ist Open Source unter AGPL-3.0, und du kannst es auf deinem eigenen Server betreiben, dann siehst nur du, was auf dem Server liegt.
sieht
Chiffretext. Dein Geheimnis oder deine Antwort, ohne den Schlüssel nicht lesbar.
Deine Frage. Im Klartext, weil der Empfänger sie lesen muss.
Name und Mail. Nur bei Anfragen, die du erstellst, um deinen Namen zu zeigen und dich zu benachrichtigen.
Wer wann sendet. Deine Anbieter-ID sowie Zeit, Laufzeit und Status jedes gesendeten Links, damit du ihn unter "Gesendet" siehst. Den Empfänger kennt er nie.
sieht nie
Den Schlüssel. Er steht im Teil des Links nach dem # und in deiner Passphrase.
Deine IP-Adresse. Die Anwendung speichert oder protokolliert sie nie. Die Begrenzung nutzt einen Hash mit Schlüssel, der nach einer Minute verfällt.
Inhalte der Benachrichtigungen. Mail und Webhook sagen nur, dass eine Antwort da ist, nie was drinsteht.
Wer deinen Link öffnet. Der Server weiß nie, wer einen Link bekommt oder öffnet.
Was wir dir nicht versprechen können.
Ehrliche Grenzen, denn Vertrauen braucht sie. Kein Werkzeug schützt vor allem, deshalb sagen wir dir vorher, wo ExoSeal endet.
Ein kompromittierter Server
Ein gehackter Server könnte veränderten Code ausliefern. Deshalb ist ExoSeal Open Source und selbst hostbar. Bei sehr hohem Einsatz nimm ein natives Werkzeug wie age oder GPG.
Ein geleakter vollständiger Link
Wer den ganzen Link vor dem Empfänger bekommt, öffnet zuerst. Du siehst dann, dass er verbraucht ist.
Eine schwache Passphrase
Bei Anfragen liegt der verpackte Private Key verschlüsselt auf dem Server. Eine kurze Passphrase ließe sich bei einem Datenbank-Leak offline erraten. Nimm einen langen Satz.
Eine vergessene Passphrase
Es gibt keine Wiederherstellung. Die Antwort ist weg.
Prüfbar statt nur versprochen.
Wir bitten dich nicht, uns zu glauben. Der Code ist offen, die Verschlüsselung läuft in deinem Browser, und du kannst jede Aussage auf dieser Seite selbst nachprüfen.
Fragen, die wir oft hören.
Kurze, ehrliche Antworten zu Sicherheit, Benutzung und Betrieb. Mehr findest du auf der FAQ-Seite.
01Kann ExoSeal meine Geheimnisse lesen?
Nein. Sie werden in deinem Browser mit einem Schlüssel verschlüsselt, der im Teil des Links nach dem # bleibt. Browser senden diesen Teil nie an einen Server.
02Was, wenn jemand anderes den Link zuerst öffnet?
Dann ist es für den vorgesehenen Empfänger weg, und er sieht, dass der Link verbraucht ist. Behandle das Geheimnis als kompromittiert, ändere es und schick ein neues. Unter "Gesendet" siehst du, ob und wann ein Link geöffnet wurde.
03Warum muss ich mich zum Senden anmelden?
Damit Fremde diesen Server nicht als kostenloses Relais nutzen. Empfänger und Personen, die eine Anfrage beantworten, brauchen nie ein Konto.
04Trackt ihr Besucher?
Keine Cookies für Besucher, keine Analyse, keine externen Ressourcen, und unsere Anwendung speichert und protokolliert keine IP-Adressen.
05Wie lange lebt ein Geheimnis?
Du wählst eine Stunde, einen Tag oder sieben Tage. Das Geheimnis wird beim ersten Anzeigen, bei Ablauf oder wenn du den Link zurückziehst gelöscht, je nachdem was zuerst kommt.
06Kann ich es selbst betreiben?
Ja. ExoSeal ist Open Source unter AGPL-3.0 und läuft mit einer docker-compose-Datei und deinem eigenen Login-Anbieter.
Bereit für dein erstes Geheimnis?
ExoSeal ist Open Source unter AGPL-3.0. Betreib es selbst mit einer docker-compose-Datei und deinem eigenen Login-Anbieter.