Bestanden tijdelijk online delen: zelfvernietigende links

Een zelfvernietigende bestandslink is een URL die stopt met werken na een ingestelde tijd of een ingesteld aantal downloads. Zodra de link verloopt, wordt het bestand van de server verwijderd en is het niet meer op te halen. HexaTransfer staat standaard op 14 dagen, met de mogelijkheid om op elk moment handmatig te verwijderen. Firefox Send gebruikte vroeger een vervaldatum van één download (de dienst sloot in 2020). Eenmalige levering in Snapchat-stijl is de strengste vorm. Het idee is eenvoudig: bestanden die niet eeuwig hoeven te bestaan, zouden dat ook niet moeten.

Hoe zelfvernietiging server-side werkt

Bij het uploaden slaat de dienst het bestand op met een record als:

file_id: abc123
encrypted_blob: s3://bucket/abc123.bin
created_at: 2026-04-17T10:30:00Z
expires_at: 2026-05-01T10:30:00Z
max_downloads: null
download_count: 0

Een geplande taak (een cron-worker of een object-lifecycle-policy in S3/R2) verwijdert elke blob voorbij expires_at. Wanneer iemand downloadt, verhoogt de dienst download_count of verlaagt max_downloads; bij overschrijding weigert het de dienst of triggert het verwijdering. Lifecycle-regels van objectopslag (AWS S3, Cloudflare R2, Backblaze B2) automatiseren dit zonder eigen code.

Drie vervalstrategieën

Tijdgebaseerd: link stopt na N dagen. Eenvoudig en voorspelbaar. Prima voor "ik stuur dit misschien morgen opnieuw"-scenario's. Standaard bij HexaTransfer.

Aantalgebaseerd: link stopt na N downloads. Handig als je precies weet hoeveel ontvangers er zijn. Blokkeert overmatig doorsturen — als één persoon doorstuurt, kan de volgende na de limiet niet meer downloaden.

Eenmalig: één download, dan direct gewist. Het sterkste mechanisme. Geschikt voor wachtwoorden, tokens, sleutels of pre-releasemateriaal. Tools als PrivateBin (voor tekst) en Tresorit Send bieden dit.

Combineer ze: "verloopt na 7 dagen of 3 downloads, wat het eerst komt" is een pragmatisch uitgangspunt voor gevoelig materiaal.

Wanneer tijdelijk delen echt helpt

• Een ondertekend contract heen en weer sturen tijdens onderhandelingen — het concept hoeft na afsluiting niet op Google Drive te blijven.
• Inloggegevens of API-sleutels bezorgen aan een nieuw teamlid zonder dat ze voor altijd in de Slack-geschiedenis hangen.
• Een pre-release productfoto delen onder NDA — de link verloopt vóór de embargodatum verstrijkt.
• Een medische scan doorgeven aan een specialist voor een second opinion, zonder langetermijnkopie nodig te hebben.
• Een licentiebestand cadeau doen dat namens iemand anders is gekocht.

Als het bestand een week later niet meer nodig is, bouwt een permanente Drive-map alleen maar onnodige risico's op.

Wanneer het niet helpt

Zelfvernietigende links beschermen niet tegen:

• De ontvanger die het bestand downloadt en bewaart. Eenmaal op zijn schijf betekent jouw vervaldatum niets meer.
• Screenshots of re-uploads. Digitale content is triviaal te kopiëren.
• Juridische bewijsgaring. Als je een litigation hold hebt, is "de link is verlopen" geen verweer.
• De dienst zelf die metadata logt (bestandsnaam, grootte, IP, tijdstempels) voor onbepaalde tijd.

Tijdelijk delen verkleint de impact van onbedoelde langetermijnblootstelling (vergeten links, geïndexeerde URL's, oude e-mails). Het houdt een vastberaden tegenstander die het bestand al heeft gedownload niet tegen.

Gratis diensten met ingebouwde vervaldatum

| Dienst | Standaard vervaldatum | Kortste instelling | Handmatig verwijderen? | |---|---|---|---| | HexaTransfer | 14 dagen | Altijd verwijderbaar | Ja | | WeTransfer | 3 dagen (gratis) | 3 dagen | Alleen betaald | | SwissTransfer | 30 dagen | 1 dag | Ja | | Tresorit Send | 7 dagen | 1 dag | Ja | | Dropbox Transfer | 7 dagen (gratis) | 1 dag (betaald) | Ja | | Proton Drive Share | Configureerbaar | Één download | Ja | | Send Anywhere | 48 uur | 10 minuten quick share | Ja |

Is 14 dagen te lang voor jouw situatie, dan laten de meeste diensten je het inkorten of handmatig verwijderen. Doe bij gevoelig materiaal allebei.

Opbouw van de link: wat staat er in de URL

Een typische URL voor een tijdelijk bestand ziet er zo uit:

https://hexatransfer.com/d/abc123def456#key=XyZ987...

Het deel na /d/ is de blob-identifier. Het deel na # is het URL-fragment dat in de browser blijft en niet naar de server wordt gestuurd. Bij end-to-end versleutelde diensten draagt het fragment de ontsleutelingssleutel. De server geeft de versleutelde blob uit; alleen iemand met de volledige URL (inclusief fragment) kan ontsleutelen.

Daarom is het gevaarlijk om de URL per ongeluk in serverlogs, chatgeschiedenissen of analytics te loggen. Het fragment is het geheim.

Wachtwoordbeveiliging versus vervaldatum

Deze lossen verschillende problemen op. Een wachtwoord voegt een tweede factor toe — ook als de link lekt, is die zonder wachtwoord nutteloos. Een vervaldatum verkleint het tijdvenster waarin een lek schade aanricht. Gebruik beide voor materiaal met hoge inzet:

• Vervaldatum: 7 dagen, max 3 downloads
• Wachtwoord: 16 willekeurige tekens, apart verstuurd via sms

Zonder wachtwoord is een gelekte link een 404 voor elke gokker. Zonder vervaldatum blijft een vergeten link voor altijd in een e-mailarchief staan.

Zelfvernietiging voor berichten versus bestanden

Verdwijnende berichten in Signal, Telegram-geheime chats en Snap's view-once-foto's lossen hetzelfde probleem op in een andere context. Ze steunen op clients die na weergave coöperatief verwijderen, wat werkt bij terloops toezicht maar niet bij een ontvanger die screenshots maakt. Zelfvernietigende bestandslinks hebben dezelfde beperking — het doel is het aanvalsoppervlak verkleinen, niet vastberaden kopiëren voorkomen.

Je eigen bewaarbeleid opstellen

Voor een klein team met gevoelige overdrachten: kies een standaard en houd je eraan:

• Standaard vervaldatum: 7 dagen.
• Downloadlimiet: gelijk aan het aantal verwachte ontvangers (meestal 1-5).
• Wachtwoord: verplicht voor alles wat gereguleerd is (persoonsgegevens, AVG, financiële dossiers).
• Deelkanaal: nooit hetzelfde kanaal als het wachtwoord.
• Gewoonte na verzending: handmatig verwijderen zodra ontvangst bevestigd is.

Maak er een checklist van. Spiergeheugen is het verschil tussen beleid dat gevolgd wordt en beleid dat alleen op een wikipagina staat.

Probeer het op hexatransfer.com — gratis, zonder account, tot 10 GB.