Tymczasowe udostępnianie plików: samozniszczalne linki

Samozniszczalny link do pliku to URL, który przestaje działać po upływie określonego czasu lub po określonej liczbie pobrań. Po wygaśnięciu linku plik jest usuwany z serwera i nie można go odzyskać. HexaTransfer domyślnie ustawia 14 dni, z opcją ręcznego usunięcia w dowolnym momencie. Firefox Send pozwalał na jedno pobranie (zamknięto w 2020 r.). Najbardziej restrykcyjna forma to dostarczenie jednorazowe w stylu Snapchata. Cel jest prosty: pliki, które nie muszą istnieć wiecznie, nie powinny.

Jak samozniszczenie działa po stronie serwera

Przy uploadzie usługa zapisuje plik wraz z rekordem podobnym do:

file_id: abc123
encrypted_blob: s3://bucket/abc123.bin
created_at: 2026-04-17T10:30:00Z
expires_at: 2026-05-01T10:30:00Z
max_downloads: null
download_count: 0

Zaplanowane zadanie (zwykle worker w stylu cron lub polityka cyklu życia obiektów w S3/R2) usuwa każdy plik po przekroczeniu expires_at. Gdy ktoś trafia do punktu końcowego pobierania, usługa dekrementuje max_downloads lub inkrementuje download_count i jeśli limity zostały przekroczone — odmawia dostępu lub wyzwala usunięcie. Reguły cyklu życia obiektów (AWS S3, Cloudflare R2, Backblaze B2) mogą to zautomatyzować bez kodu własnego.

Trzy strategie wygaśnięcia

Czasowe: link wygasa po N dniach. Proste, przewidywalne. Dobre dla scenariuszy „być może wyślę to znowu jutro". Domyślne ustawienie HexaTransfer.

Ilościowe: link wygasa po N pobraniach. Przydatne, gdy wiesz dokładnie, ilu odbiorców masz. Blokuje nadmierne udostępnianie — jeśli jedna osoba przekaże link, kolejna nie pobierze po przekroczeniu limitu.

Jednorazowe: jedno pobranie, po czym plik jest natychmiast usuwany. Najsilniejsza opcja. Odpowiednia dla haseł, tokenów, kluczy lub materiałów przed premierą. Narzędzia takie jak PrivateBin (dla tekstu) i Tresorit Send oferują ten tryb.

Można je łączyć: „wygaśnięcie po 7 dniach lub 3 pobraniach, cokolwiek nastąpi pierwsze" to pragmatyczny standard dla materiałów wrażliwych.

Kiedy tymczasowe udostępnianie naprawdę pomaga

Wysyłanie podpisanej umowy podczas negocjacji — nie ma potrzeby, żeby wersja robocza siedziała na Google Drive po zamknięciu.
Dostarczanie danych logowania lub kluczy API nowemu członkowi zespołu bez zostawiania ich w historii Slacka.
Udostępnianie przedpremierowego zdjęcia produktu pod NDA — link wygasa przed upływem daty embarga.
Przekazanie skanu medycznego specjaliście do drugiej opinii, gdy długoterminowa kopia nie jest potrzebna.
Przekazanie pliku licencji zakupionej w imieniu innej osoby.

Jeśli plik nie musi istnieć tydzień później, folder na Dysku to tylko gromadzenie odpowiedzialności.

Kiedy samozniszczenie nie pomaga

Samozniszczalne linki nie chronią przed:

Pobraniem i zapisaniem pliku przez odbiorcę. Gdy jest już na dysku, Twoje wygaśnięcie nic nie znaczy.
Zrzutami ekranu lub ponownym uploadem. Treści cyfrowe trywialnie się kopiuje.
Postępowaniem dowodowym. Jeśli jesteś pod nakazem zabezpieczenia dowodów, „link wygasł" nie jest obroną.
Logowaniem metadanych przez usługę (nazwa pliku, rozmiar, IP, znaczniki czasu) na czas nieokreślony.

Tymczasowe udostępnianie zmniejsza obszar ekspozycji przy przypadkowym długotrwałym dostępie (zapomniane linki, zindeksowane URL-e, stare e-maile). Nie powstrzymuje zdeterminowanego przeciwnika, który już pobrał plik.

Darmowe usługi z wbudowanym wygaśnięciem

Usługa	Domyślne wygaśnięcie	Najkrótsze ustawienie	Ręczne usunięcie
HexaTransfer	1–30 pełnych dni, domyślnie 14 dni	Usuń kiedy chcesz	Tak
WeTransfer	3 dni (bezpłatny)	3 dni	Tylko płatny
SwissTransfer	30 dni	1 dzień	Tak
Tresorit Send	7 dni	1 dzień	Tak
Dropbox Transfer	7 dni (bezpłatny)	1 dzień (płatny)	Tak
Proton Drive share	Konfigurowalne	Jednorazowe pobranie	Tak
Send Anywhere	48 godzin	10-minutowy szybki link	Tak

Jeśli 14 dni to dla Ciebie za długo, większość usług pozwala skrócić termin lub usunąć ręcznie. Rób jedno i drugie, gdy materiał jest wrażliwy.

Budowa linku: co zawiera URL

Typowy URL do tymczasowego pliku wygląda tak:

https://hexatransfer.com/d/abc123def456#key=XyZ987...

Część za /d/ to identyfikator bloba. Część za # to fragment URL, który pozostaje w przeglądarce i nie jest wysyłany do serwera. W usługach z szyfrowaniem end-to-end fragment zawiera klucz deszyfrujący. Serwer może wydać zaszyfrowany blob, ale tylko ktoś mający pełny URL (łącznie z fragmentem) może go odszyfrować.

Dlatego przypadkowe zalogowanie URL-a w logach serwera, historii chatu lub analityce jest niebezpieczne. Fragment to sekret.

Ochrona hasłem a wygaśnięcie

Rozwiązują różne problemy. Hasło dodaje drugi czynnik — nawet jeśli link wycieknie, jest bezużyteczny bez hasła. Wygaśnięcie skraca okno czasowe, w którym wyciek ma znaczenie. Używaj obu przy materiałach wysokiego ryzyka:

Wygaśnięcie: 7 dni, maks. 3 pobrania
Hasło: 16 losowych znaków, wysłane SMS-em osobno

Bez hasła wyciekły link to 404 dla każdego, kto zgaduje. Bez wygaśnięcia zapomniany link siedzi w archiwum e-mail wiecznie.

Samozniszczenie wiadomości a pliki

Znikające wiadomości Signala, tajne czaty Telegramu i jednorazowe zdjęcia Snapchata rozwiązują ten sam problem w innym kontekście. Polegają na kooperatywnym usuwaniu przez klientów po wyświetleniu — działa to przeciw przypadkowemu nadzorowi, ale nie przeciw odbiorcy robiącemu zrzut ekranu. Samozniszczalne linki do plików mają to samo ograniczenie — celem jest zmniejszenie powierzchni ekspozycji, nie powstrzymanie zdeterminowanego kopiowania.

Projektowanie własnej polityki retencji

Dla małego zespołu obsługującego wrażliwe transfery wybierz standard i trzymaj się go:

Domyślne wygaśnięcie: 7 dni.
Limit pobrań: dopasowany do liczby oczekiwanych odbiorców (zwykle 1–5).
Hasło: wymagane dla wszystkiego objętego regulacjami (dane osobowe, dane finansowe, dokumentacja medyczna).
Kanał udostępniania: nigdy ten sam co hasło.
Nawyk po wysłaniu: usuń ręcznie po potwierdzeniu odbioru.

Zrób z tego listę kontrolną. Pamięć mięśniowa to różnica między polityką stosowaną a tą istniejącą tylko na stronie wiki.

Wypróbuj na hexatransfer.com — bezpłatnie, bez konta, do 50 GB.