Временный обмен файлами: самоуничтожающиеся ссылки

Самоуничтожающаяся ссылка на файл — это URL, который перестаёт работать по истечении установленного времени или после заданного числа скачиваний. Когда ссылка истекает, файл удаляется с сервера без возможности восстановления. HexaTransfer по умолчанию устанавливает срок 14 дней с возможностью удалить вручную в любой момент. Firefox Send прежде предлагал истечение после одного скачивания (закрылся в 2020 году). Доставка «один раз — и только» в стиле Snapchat — самая строгая форма. Смысл прост: файлы, которым незачем существовать вечно, не должны.

Как самоуничтожение работает на стороне сервера

При загрузке файла сервис создаёт запись примерно такого вида:

file_id: abc123
encrypted_blob: s3://bucket/abc123.bin
created_at: 2026-04-17T10:30:00Z
expires_at: 2026-05-01T10:30:00Z
max_downloads: null
download_count: 0

Планировщик (часто cron-задача или политика жизненного цикла объектов в S3/R2) удаляет любой blob, у которого прошёл expires_at. При обращении к эндпоинту скачивания сервис уменьшает max_downloads или увеличивает download_count и, если лимит достигнут, либо отказывает, либо запускает удаление. Правила жизненного цикла объектных хранилищ (AWS S3, Cloudflare R2, Backblaze B2) позволяют автоматизировать это без кастомного кода.

Три стратегии истечения

По времени: ссылка умирает через N дней. Просто и предсказуемо. Подходит для сценариев «возможно, завтра отправлю снова». Используется HexaTransfer по умолчанию.

По количеству скачиваний: ссылка умирает после N скачиваний. Полезно, когда вы точно знаете число получателей. Блокирует распространение — если один человек переслал ссылку, следующий не сможет скачать после исчерпания лимита.

Одноразовая: одно скачивание, затем blob немедленно удаляется. Самый строгий вариант. Подходит для паролей, токенов, ключей или предрелизных материалов. Такие инструменты, как PrivateBin (для текста) и Tresorit Send, предлагают это.

Комбинируйте: «истечение через 7 дней или 3 скачивания, что наступит раньше» — практичный дефолт для чувствительного материала.

Когда временный обмен реально помогает

Отправка подписанного договора в процессе переговоров — нет нужды, чтобы черновик лежал в Google Drive после закрытия сделки.
Передача учётных данных или API-ключей новому сотруднику без накопления в истории Slack.
Предрелизный продуктовый снимок под NDA — ссылка умирает раньше даты эмбарго.
Медицинский скан специалисту для второго мнения, долгосрочная копия не нужна.
Файл лицензии, приобретённый за чужой счёт.

Если файлу не нужно существовать через неделю, постоянная папка Drive — просто накапливающаяся ответственность.

Когда это не помогает

Самоуничтожающиеся ссылки не защищают от:

Скачивания и сохранения получателем. Файл уже на его диске — ваш срок истечения ничего не значит.
Скриншотов и повторных загрузок. Цифровой контент тривиально копируется.
Судебного раскрытия. «Ссылка истекла» не является защитой при судебном разбирательстве.
Бессрочного хранения метаданных сервисом (имя файла, размер, IP, временны́е метки).

Временный обмен сокращает площадь атаки при случайном «долгохвостовом» раскрытии (забытые ссылки, индексированные URL, старые письма). От целенаправленного противника, уже скачавшего файл, это не защищает.

Бесплатные сервисы со встроенным истечением

| Сервис | Срок по умолчанию | Минимальный срок | Ручное удаление? | |---|---|---|---| | HexaTransfer | 14 дней | Удаление в любой момент | Да | | WeTransfer | 3 дня (бесплатно) | 3 дня | Только платно | | SwissTransfer | 30 дней | 1 день | Да | | Tresorit Send | 7 дней | 1 день | Да | | Dropbox Transfer | 7 дней (бесплатно) | 1 день (платно) | Да | | Proton Drive | Настраивается | Одно скачивание | Да | | Send Anywhere | 48 часов | 10-минутный быстрый обмен | Да |

Если 14 дней слишком много для вашей ситуации, большинство сервисов позволяют сократить срок или удалить вручную. Делайте и то, и другое, когда материал чувствителен.

Структура ссылки: что в ней содержится

Типичный URL с временным файлом выглядит так:

https://hexatransfer.com/d/abc123def456#key=XyZ987...

Часть после /d/ — идентификатор blob. Часть после # — фрагмент URL, который остаётся в браузере и не передаётся на сервер. В сервисах со сквозным шифрованием фрагмент несёт ключ расшифровки. Сервер может выдать зашифрованный blob; расшифровать его может только тот, у кого есть полный URL вместе с фрагментом.

Именно поэтому случайное попадание URL в серверные логи, историю чата или аналитику опасно. Фрагмент — это секрет.

Парольная защита vs истечение срока

Они решают разные задачи. Пароль добавляет второй фактор — даже если ссылка утекла, без пароля она бесполезна. Срок истечения сужает временно́е окно, в течение которого утечка может навредить. Используйте оба механизма для высокозначимого материала:

Срок: 7 дней, максимум 3 скачивания
Пароль: 16 случайных символов, отправленный по SMS отдельно

Без пароля утекшая ссылка возвращает 404 любому подбирателю. Без истечения забытая ссылка вечно лежит в архиве почты.

Самоуничтожение для сообщений vs файлов

Исчезающие сообщения Signal, секретные чаты Telegram и просмотр-один-раз в Snap решают ту же задачу в другом контексте. Они полагаются на кооперативное удаление клиентами после показа — что работает против случайного просмотра, но не против скриншотов. Самоуничтожающиеся ссылки на файлы имеют то же ограничение: цель — уменьшение поверхности атаки, а не предотвращение целенаправленного копирования.

Формирование собственной политики хранения

Для небольшой команды, работающей с чувствительными передачами, выберите дефолт и придерживайтесь его:

Срок по умолчанию: 7 дней.
Лимит скачиваний: соответствует числу ожидаемых получателей (обычно 1–5).
Пароль: обязателен для всего регулируемого (PHI, PII, финансовая документация).
Канал передачи: никогда не тот же, что и канал пароля.
Привычка после отправки: удалять вручную, получив подтверждение о получении.

Сделайте из этого чеклист. Мышечная память — разница между политикой, которой следуют, и той, что живёт только на вики-странице.

Попробуйте на hexatransfer.com — бесплатно, без регистрации, до 10 ГБ.