Текст шифруется прямо в браузере и целиком помещается в ссылку. Сервер не получает ни записку, ни ключ — хранить нечего.
Расшифровка происходит только на этом устройстве. После открытия ссылка исчезнет из адресной строки.
Записка зашифрована. Нажмите, чтобы открыть её на этом устройстве.
Нажмите на текст, чтобы спрятать его от посторонних глаз.
AES-256-GCM средствами браузера. Ключ рождается на вашем устройстве.
Шифр и ключ — после знака #. Эта часть адреса не уходит на сервер.
Получатель открывает ссылку — записка расшифровывается у него локально.
Нигде, кроме самой ссылки. У нас нет базы записок: страница — обычный статический файл, а часть адреса после # браузер не передаёт серверу.
Одноразовые записки требуют сервера, который хранит их до первого открытия. Мы сознательно ничего не храним — поэтому записка живёт, пока жива ссылка. Нужно «сжечь» — удалите сообщение со ссылкой из переписки.
Без пароля ключ лежит в ссылке, и прочитать записку может любой, у кого она есть. С паролем ключ выводится из него (PBKDF2, 600 000 итераций) — ссылка без пароля бесполезна. Передайте пароль другим каналом.
До 20 000 символов. Текст сжимается перед шифрованием, но очень длинная ссылка может не пролезть в некоторые мессенджеры — для них держите записку покороче.
Откройте исходный код страницы — весь код в одном файле, без внешних скриптов, шрифтов и счётчиков. Политика безопасности страницы вообще запрещает ей сетевые запросы, а вкладка «Сеть» в инструментах разработчика покажет, что их нет.