Anleitung · Erstellen und teilen
Einen Kurzlink mit einem Passwort schützen
Ein Link für eine kleine Gruppe — ein Dokument, eine Preisliste, ein Entwurf — kann vor allem Zeigen ein Passwort verlangen. Diese Anleitung erklärt, was das Schloss schützt, wie hier ein gutes Passwort aussieht und was es nicht tut.
Was das Schloss tut
Ein geschützter Link öffnet eine Seite, die das Passwort verlangt und nichts sonst. Das Ziel, sein Titel und seine Adresse bleiben verborgen, bis das richtige Passwort abgeschickt ist; ein falsches gibt einen Fehler und wieder das Tor. Die Prüfung ist ein POST an den /unlock-Pfad des Links — ein Formular, kein URL-Parameter, sodass das Passwort nie in der Adressleiste, einer Protokollzeile oder einem Teilen-Blatt landet (RFC 3986 reserviert den userinfo-Teil eines URI für Zugangsdaten, und dieser Dienst lehnt Links ab, die eine verstecken; ein Passwort im Query-String ist derselbe Fehler in moderner Kleidung).
Wie hier ein gutes Passwort aussieht
NIST SP 800-63B verlangt, Passwörter an Länge und Leaking-Listen statt an Kompositionsregeln zu messen. Der Rat, der im Kontext eines geteilten Links überlebt: lang, eine Phrase, über einen anderen Kanal geteilt als der Link — eine Nachricht sagt den Link, ein Anruf das Passwort.
- Vier Wörter schlagen ein Wort und drei Symbole.
- Groß- und Kleinschreibung zählt: das Tor sagt es, bevor jemand tippt.
- Wird er geleckt: den Link neu anlegen, um es zu ändern; der alte stirbt zu seiner Frist, wie immer.
Was das Schloss nicht tut
Es ist ein geteiltes Passwort, keine Konten: wer es hat, kommt durch, und zwei Halter unterscheidet es nicht. Die Ratenbegrenzung verlangsamt das Raten von einer Adresse, und ein Angreifer mit einer Million Versuchen gegen eine Vier-Wort-Phrase ist dasselbe Problem, das NIST außer Reichweite schätzt. Was vertraulich sein muss und nicht nur unerwähnt, geht über einen verschlüsselnden Kanal; dieses Tor ist die Tür davor.
Fragen
Wo stelle ich das Passwort ein?
Unter Weitere Optionen auf der Startseite, im Passwortfeld. Kostenlose und Premium-Links können eines tragen.
Reist das Passwort in der URL mit?
Nein. Das Entsperren ist ein Formular-POST; die Adresse trägt das Passwort nie.
Können mehrere dieselbe geschützte Link-Adresse nutzen?
Ja. Das Passwort ist geteilt, nicht persönlich: alle, die es haben, öffnen den Link.
Was passiert mit einem geschützten Link, wenn er abläuft?
Er läuft ab wie jeder andere: die Tor-Seite meldet den Ablauf, statt das Passwort zu verlangen.
Quellen
Die Dokumente, auf denen die Aussagen dieser Anleitung ruhen. Jeder Link öffnet in einer neuen Seite.