Link z hasłem i datą ważności: jak chronić to, co udostępniasz

Link z hasłem i datą ważności przestaje działać w wybranym przez Ciebie dniu, więc pliki są dostępne tylko tak długo, jak odbiorca ich potrzebuje. W połączeniu z hasłem przekazanym innym kanałem i, tam gdzie to możliwe, limitem pobrań zamienia link, który każdy mógłby przekazać dalej, w dostęp ograniczony w czasie, do konkretnych osób i do określonej liczby użyć.

Większość wpadek z udostępnianiem to nie włamania. To stare linki: folder udostępniony „każdej osobie mającej link” kilka lat temu, link do zleconych materiałów przekazany przez klienta koledze, adres wklejony na publicznym kanale. Ten poradnik wyjaśnia, jak dobrać datę ważności, hasło i limit pobrań, zgodnie z aktualnymi zaleceniami CERT Polska i NIST, oraz co zrobić, gdy link trafił tam, gdzie nie powinien.

Dlaczego link powinien mieć datę ważności?

• Linki wędrują. E-maile są przekazywane dalej, z czatów robi się zrzuty ekranu, do narzędzi projektowych dochodzą nowe osoby.
• Ludzie zapominają. Nikt nie przegląda udostępnień, które utworzył trzy lata temu.
• Wymaga tego ochrona danych. Zasada ograniczenia przechowywania z RODO (art. 5 ust. 1 lit. e) mówi, że danych osobowych nie przechowuje się dłużej, niż to niezbędne; link, który wygasa po zakończeniu sprawy, to najprostszy sposób, by ją stosować. Zobacz przesyłanie plików a RODO.
• Mniejsze ryzyko. Jeśli link wycieknie po wygaśnięciu, prowadzi donikąd.

Jak długo powinien działać link do plików?

W Transfr darmowy plan pozwala wybrać 1, 3, 5 lub 7 dni, a Pro dodaje 15, 30 i 60 dni. Jeśli jesteś zalogowany, możesz zmienić datę ważności już po wysłaniu, na przykład przedłużyć ją klientowi, który był na urlopie.

Jakie hasło do linku jest dobre?

CERT Polska, zespół reagowania na incydenty działający w NASK, w czerwcu 2025 roku zaktualizował swoje rekomendacje dla systemów uwierzytelniania, a w poradach dla użytkowników mówi wprost, jak budować hasła. Te zasady dobrze pasują też do haseł do linków (stan na październik 2026):

• Długość ważniejsza niż złożoność: co najmniej 14 znaków. Zamiast wymuszać cyfry, duże litery i znaki specjalne, CERT Polska zaleca frazy z kilku słów, łatwe do zapamiętania, a trudne do złamania, na przykład w stylu „NaKolacjeZjemZielonePomidory”.
• Różne hasła do różnych usług: jedno wykradzione hasło nie powinno otwierać niczego innego.
• Menedżer haseł: CERT Polska poleca menedżery haseł, także te wbudowane w przeglądarkę lub telefon, a systemy nie powinny blokować wklejania hasła.
• Bez wymuszonej okresowej zmiany: zmiana ma sens wtedy, gdy hasło mogło wyciec.

Podobnie myśli amerykański NIST w wytycznych SP 800-63B-4 z lipca 2025 roku: wymaga co najmniej 15 znaków dla hasła używanego samodzielnie, zabrania narzucania reguł typu „jedna cyfra i jedna wielka litera” i każe sprawdzać nowe hasła z listami popularnych i wykradzionych haseł. Brytyjskie NCSC, które poleca hasła z trzech losowych słów, dodaje, że zamiana liter na podobne znaki (o na 0) nie czyni hasła wyraźnie silniejszym. Przy haśle do linku, które i tak wkleisz, najlepszy jest długi losowy ciąg z menedżera haseł.

Limit pobrań: zamknij drzwi po użyciu

Limit pobrań sprawia, że link przestaje działać po określonej liczbie pobrań. Ustaw go na liczbę osób, które mają dostać pliki, ewentualnie plus jedno na ponowną próbę, a przekazany dalej link szybko stanie się bezużyteczny. W Transfr limit pobrań jest darmowy, można go ustawić od 1 do 1000 albo zostawić bez limitu i zmienić po wysłaniu.

Hasło, data ważności, limit pobrań czy szyfrowanie end-to-end?

Warstwy się sumują. Przy rutynowych wysyłkach wystarczy data ważności. Przy danych osobowych lub poufnych połącz krótką ważność, hasło, limit pobrań i szyfrowanie end-to-end. Wszystkie cztery są dostępne w darmowym planie Transfr.

Link z hasłem i datą ważności w popularnych serwisach

Wniosek jest prosty: serwisy do transferu domyślnie wygasają, a dyski w chmurze nie. Jeśli udostępniasz z Dysku Google, OneDrive albo Dropboxa, ustaw sobie przypomnienie w kalendarzu, żeby odebrać dostęp, albo do jednorazowych wysyłek używaj transferu. Więcej w porównaniu Google Drive czy WeTransfer i w zestawieniu najlepszych stron do wysyłania dużych plików.

Data ważności także przy odbieraniu plików

Ta sama logika dotyczy zbierania plików. Link do przesyłania plików, który działa bez końca, może przyjmować pliki długo po zakończeniu projektu, czasem od osób, do których nie był skierowany. Ustaw prośbie o pliki datę końcową albo maksymalną liczbę przesłań, a przy wrażliwych dokumentach dodaj hasło. Zobacz, jak odbierać pliki od klientów.

Jak zabezpieczyć link hasłem w Transfr?

1. 1

   Krok 1

   Dodaj pliki

   Otwórz Transfr i dodaj pliki lub foldery, za darmo do 100 GB na transfer.

2. 2

   Krok 2

   Otwórz ustawienia transferu

   Wybierz datę ważności (od 1 do 7 dni za darmo, do 60 dni w Pro).

3. 3

   Krok 3

   Dodaj hasło

   Użyj długiej frazy albo losowego hasła z menedżera haseł.

4. 4

   Krok 4

   Ustaw limit pobrań

   Dopasuj go do liczby odbiorców.

5. 5

   Krok 5

   Wyślij i przekaż hasło osobno

   Wyślij link e-mailem albo go skopiuj, a hasło podaj innym kanałem.

Więcej o samej funkcji przeczytasz na stronie o wysyłaniu plików z hasłem, a jeśli chcesz wiedzieć, kto i kiedy otworzył link, zajrzyj na stronę o śledzeniu pobrań.

Link trafił do niewłaściwej osoby: co teraz?

1. Natychmiast odbierz dostęp: usuń transfer, skróć jego ważność albo zmień hasło. W Transfr zalogowani nadawcy zrobią to w swoim panelu.
2. Sprawdź pobrania: jeśli miałeś włączone powiadomienia lub Send & Track, zobacz, czy i kiedy pliki zostały pobrane.
3. Oceń zawartość: jeśli ujawniono dane osobowe, Twoja organizacja może mieć obowiązki wynikające z RODO, w tym zgłoszenie naruszenia Prezesowi UODO w ciągu 72 godzin, gdy istnieje ryzyko dla osób (art. 33).
4. Wyślij nowy link właściwej osobie, tym razem z hasłem.

Uważaj na fałszywe e-maile „udostępniono Ci plik”

Przestępcy podszywają się pod powiadomienia o udostępnionych plikach, żeby wykraść hasła: amerykańska CISA i brytyjskie NCSC opisały kampanie, w których linki w znanych serwisach z plikami prowadziły do fałszywych stron logowania. Prawdziwy link do transferu nie powinien prosić o zalogowanie się hasłem do poczty. W razie wątpliwości potwierdź u nadawcy innym kanałem, a podejrzaną stronę zgłoś do CERT Polska przez formularz na incydent.cert.pl. Ten i inne nawyki opisujemy w checkliście bezpieczne przesyłanie plików.