密碼保護能擋住什麼？
下載連結就像放在門口地墊下的鑰匙，誰撿到誰就能進門。連結會被轉傳、貼錯群組、留在舊的信件串裡，也可能被預覽訊息的工具讀取。加上密碼之後，訪客還必須知道另一樣東西，光有連結是打不開的。這是最容易加上的一層保護，收件人也不需要任何說明：打開連結，輸入你告訴他的密碼，就能拿到檔案。
在 Transfr 上，受保護的傳輸打開後只會顯示一個密碼欄位。檔案清單、檔名、大小、預覽和留言在輸入正確密碼之前都不會顯示，沒有密碼的下載請求會被拒絕。驗證是在我們的伺服器上進行，而不只是在頁面上，所以無法直接呼叫下載網址來繞過。
幫檔案設定密碼並傳送的步驟
第 2 步
輸入密碼
在傳輸設定裡填寫收件人要輸入的密碼。比起一個短單字，幾個毫無關聯的詞組成的句子更安全。
第 3 步
傳送連結
複製連結，或透過 Transfr 直接寄 Email 給最多 10 位收件人。
第 4 步
另外告知密碼
用電話、簡訊或另一個通訊軟體告訴對方密碼。千萬不要和連結寫在同一封信裡。
幫下一次傳輸上鎖
密碼保護免費，也不需要帳號。
Transfr 怎麼儲存和驗證密碼？
- 不儲存明碼。 Transfr 只保存密碼的 bcrypt 雜湊值，這是一種無法還原成原始密碼的單向「指紋」。
- 在伺服器端驗證。 顯示檔案清單前和每一次下載前都需要有效的驗證，保護不依賴頁面本身。
- 拖慢暴力破解。 每個 IP 位址的密碼嘗試次數有限制，連續猜測並不實際。
- 造訪期間會記住。 收件人輸入一次後，在這次造訪中瀏覽和下載都不必再輸入。
密碼和端對端加密，該用哪一個？
兩者防護的對象不同，一起使用效果最好。
| 密碼 | 端對端加密 | 兩者都用 | |
|---|---|---|---|
| 只拿到轉傳連結的人 | 擋下 | 能打開（金鑰在連結裡） | 擋下 |
| 我們的伺服器看得到檔名 | 看得到 | 看不到 | 看不到 |
| 沒有連結也能從儲存空間讀取內容 | 儲存時已加密 | 不能，用你的金鑰加密 | 不能 |
| 預覽、續傳、資料夾 | 全部可用 | 有限制 | 有限制 |
同時使用時，Transfr 會在瀏覽器裡把連結中的金鑰和密碼結合起來產生解密金鑰。只有連結解不開，只有密碼也解不開。合約、醫療、財務檔案建議使用這個組合。詳見「用端對端加密傳送檔案」。
傳輸密碼、加密壓縮檔和加密 PDF
你也可以幫檔案本身加密碼，例如加密的 ZIP 或 7z、開啟時需要密碼的 PDF、設定了開啟密碼的 Word 或 Excel。差別在於保護放在哪裡。
- 受保護的檔案在下載後、不論到哪裡都維持加密，但收件人需要對應的軟體，而且有些信箱會擋下加密壓縮檔。
- 受保護的傳輸控管的是交付過程：沒有密碼什麼都看不到、下載不了，連結還會過期。下載之後就是一般檔案。
把加密壓縮檔當附件寄出、再用下一封信寄密碼，兩樣東西走的是同一條路，防偷看的效果有限。大多數交付用受保護的傳輸就夠了，收件人用起來也簡單。如果文件下載後也必須維持加密，就先幫檔案本身加密，再用受保護的傳輸傳送。也可以參考「傳送大型 ZIP 壓縮檔」和「PDF 太大怎麼傳」。
用好密碼傳輸的幾個習慣
- 密碼走另一條路： 就算信被人看到，裡面也沒有密碼。
- 用一句話當密碼： 例如四個隨機的詞，電話裡好念，又比夾雜符號的短單字更難猜。
- 不要重複使用： 別用你登入各種帳號的密碼。
- 再加上過期時間和下載次數： 密碼負責擋住存取，過期時間讓檔案不會公開太久。免費傳輸可選 1 到 7 天。
- 用完盡快刪除： 有免費帳號的話，收件人拿到檔案後就可以馬上刪除傳輸。
整體的安全做法請看「如何安全地傳送檔案」和「分享連結的有效期限與密碼」。
檔案請求連結也能加密碼
向別人收集檔案時，任何人都能用的上傳連結可能會收到不需要的檔案。幫檔案請求加上密碼，只有知道密碼的人才能上傳。再搭配截止日期和收件數量上限一起使用。詳見「接收大型檔案」。
哪些人在用密碼傳輸？
- 律師事務所、會計師事務所： 傳送合約、帳單、身分證件影本。詳見「律師事務所的安全檔案傳輸」。
- 攝影師、工作室： 交付尚未公開的作品。詳見「傳送 RAW 檔」。
- 音樂人、唱片公司： 分享未發行的音檔。詳見「傳送音檔」。
- 人資部門： 傳遞薪資單、勞動契約等不該毫無保護地留在信箱裡的檔案。
免費、私密、簡單
最大 100GB 的任何傳輸都能加密碼，不需要帳號。