给分享链接加密码，再设置一个有效期，文件就只在对方需要的那段时间里可以访问；如果再加上下载次数限制，一个谁都能转发的链接，就变成了在时间、人数和次数上都受限的访问权限。密码最好通过另一个渠道单独发送。
大多数分享事故并不是黑客攻击，而是旧链接：几年前设成“任何人可访问”的文件夹，客户转发给同事的交付链接，贴在公开群里的网址。很多人熟悉的“提取码”，本质上就是分享链接的密码。本文讲清楚有效期、密码和下载次数该怎么设，参考最新的官方密码指南，并说明链接发错人后该怎么补救。
分享链接为什么要设置有效期？
- 链接会流转。 邮件被转发，聊天记录被截图，项目工具里不断加入新成员。
- 人会忘记。 没有人会回头检查自己三年前创建的分享。
- 数据保护法规也这样要求。 《个人信息保护法》第十九条规定，个人信息的保存期限应当为实现处理目的所必要的最短时间；事情办完就失效的链接，是落实这一点最简单的办法。详见个人信息保护法与文件传输。
- 暴露面更小。 链接过期后即使泄露，也打不开任何东西。
分享链接有效期设多长合适？
| 场景 | 建议有效期 | 原因 |
|---|---|---|
| 发给正在等文件的同事 | 1–3 天 | 当天就会下载，没必要一直开着 |
| 给客户交付照片、视频、设计稿 | 7 天到几周 | 给客户留出下载和备份的时间 |
| 机密文件（身份证件、工资条、合同） | 1–3 天，并加密码 | 把暴露时间降到最低 |
| 活动或团队共享的文件 | 活动结束后几天 | 大家都来得及下载，然后关闭 |
| 要反复使用几个月的参考资料 | 改用网盘共享 | 传输链接用于交付，不适合长期访问 |
在 Transfr 上，免费版可以选择 1、3、5 或 7 天；Pro 另外提供 15、30 和 60 天。登录后，发送之后还能修改有效期，比如客户休假回来，可以帮他延长几天。
分享链接密码怎么设才安全？
美国国家标准与技术研究院（NIST）在 2025 年 7 月更新了数字身份指南（SP 800-63B-4）。其中关于密码的规则，对链接密码同样有参考价值：
- 长度比复杂度重要：单独使用的密码至少 15 个字符；不应强制“必须包含一个符号和一个大写字母”这类组合规则。
- 避开常见密码和已泄露的密码：服务应当把新密码与常用密码、已泄露密码的列表比对。
- 不强制定期更换，只有在有证据表明密码泄露时才更换。
- 允许使用密码管理器和粘贴，这样又长又随机的密码才用得起来。
英国国家网络安全中心（NCSC）推荐一种好记的方法：把三个随机单词连在一起，得到一个“足够长、足够强”的密码，并指出把字母换成符号（比如把 o 换成 0）并不能让它明显变强。中文用户可以用几个毫不相关的英文单词或拼音词组来实现同样的效果。至于链接密码，反正要复制粘贴，用密码管理器生成一串长随机字符更好。
下载次数限制：用完就把门关上
下载次数限制让链接在被下载一定次数后失效。把它设为应该收到文件的人数，再留一次重试的余量，被转发出去的链接很快就会失去作用。在 Transfr 上，下载次数限制是免费功能，可以设为 1 到 1,000 次或不限，发送后也能修改。
密码、有效期、下载次数还是端到端加密？
| 保护措施 | 能防住 | 防不住 |
|---|---|---|
| 有效期 | 旧链接日后被人使用 | 到期之前的滥用 |
| 密码 | 只拿到链接的人 | 同时拿到链接和密码的人 |
| 下载次数限制 | 很多人共用一个被转发的链接 | 最先发生的几次下载 |
| 端到端加密 | 服务方或能接触服务器的人读取文件 | 持有完整链接的人 |
| 下载通知 | 本身什么也防不住 | 但能告诉你文件何时被下载 |
这些措施可以叠加。日常交付，设个有效期就够了；个人信息或机密资料，就把短有效期、密码、下载次数限制和端到端加密一起用上。这四项在 Transfr 免费版上都有。
带密码和有效期分享文件
有效期、密码、下载次数限制和端到端加密，Transfr 全部免费。
常见服务的有效期和密码对比
| 服务 | 免费版的有效期 | 免费版的链接密码 |
|---|---|---|
| Transfr | 1、3、5 或 7 天（Pro 最长 60 天） | 有，另有下载次数限制 |
| WeTransfer | 最长 3 天 | 有 |
| SwissTransfer | 1–30 天（30 天需要确认延期） | 每个文件最多可设 250 次下载上限 |
| Dropbox Transfer（Basic） | 固定 7 天 | 无 |
| Google Drive 分享 | 无，仅符合条件的工作或学校账户可设 | 无 |
| MEGA 链接 | 付费功能 | 付费功能 |
规律很明显：传输服务默认会过期，网盘默认不会。如果你用网盘分享，记得在日历里设个提醒去取消分享，或者一次性交付改用传输服务。更多对比见网盘还是文件传输和大文件传输工具对比。
给团队定一条简单的分享规则
一个人记得设密码不难，难的是整个团队都这样做。与其每次凭感觉判断，不如把规则写成三行，贴在团队文档里：
- 普通资料：有效期 7 天以内，发给明确的收件人。
- 客户交付：有效期按交付周期设置，下载次数等于对方人数加一，交付完成后删除传输。
- 个人信息和机密文件：有效期 1–3 天，长密码通过另一个渠道发送，开启端到端加密，只允许下载一次或两次。
规则越短，越有人照做。每个季度花十分钟，检查一遍团队里还开着的网盘分享和传输链接，把不再需要的全部关掉。
收集文件的链接也要设有效期
同样的道理也适用于收集文件。一个永远开着的文件收集链接，可能在项目结束很久之后还在接收上传，有时还来自你没打算邀请的人。给收集链接设一个截止日期或提交数量上限，资料敏感的话再加密码。见如何收集客户的文件。
在 Transfr 上怎么设置
第 2 步
打开传输设置
选择有效期（免费版 1–7 天，Pro 最长 60 天）。
第 3 步
添加密码
用一个长短语，或密码管理器生成的随机密码。
第 4 步
设置下载次数
与收件人人数保持一致。
第 5 步
发送，然后单独发密码
通过邮件发送链接或直接复制链接，密码通过另一个渠道告诉对方。
链接发错人了怎么办？
- 立即收回访问权限：删除传输、缩短有效期或修改密码。在 Transfr 上，已登录的发送者可以在控制面板里操作。
- 查看下载情况：如果开启了下载通知或 Send & Track，看看文件是否被下载、什么时候下载的。
- 评估内容：如果泄露的是个人信息，你所在的单位可能需要依法处理。在中国，《个人信息保护法》第五十七条要求立即采取补救措施，并通知履行个人信息保护职责的部门和个人；在欧盟，GDPR 第 33 条要求在有风险时尽可能于 72 小时内通知监管机构。
- 给正确的人重新发一个链接，这次记得加密码。
小心假的“有人与你共享了文件”邮件
攻击者常常模仿文件分享通知来骗取密码：美国网络安全和基础设施安全局（CISA）和英国 NCSC 都记录过利用知名文件分享平台上的链接、把人引到仿冒登录页面的攻击。真正的传输链接不应该要求你用邮箱密码登录。拿不准时，通过其他渠道向发件人确认。文件安全发送清单里有更多类似的习惯。