Hai phút từ đầu tới cuối
Link Keyway hoạt động thế nào
Hai nửa: việc bạn làm một lần, và trải nghiệm của mọi người xem sau đó. Trang này nói cả hai, kể cả những phần mà phần lớn công cụ cùng loại nói rất mơ hồ.
Với bạn, làm một lần
- 1
Dán link bạn muốn bảo vệ
Thư mục Google Drive, file Dropbox, trang Notion, bản phát hành trên web của bạn — bất cứ địa chỉ http hoặc https nào. Keyway kiểm tra trước khi chấp nhận: địa chỉ mạng nội bộ, link javascript:, link có kèm tên đăng nhập và mật khẩu, tên miền giả mạo trộn bảng chữ cái đều bị từ chối.
- 2
Thêm các bước người xem phải làm
Từ một đến tám bước. Dẫn họ tới kênh hoặc cộng đồng của bạn, hiện một tin nhắn, yêu cầu xác nhận một nội dung, hoặc yêu cầu nhập mã bạn đã chia sẻ ở nơi khác. Kéo để sắp xếp lại; đánh dấu bước nào là không bắt buộc nếu bạn muốn mời thay vì bắt buộc.
- 3
Chọn giao diện và thời hạn
Chọn chủ đề màu, thêm tên và ảnh đại diện, chọn ngôn ngữ trang mở khóa, và nếu muốn thì đặt ngày hết hạn hoặc số lượt mở khóa tối đa. Cả hai giới hạn đều được kiểm soát ở máy chủ, nên giới hạn 100 nghĩa là đúng 100.
- 4
Tạo link và lưu mã quản lý
Bạn nhận hai địa chỉ. Link ngắn là công khai — chia sẻ ở đâu cũng được. Địa chỉ còn lại là mã quản lý và chỉ hiện đúng một lần. Keyway chỉ lưu bản băm một chiều của mã đó, nên nếu bạn mất thì không ai khôi phục được, kể cả chúng tôi. Có nút tải file lưu sẵn ngay tại đó, chính vì lý do này.
Với mỗi người xem, mỗi lần
- 1
Họ mở link của bạn
Trang được dựng sẵn ở máy chủ với tiêu đề, ảnh đại diện và các bước của bạn. Không có màn hình chờ, không có đồng hồ đếm ngược trước khi trang hiện ra, và không có quảng cáo.
- 2
Họ làm lần lượt từng bước
Bước dạng link sẽ mở tab mới. Khi quay lại, nút xác nhận sẵn sàng sau một khoảng chờ thật, thường là ba giây. Bước nhập mã được đối chiếu với bản băm có muối trên máy chủ và mã sai sẽ bị từ chối.
- 3
Họ mở khóa
Khi mọi bước bắt buộc đã xong, nút mở khóa được kích hoạt. Máy chủ kiểm tra lại toàn bộ — hạn dùng, trạng thái kiểm duyệt, giới hạn lượt — rồi mới cấp một mã cho phép chuyển hướng, có hiệu lực năm phút.
- 4
Họ tới nội dung của bạn
Họ nhìn thấy tên miền đích và tự bấm. Không có gì tự động chuyển hướng, và link đầy đủ không bao giờ về tới trình duyệt của họ trước cú bấm đó — nó chỉ tồn tại trong một header chuyển hướng, trong đúng một bước.
Các loại bước, và mỗi loại chứng minh được gì
Đây là phần đáng đọc kỹ, vì đây chính là chỗ các công cụ khóa link thường nói quá về mình. Keyway chia mọi bước thành hai nhóm và ghi rõ ngay trên trang người xem nhìn thấy.
Bước chúng tôi thật sự xác minh
Nhập mã. Bạn chọn một mã và chia sẻ ở nơi chỉ khán giả thật của bạn thấy — nói trong video, ghim ở bình luận, đăng trong cộng đồng. Keyway lưu bản băm PBKDF2 kèm muối ngẫu nhiên riêng cho từng bước, và không bao giờ lưu chính mã đó. Mã sai bị từ chối ở máy chủ, và điểm cuối này có giới hạn tần suất nên không thể dò nhanh.
Xác nhận một nội dung. Người xem đồng ý rõ ràng với một câu bạn viết ra. Chúng tôi ghi lại việc họ đã đồng ý. Điều đó nhỏ, nhưng nó là sự thật — nhiều hơn phần lớn công cụ cùng loại làm được.
Bước chỉ ghi lại điều người xem nói
Mọi bước mạng xã hội và website đều là bước ghé thăm. Keyway xác nhận link đã được mở và đã có một khoảng thời gian thật trôi qua trước khi người xem xác nhận. Nó không xác nhận họ đã làm gì ở phía bên kia, và trang nói đúng như vậy.
Đó không phải giới hạn do chúng tôi chọn. YouTube đã gỡ bỏ quyền API cho phép bên thứ ba kiểm tra việc đăng ký — đúng vì nó bị dùng cho việc này. Instagram, TikTok và X chưa từng có. Discord kiểm tra được thành viên máy chủ nhưng chỉ qua một luồng OAuth mà người xem phải tự cấp quyền, và dùng nó để trao thưởng vẫn vi phạm điều khoản của Discord. Ngoài ra, mọi nền tảng nêu ở đây đều cấm việc dùng phần thưởng đổi lấy tương tác.
Vậy nên một công cụ nói với bạn rằng nó đã xác minh việc đăng ký thì hoặc là đang dùng cách không chính thống và sẽ hỏng, hoặc là đang đoán rồi nói với bạn rằng nó biết. Chúng tôi thà là công cụ nói "người xem tự xác nhận" và nói đúng.
Quản lý link sau khi tạo
Link quản lý của bạn có dạngsubtounlock.app/manage/abc12xyz#k=…. Phần sau dấu# là fragment, và trình duyệt không bao giờ gửi fragment tới máy chủ — nó không xuất hiện trong log truy cập của chúng tôi, không trong header Referer, không trong bất kỳ proxy nào ở giữa. Trang đọc nó, đổi lấy một cookie phiên, rồi xóa khỏi thanh địa chỉ và khỏi lịch sử.
Từ đó bạn có thể:
- Đổi link đích, tiêu đề, mô tả, ảnh đại diện và chủ đề màu
- Đổi hoặc bỏ ngày hết hạn và giới hạn lượt mở khóa
- Tắt link tạm thời, rồi bật lại
- Xóa vĩnh viễn — link đích bị xóa khỏi cơ sở dữ liệu của chúng tôi
- Xem thống kê
Điều bạn không làm được là khôi phục mã đã mất. Chúng tôi chỉ giữ bản băm SHA-256 của nó. Đó là một đánh đổi có chủ ý: nó có nghĩa là một vụ rò rỉ cơ sở dữ liệu không đem lại thông tin đăng nhập nào dùng được, và cũng có nghĩa là không ai lừa được chúng tôi giao link của bạn cho người khác. Hãy tải file lưu mã ngay khi tạo link.
Câu hỏi về luồng hoạt động
Trang mở khóa có chạy khi tắt JavaScript không?
Có, hoàn toàn. Mỗi bước là một biểu mẫu HTML thật và tiến độ được lưu trong cookie có chữ ký, nên toàn bộ luồng vẫn hoạt động khi trình duyệt chặn script. JavaScript, khi tải được, chỉ giúp bỏ bớt các lần tải lại trang và thêm đồng hồ đếm. Ngoại lệ là trình tạo link: việc thêm và sắp xếp lại các bước cần JavaScript.
Người xem phải chờ bao lâu ở mỗi bước?
Ba giây với bước dạng link, và không chờ gì với bước đọc tin nhắn, xác nhận hay nhập mã. Ba giây đó là khoảng thời gian thật giữa lúc mở link và lúc được xác nhận, do máy chủ kiểm soát — không phải đồng hồ trang trí. Nó tồn tại để một đoạn script không thể hoàn thành tám bước trong tám mili giây. Một người thật chuyển tab rồi quay lại thường đã mất nhiều hơn ba giây.
Tôi sửa được link sau khi đã chia sẻ không?
Được. Mở link quản lý và bạn có thể sửa link đích, tiêu đề, chủ đề màu, hạn dùng và giới hạn lượt. Riêng đuôi link — phần sau /u/ — thì không đổi được, vì tới lúc đó nó đã nằm trong mô tả video và bình luận ghim rồi.
Link hết hạn thì chuyện gì xảy ra?
Người xem thấy một trang giải thích rằng người tạo đã đặt hạn và thời hạn đó đã qua, kèm gợi ý xin bạn link mới. Họ không bị chuyển đi đâu và link đích không bao giờ bị lộ. Hạn dùng được kiểm tra ở mọi lượt truy cập, nên nó có hiệu lực ngay khoảnh khắc hết hạn.
Tôi xem được ai đã mở khóa không?
Không, và đó là chủ ý. Bạn nhận được các con số: lượt xem, số người xem ước tính, tỷ lệ mở khóa, quốc gia, loại thiết bị, và người xem bỏ cuộc ở bước nào. Bạn không nhận được danh tính, địa chỉ IP hay bất cứ thứ gì theo dõi một người qua các ngày — vì những thứ đó không hề được thu thập.
Tạo link đầu tiên của bạn
Không tài khoản, không email, không có gì phải hủy. Nếu thấy không hữu ích thì cứ đóng tab.