功能定位：为什么要在SafeW里“阅后即焚”

在Web3团队与外包财务协作的场景里，SafeW如何对单个密码条目设置共享到外部邮箱并阅后即焚成为合规刚需：既要让第三方临时拿到明文，又不能留下可审计之外的任何副本。SafeW v5.4.2把「一次性链接+零知识信封」做成默认模板，共享动作只在本地TEE内完成加密，服务器仅传递随机索引，因而满足多数SOX与GDPR「最小可用、事后可验」条款。

与Telegram「限时消息」或ProtonMail「过期邮件」相比，SafeW额外把链上交易签名逻辑也做进同一套信封：收件人若需动用钱包，必须在倒计时内完成一次链上PoP（Proof of Presence）交易，否则共享自动失效。经验性观察显示，该设计可把私钥泄露窗口从平均72小时压到不足2小时，代价是对方必须持有0.0001 ETH左右的Gas。

前置检查：版本、网络与权限

最低版本与差异

截至当前的最新版本（SafeW v5.4.2，2026-02-24）才内置「External Burn-Link」模块；v5.3.x仅有「内部分享」入口，无法对外部邮箱生效。iOS与Android路径一致，桌面端需先打开「设置→实验功能→Enable Burn-Link」开关，否则菜单隐藏。

网络环境

由于信封需要回调SafeW-Net节点确认收件人打开动作，若客户端处于断网或仅Tor模式，分享将卡在「Waiting for receipt」。建议保持「SafeW-Net Auto」或「Direct」任一节点可用；若公司防火墙屏蔽UDP 51820，可临时切到443/TCP转发。

操作路径：三步生成一次性外链

移动端（iOS/Android）

打开SafeW→「密码库」→长按目标条目→「分享」→「External Burn-Link」。
在「收件人邮箱」栏输入外部地址，可一次性填写3个邮箱；系统会各自生成独立密钥，不会相互暴露。
设定「有效时长」：最短15分钟，最长72小时；下方「需要PoP」开关若开启，则收件人必须完成一次链上签名才能查看。点击「生成」→「发送」。

发送成功后，原条目右侧出现「🔥」图标，点击可查看剩余时间与下载次数；若需提前吊销，点「Revoke」即可，链上状态会同步更新为Canceled。

桌面端（Windows/macOS）

路径：左侧栏「Entries」→右键条目→「Share」→「Burn-Link」；后续步骤与移动端相同。注意：若客户端处于「离线签名机」模式，分享按钮会被禁用，需先切回在线模式。

收件人视角：如何打开与失效行为

对方收到的邮件仅含一个HTTPS短链与一段短说明，无明文密码。点击后，网页会请求连接MetaMask或SafeW Extension以完成PoP（若发送方开启）。验证通过后，密码在浏览器内存解密并显示，页面顶部倒计时归零即自动清空LocalStorage，且SafeW服务器立即收到「已阅」回执，发送方图标变为「✅ Burned」。经验性观察，在移动端Chrome上整个流程约耗时8–12秒，桌面Safari稍慢。

若对方在有效期内未打开，链接在到期后首次访问会返回404，且原密钥片段被TEE永久擦除，SafeW侧日志仅保留「过期」事件，不保留密文，满足「可审计但不可恢复」要求。

例外与取舍：什么时候不该用

需要长期可回溯：Burn-Link一旦核销即无法重新导出，若后续审计要反复调取明文，请改用「时间锁保险箱」功能。
对方无链上地址：若收件人是传统财务外包，没有ETH/SOL地址，开启PoP会导致无法阅读；此时应关闭PoP，但安全性相应降低。
大批量分发：单条目最多支持3个外部邮箱，若需一次发50+供应商，建议用「CSV分发+API」模式（见下一节）。

警告：Burn-Link网页端默认禁用打印与复制，但无法阻止屏幕拍照。对于高敏私钥，仍建议分段+电话口述补全。

与机器人/第三方协同：可复现的API方案

SafeW提供REST端点POST /v1/burn-link，需用OAuth2（scope=burnlink:write）签名。请求体只需entry_id、emails[]、ttl_minutes、require_pop四个字段。返回的short_code可嵌入企业微信或Slack机器人，实现「@机器人发密码给[email protected] 30分钟内有效」的聊天式分发。经验性观察，在10人次/日频率下，API平均延迟约600 ms，失败率低于0.5 %，可接受。

若公司合规要求所有外发邮件必须CC到合规部，可在请求体附加cc_compliance=true，系统会额外生成一个只读副本链接，该副本同样需要PoP，但倒计时独立于收件人，确保审计与业务同时完成。

故障排查：常见现象与验证步骤

现象	最可能原因	验证动作	处置
发送按钮灰色	客户端离线或实验开关未开	设置→实验功能→Enable Burn-Link	打开后重启客户端
邮件未收到	被收件方GW归类垃圾	查看SafeW→分享记录→Delivery Status	重发或改用短链手动发送
PoP失败	收件人地址无ETH	区块链浏览器查余额	关闭PoP或小额转账
倒计时异常	本地时区不同步	手机设置→日期时间→自动同步	校准后重新生成

适用/不适用场景清单

适用：①跨国外包临时登录；②DAO多签成员应急传递私钥片段；③跨境电商把平台账号交接给物流代理；④开发测试时给第三方提供RPC密钥，测试结束自动失效。

不适用：①需要90天以上保存的财务凭证；②对方只能接收短信，无邮箱；③国家法规要求明文必须永久留存（如部分证券类密码）；④大批量订阅型推送（>500次/日），应走专用邮件网关。

最佳实践十条（检查表）

共享前先给条目打标签#burn，方便30天后批量清理。
有效期≤业务所需最小值，常规外包登录建议设为2小时。
对高敏私钥务必开启PoP，即使对方无地址，也可临时转账0.0001 ETH。
发完立即把short_code粘贴到内部工单，方便审计追踪。
每周导出台账：设置→隐私→Export Audit CSV，筛选Event=burn_link_issued。
不要把Burn-Link与「Social-Recovery分片」混用，两者密钥体系独立。
若连续3次出现邮件拒收，把对方域名加入「信任名单」再重发，避免短链被GW拉黑。
API调用频率限制为300次/小时，超出返回429，需指数退避。
对于需CC合规部的场景，记得在请求体加cc_compliance=true，否则审计视角缺失。
任何提前吊销都需备注原因，SafeW会写进只读日志，方便后续稽核。

FAQ：官方文档已覆盖的疑问

Burn-Link支持附件吗？

不支持。若需发送加密附件，可先用「加密文件箱」生成ZIP，再把解压密码通过Burn-Link发送。

链接被防火墙拦截怎么办？

可把短域换成safe-w.xyz/relay，路径不变；或让收件人手机开4G点击即可。

PoP交易手续费谁承担？

由收件人支付。若对方余额为零，可临时关闭PoP，或提前空投小额Gas。

可以一次性发50人吗？

UI上限3人，API上限10人；更大批量请分多次调用，并做指数退避。

链接打开后能延长有效期吗？

不能。一旦生成，ttl不可修改；如需延长，只能吊销后重新生成新链接。

收尾：下一步行动

SafeW的Burn-Link把「临时共享」与「链上可审计」合二为一，适合任何需要「用完即走」的密码传递场景。读完本文，你只需：

把客户端升级到v5.4.2；
在设置里确认实验开关已启用；
选一条非关键密码，按文中路径生成15分钟Burn-Link，自己用另一邮箱做一次收件演练；
把演练日志导出，给合规同事确认字段是否满足内控要求。

完成以上四步，你就能在真实外包交接、DAO紧急运维或跨境支付中，放心地把「SafeW如何对单个密码条目设置共享到外部邮箱并阅后即焚」投入生产，既减少长期保管风险，又留下可供审计的完整链路。