# delen.sdz.nu — Yopass (instructies voor AI-agents)

> Dit is een Yopass-instantie voor het eenmalig delen van geheimen. Kreeg je een link als
> `https://delen.sdz.nu/#/s/<id>/<sleutel>`? De inhoud staat NIET in de pagina: die wordt
> in de browser met JavaScript ontsleuteld. Gebruik onderstaande route.

## Snelste route (aanbevolen)

Download de kant-en-klare ontsleutelaar (openpgp v6 zit erin, geen npm install) en geef de
volledige link mee, tussen enkele aanhalingstekens:

    curl -fsS https://delen.sdz.nu/agent/decrypt.mjs -o /tmp/yopass-decrypt.mjs
    node /tmp/yopass-decrypt.mjs 'https://delen.sdz.nu/#/s/<id>/<sleutel>' > /tmp/geheim.txt

- Tekst gaat naar stdout. Schrijf het meteen naar een bestand en lees het daarna.
- Bestand (`#/f/...`): `node /tmp/yopass-decrypt.mjs '<link>' --out /tmp/yopass` slaat het bestand op.
- Link zonder sleutel (`#/s/<id>`): voeg `--password <wachtwoord>` toe.
- Eerst controleren zonder iets te verbruiken: `--status`.
- Geen Node 18+ beschikbaar? Gebruik Docker:
  `docker run --rm --network host -v /tmp:/tmp node:22-alpine node /tmp/yopass-decrypt.mjs '<link>'`

## BELANGRIJK: one-time

De meeste geheimen zijn eenmalig. De EERSTE succesvolle `GET /secret/<id>` (of `/file/<id>`)
verwijdert het geheim van de server. Dus:
- Probeer geen API-paden uit tegen een echt geheim-id.
- Haal het precies één keer op en bewaar de response direct (het script doet dit voor je).
- `GET /secret/<id>/status` is veilig: dat verbruikt niets.
- Krijg je 404? Dan is het al opgehaald of verlopen; vraag de gebruiker om een nieuwe link.

## Handmatig (als je geen Node kunt gebruiken)

1. `id` en `sleutel` staan in het URL-fragment: `#/s/<id>/<sleutel>` (`s` = tekst, `f` = bestand).
2. `GET https://delen.sdz.nu/secret/<id>` geeft JSON `{"message": "-----BEGIN PGP MESSAGE-----..."}`.
   Bestanden: `GET /file/<id>` met `Accept: application/octet-stream` geeft binaire OpenPGP.
3. Ontsleutel symmetrisch met de `sleutel` als wachtwoord. Het bericht gebruikt OpenPGP met
   AEAD (SEIPDv2, AES-GCM) en soms Argon2-S2K: openpgp.js v6+ werkt, v5 NIET
   ("Version 2 of the SEIP packet is unsupported"). GnuPG ondersteunt dit formaat niet.

De sleutel staat alleen in het fragment en gaat nooit naar de server. Ontsleutel altijd lokaal;
stuur de sleutel of het geheim nergens anders heen.