Klassische Pastebin-Dienste lagern Code-Schnipsel und Textblöcke im Klartext auf ihren Servern – für alle, die Zugang haben, grundsätzlich einsehbar. PrivateBin geht einen anderen Weg: Statt Inhalte zu speichern, die der Betreiber lesen könnte, landet auf dem Server ausschließlich unlesbares Chiffrat.
Den Schlüssel dazu erzeugt und verwaltet ausschließlich der Browser – per 256-Bit-AES-GCM, einem authentifizierten Verschlüsselungsverfahren, das Manipulation am Chiffrat sofort aufdeckt. Zum Server gelangt der Schlüssel nie; er steckt im URL-Fragment hinter dem #-Zeichen, das Browser grundsätzlich nicht übertragen. Unabdingbar für dieses Sicherheitskonzept ist HTTPS – ergänzt durch HSTS und DANE schließt man auch Angriffe auf Zertifikatsebene aus. Wer eine fremde Instanz nutzt, trägt außerdem das Restrisiko, dass ein kompromittierter Server manipulierten Code ausliefern könnte, der den Schlüssel beim Öffnen eines Pastes abfängt.
Jeder neue Paste lässt sich mit einem Passwort absichern, auf eine feste Laufzeit begrenzen oder als "Burn after reading" anlegen – dann löscht ihn das System nach dem ersten Öffnen unwiederbringlich. Optional schaltet man Diskussionen frei, anonym oder mit Nicknames und IP-basierten Identicons. Syntax-Highlighting für Quellcode per prettify.js, Markdown mit Live-Vorschau, Datei-Upload und ein QR-Code für die Paste-URL gehören ebenfalls zum Funktionsumfang.
