Un QR code est un lien, pas une preuve de confiance

Un QR code peut contenir un lien que le téléphone propose d’ouvrir. Son apparence ne permet pas de reconnaître le nom de domaine. Le NCSC explique notamment comment des codes insérés dans des emails peuvent dissimuler des liens de phishing.

Avant de saisir un mot de passe ou de payer, regardez la destination proposée et le contexte de la demande. Un code collé sur une affiche peut avoir été remplacé ; une page qui s’ouvre correctement n’est pas pour autant légitime.

Qui contrôle la destination ?

Cette question de destination concerne aussi les codes que vous publiez. Imaginons un restaurant qui imprime un code sur tous ses menus. Si ce code pointe vers une page de son propre domaine, l’entreprise peut organiser cette page et ses redirections. S’il passe par un service externe, elle dépend aussi de ce service et de ses conditions.

Avant d’imprimer, demandez où mène exactement le code, qui contrôle cette destination, si un abonnement est nécessaire et ce qui se passe lorsque cet abonnement s’arrête. Les termes « statique » et « dynamique » ne remplacent pas ces réponses.

Une fois la destination choisie, reste à vérifier le parcours réel. Scannez une épreuve imprimée avec plusieurs téléphones. Vérifiez la lisibilité, le domaine affiché, la page finale et l’action attendue. Un code techniquement lisible peut conduire à une page trop lourde ou à un formulaire inutilisable sur mobile.

Affichez aussi une destination lisible ou une autre manière d’accéder au contenu. Un client qui ne souhaite pas scanner doit pouvoir comprendre ce que vous proposez.

Reprenez un QR code déjà diffusé par votre entreprise. Retrouvez sa destination réelle et la personne capable de la modifier. Puis essayez-le comme le ferait un client.