Les QR codes sont-ils sûrs ? Ce qu'ils peuvent et ne peuvent pas faire

Réponse courte : le code lui-même est inerte. C'est un motif qui se décode en un morceau de texte — le plus souvent une adresse web. Il ne peut installer aucun logiciel, exécuter aucun code, ni lire quoi que ce soit sur le téléphone qui l'a scanné.

Ce qui peut mal tourner tient entièrement à la destination, et au fait que le code scanné soit bien celui que le propriétaire a posé.

Ce qu'un QR code ne peut physiquement pas faire

• Il ne peut pas contenir de virus. Il n'y a rien à exécuter : le texte décodé est remis au système, qui propose en général « ouvrir ce lien ».
• Il ne peut pas installer une application seul. Il peut mener à une fiche de store ; l'installation reste votre geste.
• Il ne peut pas lire vos contacts, photos ou messages. Scanner n'accorde aucune permission.
• Il ne peut pas effectuer un paiement. Il peut ouvrir une page de paiement ; l'autorisation reste la vôtre.
• Il ne peut pas vous connecter au Wi-Fi en silence : le téléphone demande d'abord.

Ce qui peut réellement mal tourner

1. La destination est une page d'hameçonnage. Copie convaincante d'une banque, d'un transporteur, d'un site de paiement de stationnement. Le code n'est que le moyen d'acheminement.
2. Le code n'est pas celui du propriétaire. Un autocollant par-dessus le vrai, sur un horodateur, une carte, une affiche caritative.
3. La destination demande ce qu'elle ne devrait pas. Identifiants, numéro de carte, application hors store.

Scanner prudemment, en pratique

• Lisez l'adresse avant de toucher. Tout téléphone moderne affiche l'URL en aperçu. Regardez le domaine, pas le reste.
• Méfiez-vous d'abord du contexte physique. Autocollant sur un code imprimé, code sur un lampadaire, code scotché sur un horodateur.
• Jamais de coordonnées bancaires ou d'identifiants sur une page atteinte via un code trouvé dans la rue.
• L'urgence est suspecte. « Votre colis est bloqué », « l'amende double demain ».
• Le cadenas signifie chiffré, pas honnête. Les pages d'hameçonnage en ont aussi.

Si les codes sont les vôtres

• Utilisez un domaine reconnaissable. Un lien court sur votre domaine rend un faux autocollant évident.
• Imprimez l'adresse sous le code. Une ligne, et le carré mystérieux devient une affirmation vérifiable.
• Regardez votre propre signalétique. La falsification est physique et demande un contrôle physique.

Un code dynamique aide ici d'une manière qu'on oublie : en cas d'abus ou de page compromise, vous le redirigez en quelques secondes au lieu d'envoyer quelqu'un remplacer des imprimés.

Ce que le scan apprend au propriétaire sur vous

« Sûr » veut aussi dire « que collecte-t-on ». Ici, un scan enregistre l'heure, quel code, le type d'appareil, le système et le navigateur déclarés par la requête, le référent le cas échéant, et une empreinte salée de l'adresse IP pour compter les visiteurs uniques.

Non enregistré : votre identité, votre numéro, vos contacts — et aucune localisation. Beaucoup de services déduisent un pays de l'IP ; celui-ci ne la collecte pas. D'autres prestataires font autrement, d'où l'intérêt de poser la question.

Réponses rapides

• Un QR code peut-il donner un virus ? Non, il se décode en texte.
• Peut-il voler des données au scan ? Non, aucune permission n'est accordée.
• Est-ce sûr de scanner un code dans la rue ? Scanner oui ; faire confiance à la destination est la vraie question.
• Comment repérer un code falsifié ? Un autocollant sur un autre, et le domaine après scan.
• Les codes au restaurant sont-ils sûrs ? En général oui, avec la même vérification du domaine.
• Le propriétaire sait-il qui je suis ? Non : ici, ni identité ni localisation.