Un QR code peut-il suivre votre position ? Ce qui se passe vraiment au scan

En bref : un QR code ne peut pas vous suivre, parce qu'un QR code ne peut rien faire. C'est un motif imprimé qui se décode en texte, en général une adresse web. Aucun programme, aucune permission, aucune exécution. Scanner ressemble davantage à lire un panneau qu'à installer une application.

Trois choses différentes s'appellent « position »

1. La position précise, depuis l'appareil. Un site peut la demander via la géolocalisation du navigateur. Il ne peut pas la prendre : une autorisation s'affiche avec le nom du site, et sans votre accord il n'obtient rien. C'est la seule voie vers une précision à la rue près, et elle est impossible à emprunter discrètement.

2. La position approximative, depuis l'adresse IP. Tout serveur voit l'IP de votre connexion, et des bases commerciales lui associent une zone — souvent la ville, souvent seulement la région, et sur mobile parfois une autre ville. Aucune demande, car aucune permission n'est en jeu.

3. Ce que la page déduit. Connexion, code postal, carte ou régie publicitaire intégrée : c'est le fait du site, pas du code.

La phrase exacte est donc : un scan peut révéler à peu près où se trouve votre connexion, et exactement où vous êtes si vous l'autorisez. L'autorisation est la frontière, et elle est visible.

Ce que voit le propriétaire du code

Un code dynamique insère une redirection, et cela se compte. Nous enregistrons l'heure, quel code, le type d'appareil, le système et le navigateur déclarés, le référent le cas échéant, et une empreinte salée de l'IP pour compter les visiteurs uniques sans conserver l'adresse.

Aucune localisation — ni ville ni pays — et aucune identité. C'est un choix, pas une limite : le pays serait déductible de l'IP, et nous ne le déduisons pas.

D'autres services proposent des répartitions par ville ou par pays à partir de la même IP. C'est légitime et généralement annoncé : simplement un autre choix, à vérifier plutôt qu'à supposer.

Ce qu'un scan ne peut vraiment pas faire

• Installer quoi que ce soit.
• Prendre une photo, lire vos contacts, ouvrir vos fichiers. Tout cela passe par des autorisations.
• Vous suivre ensuite. Le code n'a aucune mémoire de vous.
• Vous débiter. Un paiement exige que vous saisissiez quelque chose.

Le vrai risque n'est pas la position

Ce qui mérite prudence n'est pas ce qu'un code mesure, mais où il mène. N'importe qui peut coller un carré sur un autre, et avant de scanner rien n'indique la destination.

Les bons réflexes sont ennuyeux : lire l'adresse affichée avant de continuer ; se méfier des codes collés sur horodateurs, affiches et tables, surtout s'ils demandent un paiement ou une connexion. Une entreprise sérieuse imprime son adresse en toutes lettres à côté.

Si les codes sont les vôtres

Ne promettez pas des analytics géographiques que vous n'avez pas. Qui affiche des villes fait de la résolution IP, souvent fausse sur mobile. Un code par emplacement donne la même réponse avec certitude.

Dites clairement ce que vous collectez. Une liste concrète rassure mieux qu'un paragraphe de réconfort.

Réponses rapides

• Un QR code voit-il ma position ? Non ; la page peut la demander.
• Sans demander ? Approximativement, via l'IP, souvent à tort.
• Scanner installe-t-il quelque chose ? Non.
• Sait-il qui je suis ? Pas par le scan.
• Qu'enregistrez-vous ? Heure, code, appareil, système, navigateur, référent, IP hachée. Ni position ni identité.
• Comment rester prudent ? Lire l'adresse, se méfier des autocollants.