QR code protetti da password: cosa proteggono davvero

Chi chiede "QR code cifrati" di solito vuole una di due cose molto diverse: che nessuno di passaggio possa aprire questo, oppure che questo sia davvero riservato. Una password su un codice dinamico risponde bene alla prima e per nulla alla seconda.

Come funziona, con precisione

Un codice dinamico porta un indirizzo breve. Di norma risponde "vai qui". Con una password risponde invece con un piccolo modulo. Password giusta e il reindirizzamento prosegue; un cookie evita di richiederla per 12 ore sullo stesso telefono, e vale solo per quel codice.

La password è conservata come hash bcrypt: illeggibile anche da parte nostra, quindi una dimenticata si sostituisce, non si recupera.

La frase che decide

La password protegge il reindirizzamento, non la destinazione.

La vostra pagina resta al proprio indirizzo, e quello non è protetto. Chi lo possiede — qualcuno a cui l'avete mandato, chi ha guardato la barra degli indirizzi dopo lo sblocco, un motore che ha indicizzato la pagina — la apre direttamente senza mai vedere il modulo.

Ciò che una password dà è reale ma limitato: ferma la scansione occasionale, non chi ci prova sul serio.

Secondo limite: è un segreto condiviso su un oggetto stampato

• Trapela per costruzione. Dopo una settimana d'uso reale non è più privata.
• Cambiarla significa riavvisare tutti. Dodici colleghi sì, quattrocento visitatori no.
• Non dice chi è entrato. Una scansione non porta identità.
• Non stampatela accanto al codice. Accade più spesso di quanto si creda.

Dove si adatta davvero

• Contenuti per soci su una superficie pubblica. Atrio, palestra, circolo.
• Qualcosa non ancora pronto. Un codice stampato prima del lancio.
• Codici interni in spazi condivisi.
• Documenti che non volete girino con leggerezza — un listino per rivenditori.
• Ridurre il rumore.

Dove è lo strumento sbagliato

• Tutto ciò che è davvero riservato. Dati personali, salute, finanze, contratti: dietro un accesso autenticato.
• Tutto ciò che deve essere revocabile per persona.
• Un controllo accessi dimostrabile. Non ne uscirà un registro con nomi.
• Pagamenti e qualsiasi bersaglio di truffe. Un campo password dopo una scansione somiglia esattamente al phishing.

Note pratiche

• Piani Pro e Business, insieme a scadenza e limite di scansioni.
• Lo sblocco dura 12 ore per dispositivo e per codice.
• Stampate un indizio, non la password.
• Tenete la destinazione anche fuori dai motori di ricerca.
• Combinatela con la scadenza se la cosa è temporanea.

Risposte rapide

• Il codice è cifrato? No; è protetto il passaggio successivo.
• Si può aggirare? Chi ha l'URL finale non incontra mai il modulo.
• Quanto dura lo sblocco? 12 ore.
• Si vede chi è entrato? No.
• Va bene per documenti riservati? No.
• Password dimenticata? Si sostituisce, non si recupera.