Que se passe-t-il quand vous scannez un QR code ?

Ce que contient le code

Le motif encode une chaîne de caractères : une adresse web, un identifiant de paiement, un texte, un réseau Wi-Fi avec son mot de passe, une fiche de contact. L’appareil photo la décode et propose l’action correspondante. Le code lui-même n’héberge rien et ne contient aucun programme : c’est une étiquette, pas un contenu.

Sa robustesse vient d’une correction d’erreurs intégrée : un code partiellement abîmé, taché ou recouvert d’un logo reste lisible. C’est pratique — et c’est aussi ce qui permet à un code imprimé sur un support dégradé de continuer à fonctionner.

Redirections

Les adresses encodées passent souvent par un service de raccourcissement. C’est utile : cela permet de compter les scans, de rediriger vers une page différente selon la langue, ou de modifier la destination après impression. Cette souplesse a un revers : la destination réelle n’est visible qu’à l’arrivée.

C’est là que se logent les usages malveillants : autocollant apposé sur un horodateur, sur une borne de recharge ou sur une affiche officielle, renvoyant vers une fausse page de paiement qui ressemble à la vraie. L’attaque ne vise pas le code, elle vise le contexte de confiance.

Vérifier avant d’ouvrir

• Lire le nom de domaine affiché dans l’aperçu avant de valider — c’est la partie avant la première barre oblique qui compte.
• Se méfier d’un autocollant posé par-dessus un support officiel, ou d’un code mal aligné avec l’impression.
• Ne jamais saisir de moyen de paiement ni d’identifiants sur une page atteinte uniquement par un code scanné dans l’espace public.
• En cas de doute, saisir soi-même l’adresse officielle du service plutôt que de suivre le code.

Un QR code ne demande pas votre confiance : c’est le support qui l’emprunte à sa place.

Pourquoi ce format s’est imposé

Le QR code n’est pas nouveau : il a été conçu dans les années 1990 pour suivre des pièces automobiles. Sa généralisation tient à une conjonction simple — chaque téléphone embarque désormais un appareil photo capable de le lire sans installer quoi que ce soit, et un carré imprimé ne coûte rien à produire.

C’est aussi un pont commode entre le physique et le numérique : une affiche, un emballage, une vitrine ou un menu peuvent renvoyer vers une page mise à jour sans être réimprimés. Cet avantage est réel, et c’est précisément ce qui crée la zone d’ombre : la destination peut changer après l’impression.

Ce que le code peut déclencher

• Ouvrir une page web : le cas le plus courant, et celui qui mérite le plus de vigilance.
• Pré-remplir un virement ou un paiement : le montant et le destinataire sont dans le code, à vérifier avant de valider.
• Connecter à un réseau Wi-Fi : identifiant et mot de passe sont contenus dans le code.
• Ajouter un contact, un événement ou afficher un simple texte : sans risque particulier.

Ce que voit celui qui a créé le code

Si l’adresse passe par un service de suivi, chaque scan produit une trace : date, heure, type d’appareil, parfois localisation approximative. C’est utile pour mesurer l’efficacité d’une affiche — et c’est une collecte de données comme une autre, qui devrait être annoncée au même titre que les autres.