Décodez, ne scannez pas : lisez le contenu du QR

Deux situations justifient cette précaution : vous êtes sur le point de scanner un code auquel vous ne faites pas entièrement confiance, ou vous allez imprimer un code généré ailleurs. La même technique répond aux deux cas.

Étape 1 — Lisez le contenu au lieu de l’ouvrir

Un QR code contient du texte. Un scanner décode ce texte et agit immédiatement — il ouvre l’URL, rejoint le réseau Wi-Fi ou lance l’appel. Un décodeur décode le même texte et vous l’affiche simplement. Cette différence constitue toute la marge de sécurité.

Photographiez le code ou faites-en une capture d’écran, puis décodez l’image avec notre lecteur de QR. Il fonctionne entièrement dans votre navigateur : l’image n’est jamais téléversée et rien n’est ouvert. Vous obtenez le contenu brut sous forme de texte.

Étape 2 — Déterminez le type de contenu

Les contenus de QR code suivent des formats reconnaissables. Lire le préfixe vous indique ce qu’aurait fait un scanner.

Nos pages consacrées aux types expliquent comment est construit chaque format légitime : Wi-Fi, vCard, e-mail, téléphone, texte brut.

Étape 3 — Évaluez le domaine

Pour un contenu URL, c’est le domaine qui compte — lisez-le de droite à gauche à partir de la première barre oblique simple. Dans https://pay.cityparking.gov/meter/44, le domaine est cityparking.gov. Dans https://cityparking.gov.pay-now.click/meter/44, c’est pay-now.click ; la partie reconnaissable n’est qu’un décor.

Une mise en garde concernant les raccourcisseurs : reconnaître le service ne vous indique pas la destination. Unit 42 le dit clairement — « Même les personnes attentives à la sécurité qui vérifient l’aperçu de l’URL avant de scanner ne peuvent pas déterminer la destination finale lorsqu’elles reçoivent des liens raccourcis » — et les trois services qu’ils identifient comme les plus utilisés à des fins malveillantes sont de simples domaines de redirection de générateurs de QR codes. Un raccourcisseur familier n’est pas une garantie.

Étape 4 — Suivez la chaîne de redirections

Si le contenu est un lien court et que vous devez savoir où il aboutit réellement, résolvez-le sans charger la page. Depuis un terminal :

Exécutez curl -sIL "https://short.example/abc" | grep -i "^location:" — cette commande affiche l’en-tête Location de chaque étape sans exécuter le contenu de la page. Observez le nombre d’étapes : une seule redirection vers la destination attendue est normale, tandis que plusieurs redirections passant par des hôtes sans rapport indiquent généralement des intermédiaires d’analyse ou de publicité, dont chacun voit la requête. L’article Ce qu’enregistre un proxy QR explique quelles données ces étapes collectent.

Deux réserves. Une redirection peut vous servir une destination et en servir une autre à quelqu’un d’autre, selon l’adresse IP, l’agent utilisateur ou l’heure — un résultat propre prouve donc seulement ce qui s’est produit pour vous, à cet instant, et non ce qu’obtiendra un client dans un autre pays. De plus, la destination d’un code dynamique peut être modifiée à tout moment par la suite, ce qui est précisément la fonctionnalité vendue.

Comment vérifier un code reçu par e-mail ?

Traitez ce cas à part : il est plus dangereux. Le NCSC indique que les QR codes sont utilisés dans les e-mails d’hameçonnage précisément parce que tous les outils de sécurité n’analysent pas les images. Un code peut ainsi faire passer un lien malveillant au travers de filtres qui auraient détecté le même lien sous forme de texte — et le scanner vous fait passer sur un téléphone personnel, moins protégé que votre ordinateur professionnel.

La vérification est simple. Enregistrez l’image depuis l’e-mail au lieu de la scanner à l’écran, décodez le fichier et lisez le domaine. Faites-le sur l’ordinateur, pas sur le téléphone, afin de ne jamais quitter l’appareil protégé. Si le domaine ne correspond pas exactement à l’organisation prétendument à l’origine de l’e-mail, arrêtez-vous — contactez cette organisation par le moyen habituel, et non par un élément du message.

Le signal à surveiller est l’association de l’urgence et d’un code : problème de livraison, avis fiscal, boîte aux lettres presque pleine, compte à vérifier aujourd’hui. Les organisations légitimes ont très rarement besoin que vous scanniez un carré imprimé pour résoudre en urgence un problème de compte. Le quishing présente en détail les modes opératoires de ces attaques.

Qu’est-ce qu’un décodeur ne peut pas vous dire ?

Bien comprendre les limites permet de rester honnête sur ce que vérifie réellement cette méthode.

• Si la destination est sûre. Un décodeur vous montre l’adresse, pas le contenu. Un domaine reconnaissable peut tout de même héberger une page compromise.
• Ce que voient les autres. Une redirection peut servir des destinations différentes selon l’adresse IP, l’agent utilisateur ou l’heure. Votre résultat propre décrit votre requête, à cet instant.
• Ce qui se passera demain. La destination d’un code dynamique peut être modifiée à tout moment après votre vérification. C’est la fonctionnalité vendue, et c’est pourquoi « Je l’ai vérifié une fois » ne constitue pas une affirmation durable au sujet d’un code dynamique.
• Si l’exemplaire imprimé correspond au fichier. Des autocollants superposés peuvent faire différer le visuel que vous avez approuvé de l’objet collé au mur. Seul le décodage d’un exemplaire physique vous renseigne sur cet exemplaire.

Les première et dernière limites expliquent pourquoi les conseils destinés aux entreprises reviennent toujours au même point dans ce blog : un code statique sur votre propre domaine est la seule configuration dans laquelle une vérification ponctuelle reste valable.

Étape 5 — Vérifiez votre visuel avant l’impression

Cela prend une minute et évite toute une catégorie de problèmes coûteux.

1. Exportez le visuel final exactement comme il sera imprimé.
2. Décodez ce fichier — pas celui de l’aperçu du générateur.
3. Vérifiez que le contenu est l’URL souhaitée, sur un domaine que vous possédez.
4. S’il s’agit d’un lien court sur le domaine de quelqu’un d’autre, ne l’imprimez pas. Générez à nouveau un code statique.
5. Scannez l’épreuve imprimée dès sa réception et vérifiez qu’elle mène toujours au bon endroit.

Si le code est déjà imprimé et que cette vérification arrive trop tard, le guide de récupération après prise d’otage présente les options restantes. S’il a cessé de fonctionner et que vous ne savez pas encore pourquoi, commencez par pourquoi votre QR code ne fonctionne plus.

Les codes que vous générez ici se décodent toujours exactement comme vous les avez saisis : QR code URL. Pour aller plus loin, consultez la vérité sur les arnaques aux QR codes.