飲食店のQRメニューは静的コードで十分です。

メニュー用QRコードは2020年に広く普及し、そのまま定着しました。多くの飲食店では、ウェブサイトを担当した人が一度コードを作り、それ以降確認されていません。これは重要な問題です。飲食業には、この仕組みが集中しているからです。コードの数が多く、スキャン量が多く、印刷物を長く使い、利益率も低い業界です。

なぜ飲食店はテーブルごとに請求されるのですか？

コードごとの料金体系が、多くのコードを必要とするビジネスと組み合わさるからです。テーブルテント12枚、窓のステッカー1枚、持ち帰り袋のシール1枚がある飲食店なら、コードは14個です。コードごとの動的プランでは、以前なら紙代だけで済んだメニューに、毎月14件分の料金がかかります。

ここではサブスクリプションも特に解約しにくい仕組みです。テーブルテントはラミネート加工され、ステッカーは貼り付け式で、メニューの印刷し直しはせいぜい季節ごとです。再印刷には実際の手間がかかるため、月額料金はその費用を大きく下回るように設定されています。まさにそれが料金の決め方です。「無料」QRコードの本当のコスト では、この計算を説明しています。

提供会社は来店客について何を知るのですか？

スキャンのたびに、メニューが読み込まれる前に提供会社へHTTPリクエストが送られます。Cookieや同意がなくても、来店客のIPアドレス、タイムスタンプ、端末とOS、優先言語が提供会社に渡ります。さらに、テーブルテントごとに短縮リンクが異なるため、どのテーブルだったかも分かります。

集計すれば、店の営業状況を詳しく把握できます。1時間あたりの来客数、テーブルの回転時間、よく利用されるテーブル、平日と週末の傾向、客の言語構成などです。これは飲食店にとって本当に役立つ運営データですが、店の家具によって生み出され、他社に収集されています。

提供会社の顧客全体で見ると、それだけではありません。同じ端末の指紋が、ある都市の飲食店、店舗、会場で繰り返し現れれば、その人の移動が分かります。欧州連合司法裁判所は、サイト運営者が記録した動的IPアドレスも個人データになり得ると*Breyer*（C-582/14）で判断しました。これは単なる興味の問題ではなく、コンプライアンスの問題です。GDPRでは、通常、そのリスクを負うのはコードを導入した事業者です。QRプロキシが記録する情報 で詳しく説明しています。

実際には何が起こるのですか？

最初の3つは、見た目が違うだけで同じ障害です。メニューが、自分ではない会社に依存しています。4つ目は請求とは無関係ですが、請求の仕組みによって悪化します。来店客が見慣れない短いドメインをいつも見ていると、悪意のあるドメインに気づく方法がないからです。

英国国家サイバーセキュリティセンター（NCSC）は、パブや飲食店のQRコードは通常安全だと評価しています。一方、メールで届くコードには、はるかに注意が必要です。物理的に残るリスクは上貼りステッカーで、対策は単純です。テントを確認してください。

固定版はどのようなものですか？

注文や決済用のコードはどうですか？

これらはメニュー用コードとは分けて考えるべきです。リスクの性質が本当に異なり、助言も同じではないからです。

注文と決済用のコードは、来店客がカード情報を入力するページに移動させます。そのため、この記事で扱うすべての問題の重要度が上がります。決済コードに上貼りステッカーがあれば、単なる迷惑ではなくカード詐欺への直接の入口になります。また、プレビューで自社ドメインを見分けられない人は、自分の決済ページと巧妙な偽ページを区別できません。米国連邦取引委員会（FTC）の正規のコードの上に貼られたステッカーに関する警告は、別の場面でまさにこの手口を対象にしています。駐車料金メーターが典型例です。

ここから2つのルールが導けます。第一に、決済コードには必ず自社ドメインか、注文プラットフォームの本物のドメインを埋め込んでください。汎用短縮サービスは使わないでください。来店客が確認できる唯一の手がかりをなくすからです。第二に、コードの横にドメインを読みやすい文字で印刷し、予定を決めて物理的なテントを確認してください。どちらも安価で、テーブル上で機能する唯一の防御策です。

注文プラットフォームがコードを発行しているなら、1つを読み取り、ペイロードにどのドメインが入っているか確認してください。プラットフォーム自身のドメインを直接埋め込むものなら問題ありません。一方、その上に第三者の短縮サービスを経由させるものもあります。その場合、来店客とカード入力フォームの間に、契約していない第三者が余分に入ることになります。

どうやって切り替えればよいですか？

1. 現在のテーブルテントを読み取る ために、私たちのリーダーを使い、ペイロードにどのドメインが入っているか確認します。自社ドメインでなければ、借り物のリダイレクトを使っています。
2. 安定したURLを選ぶ――yourrestaurant.com/menu――そして今後変更しないようにします。後で移動できる余地を残したいなら、コードをyourrestaurant.com/mに向け、そこからリダイレクトします。
3. そのアドレスを埋め込んだ静的な[URL QRコード](Url)を生成します。
4. 必要なら、設置場所ごとのトラッキングを追加します：?src=table、?src=window、?src=takeaway。自社の分析ツールで、ダッシュボードが売りにしていた設置場所ごとの件数を同じように確認できます。
5. コードの横にURLを読みやすい文字で印刷することで、来店客はスキャンなしでメニューにアクセスでき、コードが自分のものだと確認できます。
6. 次の自然な印刷サイクルで再印刷する。古いテントを使用停止にしたら、サブスクリプションを解約します。

すでにコードが使えなくなり、今日から来店客にアップグレードページが表示されているなら、再印刷前の緊急手順を人質状態からの復旧ガイドで確認してください。

次の印刷に間に合うよう、今すぐ交換用を作っておきましょう：URL QRコード。背景情報：QRコード詐欺の真実。