Menu QR restauracji nie wymaga kodu dynamicznego

Kody QR do menu stały się powszechne w 2020 roku i już nie zniknęły. W większości restauracji kod został utworzony raz przez osobę zajmującą się stroną internetową i od tego czasu nikt go nie sprawdzał — a to ważne, ponieważ właśnie w gastronomii ten model jest szczególnie popularny: wiele kodów, duża liczba skanów, długo używane materiały drukowane i niewielkie marże.

Dlaczego restauracje płacą za każdy stolik?

Ponieważ cena za kod trafia na biznes, który potrzebuje wielu kodów. Restauracja z dwunastoma stojakami na stołach, naklejką w oknie i naklejką na torbie na wynos ma czternaście kodów. Przy dynamicznym planie rozliczanym za kod oznacza to czternaście pozycji na rachunku co miesiąc — za menu, które wcześniej kosztowało tyle co papier.

Abonament jest tu także wyjątkowo trudny do porzucenia. Stojaki na stołach są laminowane, naklejki przyklejone, a menu drukuje się najwyżej sezonowo. Ponowny druk to prawdziwe przedsięwzięcie, więc miesięczna opłata pozostaje wygodnie niższa — i właśnie tak ustalono jej wysokość. Prawdziwy koszt „darmowego” kodu QR omawia te wyliczenia.

Czego dostawca dowiaduje się o Twoich gościach?

Każde skanowanie to żądanie HTTP wysyłane do dostawcy, zanim załaduje się menu. Bez plików cookie i zgody dostawca otrzymuje adres IP gościa, znacznik czasu, urządzenie i system operacyjny oraz preferowany język — a ponieważ każdy stojak ma własny krótki link, wie też, przy którym stoliku siedział gość.

Po zebraniu danych daje to szczegółowy obraz obsługi: liczbę gości na godzinę, czas zajmowania stolików, stoliki cieszące się największym zainteresowaniem, różnice między dniami roboczymi a weekendami oraz strukturę językową klientów. To naprawdę przydatne dane operacyjne o Twojej restauracji, generowane przez jej wyposażenie i zbierane przez kogoś innego.

W skali całej bazy klientów dostawcy to coś więcej. Ten sam odcisk urządzenia powtarzający się w restauracjach, sklepach i lokalach w mieście opisuje przemieszczanie się danej osoby. Trybunał Sprawiedliwości orzekł w sprawie *Breyer* (C-582/14), że dynamiczny adres IP zapisany przez operatora strony może być daną osobową. Dlatego jest to kwestia zgodności z przepisami, a nie zwykła ciekawostka — i zgodnie z RODO odpowiedzialność zazwyczaj spoczywa na firmie, która wdrożyła kod. Jakie dane zapisuje serwer pośredniczący QR omawia szczegóły.

Co w praktyce może pójść nie tak?

Pierwsze trzy problemy to w gruncie rzeczy ta sama awaria w różnych przebraniach: menu zależy od firmy, która nie jest Twoją firmą. Czwarty problem nie ma związku z rozliczeniami, ale abonament może go pogłębiać, ponieważ gość przyzwyczajony do nieznanej krótkiej domeny nie ma sposobu, by zauważyć złośliwą.

Ocena NCSC mówi, że kody QR w pubach i restauracjach są zazwyczaj bezpieczne, a znacznie większą ostrożność należy zachować wobec kodów otrzymywanych e-mailem. Pozostające ryzyko fizyczne to naklejka na kodzie, a sposób przeciwdziałania jest prosty: sprawdzaj stojaki.

Jak wygląda wersja bez pośrednika?

A co z kodami do zamawiania i płatności?

Należy oddzielić je od kodów do menu, ponieważ profil ryzyka jest naprawdę inny, a zalecenia nie są identyczne.

Kod do zamawiania i płatności kieruje gościa na stronę, na której wpisze dane karty. To podnosi stawkę każdego problemu opisanego w tym artykule: naklejka na kodzie płatności prowadzi bezpośrednio do oszustwa kartowego, a osoba skanująca kod, która nie potrafi rozpoznać Twojej domeny w podglądzie, nie ma sposobu odróżnić Twojej kasy od przekonującej kopii. Ostrzeżenie FTC dotyczące naklejek umieszczanych na prawidłowych kodach opisuje dokładnie ten schemat w innych sytuacjach, a parkomaty są jego klasycznym przykładem.

Wynikają z tego dwie zasady. Po pierwsze, kod płatności powinien zawsze zawierać Twoją własną domenę albo prawdziwą domenę platformy do zamówień — nigdy ogólny skracacz linków, ponieważ odbiera to gościowi jedyny sygnał pozwalający na weryfikację. Po drugie, wydrukuj domenę czytelnym tekstem obok kodu i regularnie sprawdzaj fizyczne stojaki; oba działania są tanie i tylko one skutecznie chronią gościa przy stoliku.

Jeśli kody wydaje platforma do zamówień, odczytaj jeden i sprawdź, czyja domena znajduje się w danych kodu. Niektóre platformy umieszczają bezpośrednio własną domenę, co jest w porządku. Inne dodatkowo kierują ruch przez zewnętrzny skracacz, co stawia między gościem a formularzem karty kolejną, nieuzgodnioną stronę.

Jak przejść na nowe rozwiązanie?

1. Odczytaj obecny stojak na stole za pomocą naszego czytnika i sprawdź, czyja domena znajduje się w danych kodu. Jeśli nie jest Twoja, korzystasz z wynajętego przekierowania.
2. Wybierz stały adres URL — yourrestaurant.com/menu — i upewnij się, że się nie zmieni. Jeśli chcesz zachować możliwość przeniesienia go później, skieruj kod na yourrestaurant.com/m, a stamtąd ustaw przekierowanie.
3. Wygeneruj statyczny [kod QR adresu URL](Url) zawierający ten adres.
4. Dodaj śledzenie dla poszczególnych miejsc, jeśli chcesz: ?src=table, ?src=window, ?src=takeaway. Twoje własne narzędzia analityczne pokażą wtedy te same liczby dla poszczególnych miejsc, które wcześniej sprzedawał Ci panel.
5. Wydrukuj adres URL czytelnym tekstem obok kodu, aby goście mogli wejść do menu bez skanowania i widzieli, że kod należy do Ciebie.
6. Wymień materiały przy najbliższym planowym dodruku, a następnie anuluj abonament, gdy stare stojaki przestaną być używane.

Jeśli kody już nie działają, a goście trafiają dziś na stronę z informacją o przejściu na wyższy plan, poradnik odzyskiwania kodu opisuje kolejność działań awaryjnych przed ponownym drukiem.

Zamów zamienniki już teraz, aby były gotowe do następnego dodruku: kod QR adresu URL. Kontekst: prawda o oszustwach z kodami QR.