← Ressources utiles

Ressources utiles

Sécurité des QR codes : hameçonnage, faux codes et ce qui protège vraiment

Un QR code est un lien dont l’adresse est cachée. Ce n’est pas un défaut du format, c’est exactement sa raison d’être — et c’est pourquoi un autocollant de papier sur une table de café peut envoyer l’argent d’un inconnu ailleurs sans que personne ne le remarque. Voici ce qu’un code peut réellement faire, d’où viennent les faux, et les vérifications qui coûtent dix secondes.

Un code qui vous laisse un doute ? Le lecteur affiche l’adresse avant de l’ouvrir.

Vérifier le code

Un autocollant collé sur un QR code imprimé, un téléphone à côté affichant un avertissement — L’autocollant cache l’adresse. Dessous, le même carré mène ailleurs.

Un QR est un lien dont on ne voit pas l’adresse

Quand un lien arrive dans un message, vous pouvez le survoler, ou au moins voir où mène le clic. Le QR supprime cette étape : ce que vous visez est un dessin de carrés, et l’adresse vit à l’intérieur, là où personne ne la lit. Le problème de sécurité n’est pas dans le code. Il est dans le fait que la seule information qui vous aurait arrêté est précisément celle que vous ne voyez pas.

Et il faut le dire clairement, parce qu’une bonne partie de la panique repose sur une erreur : rien n’est chiffré ici, et rien n’est secret. Un QR est du texte ordinaire dessiné en carrés. N’importe qui avec une imprimante en fabrique un, n’importe qui avec un téléphone lit ce qu’il contient, et aucun conseil sur la « sécurité des QR » n’y change quoi que ce soit.

Un QR code qui déclenche trois choses très différentes : une page web, un paiement et un cadenas — Un seul scan, trois choses très différentes. Ce n’est pas le carré qui décide laquelle vous tombera dessus : c’est le lien.

Ce qu’un scan peut réellement faire

« Scanner » n’est pas une action unique, et c’est là que la plupart des conseils deviennent flous. Un code peut porter quatre choses très différentes :

Ouvrir une pageLe cas courant, et celui que tout le monde désigne en disant « scannez notre carte ».

Appeler ou écrireLes codes tel: et sms: lancent aussitôt un appel ou un message — parfois vers un numéro surtaxé.

Rejoindre un réseauUn code Wi-Fi n’affiche aucune page. Le téléphone se connecte simplement, et c’est là que se trouve le risque.

Enregistrer un contact ou payerCartes de visite et liens de paiement ouvrent directement une action, sans page à juger.

Les dangereux sont ceux qui ne demandent rien et ne montrent rien : un code Wi-Fi, un code de paiement. Une page vous donne au moins quelque chose à lire avant de décider. Une connexion réseau ne donne rien.

Deux affiches identiques : sur l’une un autocollant évident, sur l’autre un code réimprimé en silence — À gauche, l’autocollant que vous ne pouvez pas manquer. À droite, le code que quelqu’un a réimprimé sans bruit — et c’est précisément celui-là que vous ne regarderiez jamais.

D’où viennent vraiment les faux

Presque jamais d’un « QR piraté ». Dans le motif, il n’y a aucun serveur où entrer : une fois imprimé, le dessin est figé. Les faux viennent de trois endroits ordinaires, et aucun n’est de la cryptographie :

Quelqu’un a collé son propre autocollant par-dessus le vôtre. Une affiche a été réimprimée dans une agence, chez un imprimeur ou dans une franchise, avec l’adresse recopiée de travers. Ou bien le lien court dynamique qui se cache derrière le code a été redirigé — par le propriétaire, par quelqu’un qui a encore le mot de passe, ou par un service arrivé à échéance et repris par le client suivant.

La bonne question n’est donc pas « ce code est-il faux ? », mais « quelle imprimante a produit cet autocollant, et quel compte décide où il pointe ».

Trois panneaux : un autocollant remplacé, une adresse avec une lettre changée, un code qui mène à deux endroits — Recoller l’autocollant, changer une lettre dans l’adresse ou faire pointer un code vers deux endroits. Il n’y en a pas d’autre.

Trois attaques à connaître

L’autocollant par-dessus

Un autocollant un peu plus petit posé sur le vôtre : bonne taille, bonnes couleurs, et surtout efficace la première semaine, tant que le code est neuf et que personne ne regarde de près. Cela coûte quelques centimes et cela fonctionne. La défense est physique — un cadre ou un support fixe, et une photo prise le jour de la pose.

Le lien court redirigé

Qui a le compte d’analyse a la destination. Un mot de passe partagé, un stagiaire, une agence que vous ne payez plus — et le code posé sur quatre mille tables mène maintenant là où ils le décident. C’est la seule attaque qui n’a rien à voir avec l’impression, et le seul remède est la garde du compte.

Le domaine sosie

Ni intrusion ni pirate : juste un domaine qui se lit bien du coin de l’œil. Une lettre de trop, une autre terminaison, un tiret là où le vôtre n’en a pas. Sur téléphone, la barre d’adresse coupe exactement là où se trouve la différence : l’étranger reste caché, le familier reste visible.

Deux écrans de téléphone identiques : sur l’un l’adresse sous la loupe correspond, sur l’autre non — Dix secondes : regardez l’adresse, pas le carré. Si elle ne correspond pas à ce que vous attendiez, arrêtez-vous là.

La vérification en dix secondes

Scannez avec quelque chose qui affiche l’adresse, pas avec quelque chose qui saute directement dans le navigateur. Lisez le domaine par la droite : seul compte le segment qui précède la première barre oblique après le domaine — un nom connu et long devant une terminaison étrangère est le plus vieux truc du monde, et il ne coûte rien à l’attaquant.

HTTPS est une base, pas une garantie : les certificats sont gratuits, donc une page d’hameçonnage est servie avec un cadenas comme toutes les autres. Et un code qui mène directement à un formulaire de connexion, à un formulaire de carte ou à une installation d’application a précisément sauté l’étape où vous auriez décidé de faire confiance.

Une règle physique couvre la majorité des cas d’autocollants : si l’étiquette semble collée par-dessus une autre, le code est le message, et le message est que quelqu’un veut votre scan.

Deux chaînes de transmission : celle du haut complète, celle du bas rompue avant la dernière étape — Un lien vous appartient, l’autre pas. La seconde chaîne casse exactement là où personne ne regardait.

Ça reste votre problème, même quand ce n’est pas votre faute

Un client qui perd de l’argent après avoir scanné un code sur votre table ne distingue pas votre imprimante de l’autocollant d’un inconnu. La conversation se passe à votre comptoir, pendant votre service, avec vos équipes, qui n’ont rien fait de mal. Le désaccord porte sur la confiance, et la confiance n’accepte pas « ce code n’était pas le nôtre ».

C’est là que se trouve l’argument honnête pour bien traiter ses codes : non pas « sécuriser Internet », mais « ne pas laisser la dispute entrer dans la salle ». Et cela a une forme concrète — chaque code a besoin d’un responsable, d’une photo, d’une routine de contrôle et d’un peu de budget pour remplacer ce qui paraît manipulé.

Deux étiquettes côte à côte : l’une avec un coin décollé et un pli, l’autre avec un scellé intact — Un coin décollé et un scellé manquant en disent plus que n’importe quelle page d’avertissement. À droite, l’étiquette qu’on ne peut pas déplacer discrètement.

L’intégrité physique est un entretien ennuyeux, et ça marche

Imprimez les codes de manière à ce qu’on ne puisse pas poser discrètement une couche par-dessus : cadre, support, carte mate dans une fente. Un film décollé sur la table est une invitation. Photographiez chaque pose le jour où vous l’installez, et rangez la photo là où le responsable de service la trouvera vraiment : ce qui attrape un autocollant, c’est la comparaison, pas le regard.

Contrôlez chaque mois, et de nouveau après tout chantier, peinture ou installation promotionnelle d’un tiers, parce que c’est exactement là que les codes bougent ou se font couvrir. Tout ce qui semble recollé est remplacé, pas nettoyé. Dans chaque lieu, deux codes comptent plus que les autres, et celui qui ouvre le service les regarde en cinq secondes.

Un code imprimé avec une flèche vers sa destination en direct et un panneau de contrôle avec un interrupteur — Un code imprimé que vous pouvez réorienter. C’est du contrôle — et dès que vous l’avez, vous en avez aussi le devoir.

Un code dynamique, c’est du contrôle — et le contrôle est une garde

Pouvoir rediriger un code déjà imprimé est un avantage : cela survit à un changement de carte, à une campagne, à une erreur d’adresse. Mais cela signifie aussi que le vrai capital est le compte. Le code sur le mur vaut exactement ce que vaut le mot de passe derrière lui.

Donc : double authentification, un responsable nommé, aucun identifiant partagé, et l’accès retiré le jour même où un prestataire s’en va. Tenez une liste de tous les liens courts actifs avec leur destination actuelle et exportez-la une fois par mois, pour que « où mène ce code » ait une réponse qui ne dépende pas de la mémoire. Et retirez les liens proprement : un domaine arrivé à échéance est racheté par quelqu’un dont le métier entier est fait de codes comme le vôtre.

Tout n’a pas besoin d’être un QR

Payer au comptoir, commander quand le téléphone n’a plus de batterie, lire une information importante, sortir d’un bâtiment : laissez le chemin humain ouvert et visible. Un code ne doit jamais être le seul moyen de payer, de commander, d’entrer ou de comprendre.

C’est une décision de sécurité, pas de politesse. À l’instant où le code est la seule entrée, une batterie vide, un écran fissuré ou un objectif rayé cessent d’être un désagrément et deviennent une personne qui ne peut plus utiliser votre commerce.

Comment faire, en pratique

Dans le générateur de QR, commencez par la destination : une page https sur un domaine qui vous appartient, derrière un lien court dynamique si vous voulez garder le droit de la corriger plus tard. Téléchargez ensuite le fichier d’impression à la taille physique que le code aura réellement, pas à celle qui rend bien à l’écran.

Le Studio QR s’occupe de ce qui décide si votre code peut être imité de façon convaincante : contraste, zone de silence, finition mate, et l’astuce anti-hameçonnage la moins chère qui existe — imprimer votre propre domaine en texte normal juste sous le code. Qui voit le nom avant de scanner sait déjà à quoi s’attendre, et un domaine sosie doit soudain ressembler au vôtre.

Vérifiez enfin avec le scanner QR : scannez votre code imprimé, une photo de ce code, et une copie volontairement rayée. Ce sont les mêmes dix secondes que votre client dépensera, et c’est le seul test qui se déroule dans la lumière où l’autocollant vit vraiment.

Une phrase pour vos clients

« Si l’autocollant semble collé par-dessus un autre, demandez-nous avant de scanner. » Assez court pour être imprimé à côté du code, et cela transforme chaque client en inspecteur, sans rien coûter. Placez-la là où se trouve le code, pas sur une page de conditions que personne n’ouvre.

Les erreurs qui coûtent cher

Le code a été testé avec un appareil photo qui ouvre les pages tout seul, donc personne n’a jamais lu l’adresse.
Un accès partagé au compte des liens, et aucun journal de qui a changé quelle destination.
Des codes imprimés une fois et jamais photographiés — il n’y a rien à comparer.
Le domaine n’est écrit nulle part en texte, donc un domaine sosie est indétectable.
Un code de paiement qui est le seul moyen de payer à table.
Un code Wi-Fi qui connecte d’abord et n’explique rien ensuite.

Prochaines étapes, prêtes à l’emploi

Hameçonnage par QRComment la confiance est détournée, et quels signaux comptent. Faux autocollantsÀ quoi ressemble une attaque par superposition, vue du comptoir. Wi-Fi publicTrois vérifications en dix secondes. Comment marche un QR dynamiquePourquoi un code imprimé peut être redirigé. Lire les chiffres de scanRepérer un code qui reçoit soudain du trafic. Un design qui scanne encoreContraste, zone de silence et impression mate.