Faut-il scanner ce QR code ? Une liste de contrôle de sécurité

Faut-il scanner ce QR code ? Cette liste de contrôle de sécurité vous donne une routine calme et reproductible — quelques points à vérifier avant de scanner et quelques autres après — pour qu'un code doive mériter votre confiance avant d'obtenir votre tap. 🐾

Les QR codes sont réellement utiles. Ils ouvrent des menus, partagent le Wi-Fi, servent de billets d'événements et accélèrent les paiements. Le but de ce guide n'est pas de vous faire craindre chaque carré — c'est de vous donner une légère habitude mentale qui attrape le rare mauvais code sans ralentir les bons. L'essentiel prend une dizaine de secondes et devient vite une seconde nature.

La seule règle qui compte le plus

Si vous ne retenez rien d'autre, retenez ceci : un QR code n'est jamais plus digne de confiance que ce vers quoi il pointe. Le code lui-même n'est que du texte encodé, généralement une adresse web. Il ne peut rien installer tout seul ; le risque réside entièrement dans la destination. Tout le jeu consiste donc à pouvoir voir cette destination avant de vous y engager. Tout ce qui suit vise en réalité à rendre visible le lien invisible, puis à le juger sensément. Pour le pourquoi de tout cela, voyez un QR code peut-il pirater votre téléphone ?

Avant de scanner : lire la situation

Avant même de sortir l'appareil photo, un coup d'œil au contexte en dit long.

D'où vient ce code ?

Attendu et officiel ? Un code sur un produit que vous avez acheté, une facture que vous attendiez, ou un menu à l'intérieur d'un restaurant présente un faible risque.
Non sollicité ? Un code dans un e-mail inattendu, un SMS surgi de nulle part, ou une lettre exigeant une action urgente mérite une vraie méfiance. C'est le montage classique du quishing.
Dans un lieu public ? Les codes sur les horodateurs, les bornes de recharge, les affiches et les tables sont faciles à recouvrir d'un autocollant par un escroc. Vérifiez si le code semble d'origine ou collé par-dessus. Notre guide sur les faux QR codes d'horodateurs montre à quoi faire attention.

Le code semble-t-il altéré ?

Regardez le code physique. Est-ce un autocollant posé sur un autre code ? Les bords se décollent-ils, sont-ils désalignés ou d'une couleur légèrement différente de l'impression environnante ? Les attaques par superposition sont courantes, et un autocollant mal ajusté est souvent le seul indice visible. Nous couvrons cela dans comment les attaquants collent par-dessus les QR codes légitimes.

Un autocollant posé sur un code imprimé est la version du monde physique d'un lien suspect. En cas de doute, ne scannez pas : demandez à un membre du personnel ou utilisez plutôt l'application officielle.

Au moment de scanner : prévisualisez l'URL

C'est le cœur de la liste. Presque tous les appareils photo de téléphone modernes vous montrent le lien décodé en aperçu avant d'ouvrir quoi que ce soit. Lisez ce lien. Un outil comme QR Puppy est bâti autour de cette idée — vous pouvez scanner un code en toute sécurité et voir d'abord la véritable destination, afin de décider les yeux ouverts plutôt que de taper à l'aveugle.

Quand vous lisez le lien, vérifiez :

À rechercher	Signal de confiance	Signal d'alerte
Le domaine	Le vrai domaine attendu de l'entreprise	Un sosie (paypa1, amaz0n-secure)
Le début de l'adresse	Reconnaissable et propre	Un raccourcisseur masquant la vraie cible
Des mots supplémentaires dans le domaine	Aucun	« -login », « -verify », « -support » ajoutés
Ce qu'il demande	Ouvre juste une page	Invite à rejoindre un Wi-Fi, envoyer un SMS ou télécharger un fichier

Les domaines sosies et les liens raccourcis sont les astuces les plus courantes, et il vaut la peine d'apprendre à les repérer. Notre article sur les QR codes et les URL malveillantes les décortique en détail.

Après avoir atterri sur la page : jugez avant d'agir

Même une fois la page chargée, vous avez encore toutes les chances de rester en sécurité. L'arnaque ne fonctionne que si vous faites quelque chose.

Demande-t-elle un mot de passe ? Soyez extrêmement méfiant à l'idée de saisir des identifiants sur une page atteinte en scannant. Si vous devez vous connecter, ouvrez l'application officielle ou tapez l'adresse du site que vous connaissez déjà.
Demande-t-elle un paiement ou des données de carte ? Le stationnement, les péages et les livraisons légitimes peuvent presque toujours être payés via une application ou un site officiel que vous pouvez atteindre vous-même.
Pousse-t-elle à l'urgence ? « Votre compte va être fermé », « payez maintenant pour éviter une amende » — la pression est une tactique de manipulation, pas une véritable échéance.
A-t-elle déclenché une action ? Si le scan a tenté de pré-remplir un SMS, d'ajouter un contact ou de se connecter au Wi-Fi, arrêtez-vous et reconsidérez. Voyez QR codes Wi-Fi : commodité vs risque.

Cas particuliers méritant un soin supplémentaire

Paiements et cryptomonnaies

Les QR codes de paiement méritent leur propre pause, surtout en crypto, où une adresse de portefeuille substituée envoie votre argent à un inconnu sans aucun moyen de l'annuler. Vérifiez toujours le destinataire de façon indépendante — voyez QR codes et arnaques aux cryptomonnaies.

Codes Wi-Fi

Un QR code Wi-Fi peut connecter silencieusement votre téléphone à un réseau. Sur un code de confiance (la signalétique propre d'un café), c'est pratique. Sur un code inconnu, il pourrait vous relier à un réseau hostile. Traitez avec prudence les codes Wi-Fi inattendus.

La version rapide à mémoriser

Source — attendais-je ce code, ou m'est-il parvenu ?
Surface — est-ce un autocollant collé par-dessus ou une impression d'origine ?
Voir le lien — prévisualisez l'URL et lisez le domaine.
Scruter — sosie ? raccourcisseur ? mots supplémentaires ?
S'arrêter avant les secrets — ne saisissez jamais de mots de passe ou de paiement à partir d'un scan inattendu.

Passez cela en revue mentalement et vous désamorcerez l'écrasante majorité des codes malveillants sans y penser à deux fois. Et si jamais vous en rencontrez un mauvais, notre guide sur comment signaler un QR code malveillant explique comment prévenir les autres. Quand vous devez créer vos propres codes, vous pouvez créer un QR code gratuit qui encode votre vrai lien directement, sans rien de caché.

Questions fréquentes

Est-il dangereux de simplement scanner un QR code ?

Généralement pas en soi. Scanner ne fait normalement que décoder un lien et proposer de l'ouvrir. Le risque commence quand vous visitez la destination puis saisissez des informations ou téléchargez quelque chose, d'où l'efficacité de prévisualiser l'URL d'abord.

Comment prévisualiser un lien avant de l'ouvrir ?

La plupart des appareils photo de téléphone affichent l'adresse web décodée avant de charger la page — faites une pause et lisez-la. Un scanner qui révèle clairement la vraie destination d'abord vous permet de vérifier le domaine pour les sosies et les raccourcisseurs avant de taper.

Quel est le plus grand signal d'alerte dans un lien scanné ?

Un domaine qui correspond presque à une marque de confiance mais pas tout à fait, ou un raccourcisseur d'URL qui masque où vous allez vraiment. Combiné à toute demande de mot de passe ou de paiement, c'est un signal fort pour faire marche arrière.

Les QR codes des menus de restaurant sont-ils sûrs ?

Généralement oui, mais vérifiez que le code est imprimé dans la table ou le menu plutôt qu'un autocollant volant posé par-dessus. Les autocollants superposés sont une astuce connue dans les lieux publics, donc un code mal ajusté ou qui se décolle mérite un second regard.

Dois-je utiliser une application de scanner QR spéciale ?

Ce n'est pas nécessaire, puisque les appareils photo de téléphone modernes affichent déjà le lien avant de l'ouvrir. Ce qui compte, c'est d'utiliser un scanner qui révèle clairement la vraie destination d'abord, afin de pouvoir la juger plutôt que d'être envoyé droit vers une page inconnue.