Pour vérifier qu'un QR code est sûr, regardez où il est placé, assurez-vous qu'il ne s'agit pas d'un autocollant collé sur un autre code et lisez l'aperçu du lien avant de l'ouvrir. Confirmez que le domaine appartient bien à l'organisme attendu, et ne saisissez jamais de mot de passe ni ne payez si quelque chose ne correspond pas.
La plupart des QR codes que vous croisez sont parfaitement normaux. Mais comme un QR code cache son lien, quelques secondes de vérification peuvent vous éviter une fausse page de connexion ou un paiement au mauvais destinataire. Voici dix vérifications pratiques, réparties entre avant, pendant et après le scan.
Avant de scanner : observez le code lui-même
Les premiers indices sont physiques. Les escrocs collent souvent leur propre code par-dessus un code authentique : commencez donc par ce que vous pouvez voir et toucher.
1. Vérifiez qu'il ne s'agit pas d'un autocollant posé sur un autre code
Passez le doigt sur le code. Un bord en relief, une couleur légèrement différente ou un code qui paraît plus récent que l'affiche qui l'entoure sont autant de signes qu'il a pu être ajouté après coup. C'est particulièrement fréquent sur les horodateurs, les bornes de recharge, les stations de vélos en libre-service et les affichettes de paiement.
2. Demandez-vous si l'emplacement est logique
Un QR code sur une table de restaurant qui ouvre le menu, c'est normal. Un QR code scotché sur un lampadaire qui promet de l'argent gratuit, ça ne l'est pas. Réfléchissez à qui a pu placer ce code ici et s'il a vraiment besoin que vous le scanniez.
3. Cherchez une marque et des coordonnées
Les codes authentiques sont généralement imprimés sur un support complet, avec le nom de l'entreprise, son logo et parfois une courte adresse web à proximité. Un code isolé, sans contexte, ou imprimé sur une feuille de mauvaise qualité mérite davantage de prudence.
Pendant le scan : lisez attentivement l'aperçu
Quand vous pointez l'appareil photo vers un code, votre téléphone affiche un aperçu du lien avant de l'ouvrir. C'est le moment le plus important pour votre sécurité.
4. Lisez le nom de domaine
Concentrez-vous sur la partie principale de l'adresse, celle qui se trouve juste avant la première barre oblique simple, par exemple exemple.fr. Est-ce bien le vrai site de l'organisme ? Méfiez-vous des petites fautes d'orthographe, des mots en trop ou des extensions inhabituelles conçues pour imiter une vraie marque.
5. Prudence avec les liens raccourcis
Les liens courts sont courants et souvent légitimes, mais ils masquent la destination finale. Si l'aperçu affiche un lien court que vous ne reconnaissez pas, utilisez un outil qui révèle où il mène. Notre guide les liens raccourcis sont-ils sûrs ? explique comment les prévisualiser.
6. Repérez les actions inattendues
Un QR code peut faire bien plus qu'ouvrir un site web. Il peut lancer un appel, rédiger un SMS, ajouter un contact ou connecter votre téléphone à un réseau Wi-Fi. Si l'aperçu propose une action que vous n'attendiez pas, comme l'envoi d'un SMS vers un numéro surtaxé, annulez.
Une fois la page ouverte : vérifiez avant d'agir
Même si le lien semble correct, restez vigilant une fois la page chargée.
7. Ne saisissez pas de mot de passe depuis un code inconnu
Une page de paiement de stationnement ou un menu de restaurant n'a aucune raison de vous demander le mot de passe de votre messagerie ou vos identifiants bancaires. Si une page ouverte via un QR code vous demande de vous connecter, fermez-la et ouvrez vous-même l'application ou le site officiel.
8. Refusez les téléchargements d'applications inattendus
Méfiez-vous si un code vous pousse à installer une application, surtout en dehors de la boutique officielle ou avec des demandes d'autorisations étendues. N'installez des applications que depuis la boutique officielle, et seulement quand c'est vous qui les avez cherchées.
9. Vérifiez le nom du bénéficiaire avant de payer
Quand un QR code ouvre un paiement dans votre application bancaire ou votre portefeuille électronique, l'application indique qui va recevoir l'argent. Assurez-vous que ce nom correspond au commerce, à la personne ou à l'organisme que vous voulez payer. Sinon, arrêtez-vous et posez la question. Notre guide sur le paiement par QR code en toute sécurité détaille ce point.
10. Repérez la pression et l'urgence
Les pages frauduleuses vous poussent souvent à agir vite : payer une amende aujourd'hui, confirmer votre compte immédiatement, réclamer un gain dans les dix minutes. Les vrais organismes exigent rarement une action instantanée via un QR code. L'urgence est justement une raison de ralentir.
La liste à retenir
Si vous ne deviez retenir que quelques points, ce seraient ceux-ci :
- Touchez le code : s'agit-il d'un autocollant posé sur autre chose ?
- Lisez le domaine : est-ce bien le véritable organisme ?
- Ne vous connectez jamais depuis une page ouverte par un QR code inconnu
- Vérifiez le nom du bénéficiaire avant tout paiement
- En cas de doute, tapez vous-même l'adresse du site
Les outils qui aident à vérifier un QR code
Votre jugement reste la principale protection, mais quelques outils facilitent la vérification :
- Un lecteur qui affiche un aperçu sûr. L'outil QR-TH vous permet de scanner un QR code en ligne avec votre appareil photo ou à partir d'une image. Il décode le code dans votre navigateur et affiche la destination avant que quoi que ce soit ne s'ouvre.
- Les vérifications de réputation des liens. Des services comme Google Safe Browsing tiennent des listes de sites dangereux connus. QR-TH vérifie chaque lien créé sur la plateforme auprès de ce service et le revérifie chaque nuit, et sa page de chargement montre aux visiteurs où mène un lien avant qu'il ne s'ouvre.
- Les alertes intégrées à votre navigateur. Les navigateurs mobiles modernes avertissent quand un site de phishing connu est détecté. N'ignorez pas ces avertissements.
- La double authentification. Si un mot de passe fuite malgré tout, une application d'authentification empêche la plupart des attaquants d'accéder à votre compte.
Aucun outil ne peut détecter toutes les pages frauduleuses toutes neuves : considérez-les comme un filet de sécurité, pas comme une garantie.
Que faire si un QR code semble dangereux
Si quelque chose vous paraît anormal, ne scannez pas, ou fermez la page immédiatement. Ensuite :
- Prévenez le commerce, le lieu ou le gestionnaire de l'immeuble pour qu'il retire le faux code.
- Si vous avez saisi un mot de passe, changez-le tout de suite sur le vrai site.
- Si vous avez communiqué des coordonnées bancaires, contactez votre banque au numéro figurant sur votre carte.
- Signalez toute perte à la police ou à l'autorité locale de protection des consommateurs.
Pour un plan de récupération complet, consultez que faire après avoir scanné un QR code malveillant.
FAQ
Peut-on vérifier un QR code sans ouvrir le lien ?
Oui. L'appareil photo de votre téléphone affiche un aperçu du lien avant de l'ouvrir, et un lecteur en ligne peut décoder le code à partir d'une photo ou d'une capture d'écran et afficher la destination sans la visiter.
Un QR code est-il sûr si la page affiche un cadenas ?
Pas forcément. Le cadenas signifie que la connexion est chiffrée, pas que le site est honnête. Les sites frauduleux peuvent eux aussi afficher un cadenas : vérifiez toujours le nom de domaine lui-même.
Les QR codes des grandes enseignes sont-ils toujours sûrs ?
En général oui, mais un faux autocollant peut être posé sur n'importe quelle affiche, même dans un magasin de confiance. Cherchez les codes superposés et vérifiez le nom du bénéficiaire au moment de payer.
Quelle est la meilleure attitude face à un QR code douteux ?
Ne le scannez pas. Rendez-vous directement sur le site ou l'application officielle de l'organisme, ou demandez au personnel de vous confirmer le bon code.
Scanner en sécurité, c'est surtout une habitude : toucher, lire, confirmer. La prochaine fois qu'un code vous fait hésiter, passez-le dans le lecteur de QR code en ligne de QR-TH et voyez exactement où il mène avant de décider.