L’essentiel à retenir
Ne pas masquer la destination, protéger les fichiers sources et contrôler les affichages publics.
Vingt outils pour URL, texte, Wi‑Fi, vCard, email, événement, géolocalisation, EAN‑13 et Code 128. Les générateurs fonctionnent localement et produisent des fichiers téléchargeables.
Les points qui changent réellement la décision
1. Un QR cache visuellement son contenu : l’utilisateur doit pouvoir connaître la destination avant d’ouvrir.
Action : Afficher le domaine en clair.
Preuve à conserver : Noter l'hypothèse et la donnée qui permet de la contrôler.
2. Une URL doit utiliser HTTPS et un domaine stable contrôlé par l’éditeur.
Action : Utiliser HTTPS.
Preuve à conserver : Tester un cas normal puis un contre-exemple volontaire.
3. Coller un nouveau QR par-dessus une affiche est une attaque possible dans un lieu public.
Action : Inspecter les supports physiques.
Preuve à conserver : Faire relire le point par la personne concernée par la décision.
4. Un QR statique imprimé ne peut pas être révoqué autrement qu’en modifiant la ressource de destination.
Action : Prévoir la durée de vie.
Preuve à conserver : Conserver la date, la source et la version finalement retenue.
Appliquer la méthode sans automatiser la décision
Pour appliquer « Sécurité et erreurs à éviter avec un QR code » à une situation réelle : Avant impression en série, un prototype est scanné sur plusieurs appareils, à la distance et sur le support réellement prévus. Le premier point à éprouver est : Un QR cache visuellement son contenu : l’utilisateur doit pouvoir connaître la destination avant d’ouvrir.
| Point à examiner | Action concrète | Trace utile |
|---|---|---|
| Un QR cache visuellement son contenu : l’utilisateur doit pouvoir connaître la destination avant d’ouvrir. | Afficher le domaine en clair | Noter l'hypothèse et la donnée qui permet de la contrôler. |
| Une URL doit utiliser HTTPS et un domaine stable contrôlé par l’éditeur. | Utiliser HTTPS | Tester un cas normal puis un contre-exemple volontaire. |
| Coller un nouveau QR par-dessus une affiche est une attaque possible dans un lieu public. | Inspecter les supports physiques | Faire relire le point par la personne concernée par la décision. |
| Un QR statique imprimé ne peut pas être révoqué autrement qu’en modifiant la ressource de destination. | Prévoir la durée de vie | Conserver la date, la source et la version finalement retenue. |
Passer du besoin au bon contrôle
Le contenu est d’abord affiché en clair, puis encodé dans le symbole. Le générateur ajoute une zone calme et propose une taille suffisante. Les codes GS1 sont contrôlés mathématiquement sans attribuer de numéro.
- 1
Afficher le domaine en clair avant d’ouvrir l’outil.
- 2
Utiliser HTTPS sur un exemple court et vérifiable.
- 3
Inspecter les supports physiques puis valider sur le support destinataire.
Checklist pratique
- Afficher le domaine en clair
- Utiliser HTTPS
- Inspecter les supports physiques
- Prévoir la durée de vie
Références utilisées
- QR Code essentials and standardization — DENSO WAVE
- Dix règles d’or en matière de sécurité numérique — ANSSI
Consultez aussi les références de la rubrique et les tests des outils associés.
Ce que ce dossier ne remplace pas
Un QR statique ne peut pas être modifié après impression. Les lecteurs dépendent de BarcodeDetector et du navigateur. Un EAN‑13 valide n’est pas nécessairement attribué : seul GS1 fournit et vérifie les identifiants officiels.
Une règle contractuelle, une documentation officielle plus récente, un paramétrage de production ou un professionnel compétent prévaut toujours sur un exemple général.