Guide de sécurité 2026
Sécurité des codes QR pour les entreprises : gouvernance, contrôles et campagnes plus sûres
La sécurité des codes QR ne consiste pas à traiter chaque scan comme dangereux. Il s'agit de comprendre où le risque entre dans le parcours du scan : le code physique, l'aperçu de l'URL, les redirections, la page de destination et l'action demandée après le scan.
Les codes QR sont des vecteurs de données, pas des outils de sécurité intégrés. Lorsque les entreprises utilisent des destinations claires, une publication contrôlée, des inspections physiques et la surveillance des scans, la sécurité des codes QR devient un flux de gouvernance pratique plutôt qu'un avertissement basé sur la peur.
Comment les entreprises devraient-elles sécuriser les campagnes de codes QR ?
Une campagne QR plus sûre est celle où les utilisateurs peuvent prévoir la destination avant de scanner, vérifier la destination après prévisualisation, et où l'éditeur peut mettre à jour, surveiller et retirer le code de manière responsable.
La détection des arnaques pour les consommateurs, les vérifications de code suspect et les conseils de numérisation personnelle appartiennent au guide dédié aux faux codes QR. Cette page se concentre sur le côté éditeur : domaines de marque, codes QR dynamiques lorsque les destinations peuvent changer, analytique des codes QR, gouvernance des comptes et vérifications régulières des emplacements imprimés.
Que signifie la sécurité des codes QR ?
Un code QR est un support de données scannable qui peut encoder une URL, du texte, une carte de contact, des identifiants WiFi ou une autre action. Le symbole QR lui-même n'est généralement pas la partie risquée ; le risque réside normalement dans la destination du QR et l'action qu'une personne entreprend après l'avoir prévisualisé ou ouvert.
Le modèle de sécurité commence par le contexte de la source. Un code QR sur une tente de table, un parcmètre, une étiquette de livraison, un badge d'événement, un e-mail, une facture ou un panneau de paiement donne aux utilisateurs différents signaux de confiance. Un code qui apparaît à un endroit attendu et prévisualise un domaine reconnaissable est plus facile à faire confiance qu'un code sans explication.
Les couches suivantes sont le comportement de redirection et la page de destination. Un QR code dynamique peut utiliser une couche de redirection afin que l'URL finale puisse être modifiée et que l'activité de scan puisse être examinée, mais ce contrôle n'est pas synonyme de sécurité automatique. La destination doit toujours correspondre aux attentes de l'utilisateur et éviter les demandes inutiles de informations d'identification, de paiement ou d'autorisation.
Symbole QR
Le code carré visible encode des données. Il doit être imprimé clairement, placé de manière prévisible et protégé contre les autocollants ou les remplacements.
Destination QR
La destination QR est la page ou l'action ouverte après le scan. C'est la source de la plupart des risques de phishing, de paiement, de formulaire et de redirection.
Gouvernance de la campagne
La gouvernance des campagnes couvre qui peut créer, modifier, surveiller, retirer et auditer les codes après qu'ils ont été imprimés ou partagés.
Risques de sécurité des codes QR et mesures d'atténuation
Ce tableau sépare ce qui peut se produire de l'atténuation pratique. Il est destiné aux propriétaires d'entreprise, aux marketeurs, aux équipes opérationnelles et aux examinateurs de la sécurité qui ont besoin d'un modèle de risque compact.
| Risque | Ce qui peut se produire | Atténuation |
|---|---|---|
| Superposition d'autocollant frauduleux | Un utilisateur est dirigé vers une destination frauduleuse à partir d'un panneau, d'un chevalet de table, d'un menu ou d'un parcmètre ayant l'apparence légitime. | Inspecter le placement physique, utiliser des supports inviolables, auditer la signalisation et former le personnel à signaler les superpositions suspectes. |
| Email de hameçonnage | Un employé scanne un code QR qui ouvre une fausse page de connexion ou une demande de paiement. | Former les employés, vérifier les domaines, signaler les messages suspects et aligner les directives de sensibilisation sur les pratiques de phishing de type CISA ou NCSC. |
| Domaine similaire | Un utilisateur fait confiance à une URL qui ressemble à une vraie marque mais qui est contrôlée par quelqu’un d’autre. | Utiliser des domaines de marque reconnaissables, des appels à l’action clairs et des pages de destination correspondant au contexte environnant. |
| Dégradation de la destination QR statique | Les anciens supports imprimés renvoient à du contenu obsolète, incorrect, expiré ou risqué. | Utilisez des codes QR dynamiques pour les campagnes qui peuvent nécessiter des mises à jour et lisez le comparatif complet codes QR statiques vs dynamiques pour comprendre les compromis plus en profondeur. |
| Pics de scans inhabituels | Un code peut être copié, mal placé, partagé en dehors du contexte prévu ou utilisé de manière abusive. | Consultez les analyses de codes QR par heure, emplacement, campagne et source de scan lorsque disponible. |
| Collecte de données sensibles | Les utilisateurs soumettent des identifiants, des informations de paiement ou des données personnelles à une page fausse ou intrusive. | Évitez de collecter des données sensibles sauf si nécessaire, vérifiez la page de destination et ajoutez une vérification plus stricte pour les flux de paiement ou de connexion. |
Liste de contrôle pour les entreprises : Comment rendre les codes QR plus sûrs
Utilisez un générateur fiable et des comptes contrôlés
Conservez la propriété du code QR dans un compte géré par l'équipe plutôt que dans un compte personnel, et limitez qui peut modifier les destinations des campagnes actives.
Choisissez des codes QR dynamiques lorsque les mises à jour sont importantes
Les codes QR dynamiques utilisent une couche de redirection, une URL modifiable et l'analyse des scans. Ils aident les équipes à corriger les erreurs de destination après impression, mais nécessitent toujours une gouvernance responsable du compte.
Utilisez des domaines reconnaissables et des pages de destination pertinentes
Indiquez les codes vers les domaines auxquels les utilisateurs peuvent se connecter pour accéder à votre marque. Évitez les liens courts inexpliqués, les pages d’atterrissage non pertinentes et les chaînes de redirection inutiles.
Ajoutez un texte CTA clair près du code
Remplacez les textes vagues tels que scannez-moi par un contexte comme voir le menu, ouvrir le programme de l’événement, réclamer un coupon, télécharger le guide du produit ou payer cette facture.
Surveillez les analyses de scans
Examinez les tendances de scans pour détecter des pics inhabituels, des géographies inattendues, des décalages dans le timing des campagnes ou une activité après la fin prévue de la campagne. Conservez un travail de mesure plus approfondi dans votre workflow d’analytique des codes QR.
Inspectez les emplacements physiques
Planifiez des vérifications pour les enseignes, menus, chevalets de table, affiches, emballages, points de paiement et affichages publics, en particulier dans les zones à fort trafic ou non surveillées.
Soyez prudent avec les flux de travail sensibles
Les flux de connexion, de paiement, de santé, de récupération de compte et d'accès des employés doivent inclure une vérification supplémentaire et un chemin de secours manuel.
Maintenez un inventaire QR en temps réel
Suivez l'apparition de chaque code, qui en est le propriétaire, quelle destination il ouvre et quand il doit être mis à jour ou retiré. Pour les équipes disposant de nombreux actifs, voir QR code pour la gestion d'inventaire.
Créez un code QR avec une destination claire et modifiable
Utilisez QR-Build lorsque votre campagne a besoin de contrôles pratiques tels que des destinations claires, des modifications dynamiques et des analyses de scans. Les conseils en matière de sécurité et les fonctionnalités des fournisseurs peuvent changer, donc vérifiez les flux de travail sensibles par rapport aux politiques actuelles de votre organisation.
Créer un code QRLes codes QR dynamiques sont-ils plus sûrs que les codes QR statiques ?
Un code QR statique contient des données encodées fixes qui ne peuvent pas être modifiées après création. Les codes statiques conviennent pour des destinations simples, stables et à faible risque où l'URL ne changera pas et où les analyses post-lancement ne sont pas nécessaires.
Un code QR dynamique utilise une couche de redirection afin que la destination finale puisse être modifiée et que les scans puissent être suivis. La chaîne des entités est le code QR dynamique vers la couche de redirection vers l'URL modifiable vers l'analyse des scans vers le ROI de la campagne.
Les contrôles des codes QR dynamiques sont utiles lorsqu'un menu change, qu'un planning d'événement est déplacé, qu'une page de destination est remplacée ou qu'une entreprise multi-sites a besoin de surveillance. Pour une comparaison complète des fonctionnalités, lisez codes QR statiques vs dynamiques.
| Considération de sécurité | Code QR statique | Code QR dynamique |
|---|---|---|
| Changement de destination | La destination ne peut pas être modifiée après l'impression, donc les anciens supports peuvent devenir obsolètes. | L'URL finale peut être mise à jour via la couche de redirection lorsqu'une campagne change. |
| Surveillance | Un code statique ne fournit généralement pas d'analyses de scan au niveau de la plateforme. | Les analyses de scan peuvent aider les équipes à remarquer des pics de scan inhabituels ou des problèmes de calendrier de campagne. |
| Simplicité | Simple et utile pour du contenu fixe avec des besoins de gouvernance minimaux. | Plus flexible, mais l'accès au compte et la propriété de la redirection nécessitent une gouvernance. |
| Flux de travail sensibles | Nécessite toujours de solides signaux de confiance pour la destination et une vérification manuelle pour les actions sensibles. | Ajoute des contrôles de mise à jour et d'analyses, mais ne garantit pas que chaque scan est sûr. |
Comment QR-Build prend en charge des campagnes QR plus sûres
QR-Build est un générateur de codes QR pour créer des codes QR statiques et gérer des campagnes QR dynamiques. Les codes QR statiques conviennent à des destinations fixes simples. Les codes QR dynamiques conviennent aux campagnes où la destination peut changer après impression ou lorsque les analyses de scans aident au suivi.
Les analyses avancées et les fonctionnalités dynamiques sont payantes, et les détails du plan actuel doivent être consultés sur la page des tarifs. Nous évitons de prétendre qu'un générateur peut prévenir toutes les arnaques, car la sécurité des QR dépend également du placement physique, de la confiance dans la destination, du comportement de l'utilisateur et de la gouvernance interne.
QR-Build prend en charge les formats courants utilisés dans les flux de travail sensibles à la sécurité, y compris URL/lien, WiFi, vCard, PDF, e-mail, téléphone, menu, coupon, calendrier, en masse, et d'autres types de codes QR.
Destinations modifiables
Les campagnes QR dynamiques peuvent être mises à jour lorsqu'une page de destination change, qu'un calendrier d'événements est modifié ou que du matériel imprimé doit être corrigé.
Analyses des scans
L'analyse peut aider les équipes à examiner le moment des campagnes, le volume de balayage et les modèles inhabituels sans considérer l'analyse comme une preuve de sécurité.
Gouvernance de la campagne
Une publication plus sûre dépend d'une propriété contrôlée, d'un texte CTA clair, d'un examen du cycle de vie et du retrait des codes anciens ou incorrects.
Meilleures pratiques de sécurité par cas d'utilisation
Restaurants et menus
Risque : Les chevalets de table et les étiquettes de menus peuvent être recouverts ou remplacés dans les zones très fréquentées.
Pratique plus sûre : Utilisez des pages de menu de marque, un texte CTA clair sur le menu et une inspection régulière des tables, fenêtres et enseignes d'entrée.
Paiements et dons
Risque : Un code QR de paiement peut envoyer les utilisateurs au mauvais bénéficiaire si le placement est ambigu ou altéré.
Pratique plus sûre : Affichez le fournisseur de paiement attendu, le nom du bénéficiaire, le contexte de la facture et un chemin de vérification manuelle avant que les utilisateurs ne soumettent des fonds.
Événements et inscription
Risque : La signalisation imprimée peut indiquer des horaires modifiés, d'anciennes pages d'inscription ou des codes copiés.
Pratique plus sûre : Utilisez un code QR événement avec une destination dynamique pour les mises à jour du programme et vérifiez le volume de scans pendant l'événement.
Commerce de détail et emballage
Risque : Les codes produits peuvent être copiés sur des emballages contrefaits ou dirigés vers des pages promotionnelles non liées.
Pratique plus sûre : Utilisez des domaines fiables, un texte CTA concis et des pages de destination qui correspondent au produit, à l'offre, au lot ou au contexte de support.
Opérations internes et inventaire
Risque : Les étiquettes d'actifs et le matériel sur le terrain peuvent rester actifs après le déplacement du matériel, le changement des flux de travail ou le départ des employés.
Pratique plus sûre : Maintenez un inventaire des codes actifs, définissez des responsables et retirez les anciens codes de la circulation. Les programmes à forte intensité d'actifs peuvent utiliser des workflows de gestion d'inventaire par code QR.
Formulaires et retours d'information
Risque : Une destination QR de formulaire peut collecter plus de données personnelles que l'utilisateur ne le prévoyait.
Pratique plus sûre : Expliquez pourquoi le formulaire est nécessaire, limitez les champs sensibles et faites en sorte que le domaine de destination corresponde à l'organisation. Pour les flux spécifiques aux formulaires, voir QR code pour Google Forms.
Erreurs courantes de sécurité des codes QR
Utiliser un texte CTA vague
Remplacez 'scannez-moi' par un texte qui indique exactement aux utilisateurs à quoi s'attendre après le scan.
Imprimer des codes statiques pour des campagnes longues
Utilisez des codes QR statiques pour des destinations stables, mais envisagez des codes QR dynamiques lorsque la destination peut changer après impression.
Envoyer les utilisateurs à travers des redirections inexpliquées
Gardez les routages explicables et faites en sorte que la destination finale corresponde à l'aperçu, à la marque et au contexte environnant.
Passer les inspections physiques
Auditez les emplacements publics selon un calendrier et après l'installation, en particulier les points de paiement, les panneaux, les menus et les surfaces liées au stationnement.
Collecter des données sensibles trop tôt
Évitez de demander des identifiants, des détails de paiement ou des autorisations sauf si la destination a de forts signaux de confiance et une raison claire.
Laisser les anciens codes non gérés
Maintenez les propriétaires, les destinations, les emplacements et les dates de retrait de chaque code QR actif.
Méthodologie de sécurité des codes QR
D’après notre analyse, les mesures de protection QR les plus pratiques sont la clarté de la destination, l’inspection physique, la publication contrôlée et la surveillance post-lancement.
Nous considérons les codes QR dynamiques comme un mécanisme de contrôle, et non comme une garantie de sécurité. Les codes QR statiques restent appropriés pour des destinations simples et fixes, tandis que les codes QR dynamiques ajoutent des contrôles de mise à jour et d’analyse qui nécessitent une gouvernance responsable des comptes.
Les conseils de sécurité et les fonctionnalités des fournisseurs peuvent changer. Les flux de travail sensibles doivent être vérifiés par rapport aux politiques actuelles de votre organisation, aux exigences de l’industrie et à la documentation actuelle des fournisseurs.
Placement physique
Le code peut-il être remplacé, couvert, copié ou déplacé sans que quelqu'un ne le remarque ?
Aperçu de la destination
L'utilisateur voit-il un domaine reconnaissable avant d'ouvrir la destination ?
Comportement de redirection
Le routage est-il explicable, attendu et géré par l'éditeur ?
Page de destination
La page correspond-elle au contexte et évite-t-elle des demandes inutiles de justificatifs, de paiement, de téléchargement ou d'autorisation ?
Analyse des scans
Les schémas inhabituels de timing, de volume ou de localisation des scans peuvent-ils être examinés après le lancement ?
Gouvernance du cycle de vie
Les codes anciens, incorrects ou suspects peuvent-ils être mis à jour, désactivés, remplacés ou retirés ?
Cadre de décision : URL statique, dynamique ou manuelle ?
| Scénario | Choix recommandé | Pourquoi |
|---|---|---|
| Code QR personnel unique avec contenu fixe | Code QR statique | Simple, gratuit, et aucune couche de redirection n'est nécessaire lorsque la destination ne changera pas. |
| Campagne imprimée, menu, événement ou signalisation | Code QR dynamique | La destination peut être modifiée et les scans peuvent être suivis après impression. |
| Connexion, paiement ou récupération de compte sensibles | Repli manuel sur l'URL | Les utilisateurs doivent vérifier directement le domaine et éviter les balayages à l'aveugle pour les actions de compte à haut risque. |
| Programme QR pour entreprises multi-sites | Code QR dynamique | La gouvernance, les mises à jour, la révision des inventaires et l'analyse sont plus faciles à travers les sites. |
Glossaire
Sécurité des codes QR
La sécurité des codes QR est l'ensemble des pratiques utilisées pour réduire le risque lorsque les codes QR sont scannés, publiés, gérés et surveillés.
Code QR
Un code QR est un support de données scannable qui peut encoder une URL, du texte, une carte de contact, des identifiants WiFi ou une autre action.
Destination QR
Une destination QR est la page ou l'action ouverte après le scan. C'est la source réelle de la plupart des risques liés aux QR.
Quishing
Le quishing est un phishing qui utilise un code QR pour diriger les utilisateurs vers une destination trompeuse.
Phishing QR
Le phishing QR est une attaque de phishing où le code QR est le mécanisme de livraison.
Code QR statique
Un code QR statique contient des données encodées fixes qui ne peuvent pas être modifiées après sa génération.
Code QR dynamique
Un code QR dynamique est un code QR qui utilise une couche de redirection afin que la destination finale puisse être modifiée et que l'activité de scan puisse être examinée après impression.
Couche de redirection
Une couche de redirection est l'étape de routage gérée entre un scan de code QR dynamique et la destination finale. Elle ajoute du contrôle, pas de sécurité automatique.
URL modifiable
Une URL modifiable est une destination qui peut être changée après impression lorsque un code QR dynamique est utilisé.
Analyse des scans
L'analyse des scans correspond aux données de scan telles que l'heure, la campagne, le contexte de l'appareil ou la localisation approximative selon le comportement de la plateforme.
Attaque par superposition d'autocollant
Une attaque par superposition d'autocollants est une altération physique où un autocollant QR malveillant est placé sur un code légitime.
Placement inviolable
Le placement inviolable rend la substitution, le décollage ou la superposition plus faciles à remarquer lors d'une inspection normale.
Domaine similaire
Un domaine similaire est un domaine conçu pour ressembler à une marque légitime.
HTTPS
HTTPS protège la connexion du navigateur à un site Web, mais il ne prouve pas que le site Web lui-même est légitime.
Indicateurs de preuves de sécurité à connaître
FTC
La FTC est une source utile pour les conseils sur les arnaques aux consommateurs, la prudence concernant les paiements et les conseils sur les messages suspects.
Lisez les conseils de la FTC sur les arnaques par code QRFBI IC3
Le signalement et les avis publics du FBI IC3 aident les équipes à comprendre les tendances actuelles de la cybercriminalité et du phishing.
Lisez l'avis du FBI IC3 sur les codes QRCISA
Les conseils de la CISA sont pertinents pour la sensibilisation des employés, le signalement du phishing et les pratiques de sécurité organisationnelle.
Lisez les conseils de la CISA sur le phishingNCSC
Les conseils du NCSC sont utiles pour la résilience face au phishing, l'éducation des utilisateurs et la formation pratique à la sécurité.
Lisez les conseils du NCSC sur le phishingOWASP
OWASP est utile pour les principes de sécurité web tels que les redirections, la collecte de données d'identification et les limites du HTTPS en tant que signal de confiance.
Lisez les recommandations OWASP sur les redirectionsSujets de sécurité QR associés
FAQ sur la sécurité des codes QR
Les codes QR sont-ils sécurisés ?
Les codes QR sont des porteurs de données, pas des outils de sécurité. Ils peuvent être sûrs lorsque la source et la destination sont fiables, mais risqués lorsqu'ils pointent vers des pages de phishing, des redirections trompeuses ou des emplacements physiques altérés.
Les codes QR sont-ils sûrs à scanner ?
Les codes QR sont généralement sûrs à scanner lorsqu'ils proviennent d'une source de confiance et que l'aperçu de l'URL correspond au contexte. Le risque plus important survient après le scan, comme entrer des identifiants ou des informations de paiement sur une page non vérifiée.
Un code QR peut-il pirater mon téléphone ?
Scanner un code QR ouvre généralement un aperçu ou propose une action. Le risque le plus fréquent est de cliquer sur un lien malveillant, de télécharger un fichier, d'accorder des autorisations ou de soumettre des informations sensibles.
Qu'est-ce que le quishing ?
Le quishing est un phishing qui utilise un code QR pour rediriger les gens vers une fausse page de connexion, une page de paiement ou une destination malveillante. Il est souvent utilisé car la destination est plus difficile à inspecter avant le scan.
Qu'est-ce que le phishing par code QR ?
Le phishing par code QR est une attaque de phishing où le code QR est le mécanisme de livraison. L'attaque dépend généralement d'une destination trompeuse, et non de l'image du code QR elle-même.
Comment savoir si un code QR est sûr ?
Vérifiez si le code semble intact, prévisualisez l'URL, vérifiez le domaine et assurez-vous que la destination correspond à l'enseigne, au courriel, au produit ou à l'organisation. Si quelque chose semble incohérent, rendez-vous sur le site officiel manuellement.
Comment les entreprises rendent-elles les codes QR plus sûrs ?
Les entreprises devraient utiliser des domaines reconnaissables, un texte d'appel à l'action clair, un accès contrôlé aux comptes, des inspections physiques régulières, des codes QR dynamiques lorsque les mises à jour sont importantes et des analyses de scans pour détecter toute activité inhabituelle.
Les codes QR dynamiques sont-ils plus sûrs que les codes QR statiques ?
Les codes QR dynamiques ne sont pas automatiquement sûrs, mais ils offrent plus de contrôle car la destination peut être modifiée et l'activité de numérisation peut être suivie. Les codes QR statiques sont utiles pour des destinations fixes mais ne peuvent pas être changés après impression.
Les codes QR statiques peuvent-ils devenir risqués avec le temps ?
Oui. Un code QR statique peut devenir risqué si la destination devient obsolète, si la page change ou si le domaine expire et est réutilisé. Cela est particulièrement important pour les supports imprimés de longue durée.
Comment prévenir la falsification des codes QR ?
Utilisez des placements à preuve de falsification, inspectez régulièrement les codes, évitez les placements de stickers sur des stickers dans des zones à risque élevé, et associez chaque code à un contexte de destination clair. Pour la signalisation publique, les audits sont aussi importants que le code QR lui-même.
Faut-il utiliser les codes QR pour les paiements ?
Les codes QR peuvent être utilisés pour les paiements lorsque le bénéficiaire et la destination sont faciles à vérifier. Pour les paiements sensibles, fournissez un chemin de vérification manuel et évitez les flux ambiguës uniquement avec QR.
Que dois-je faire si j'ai scanné un code QR suspect ?
Ne saisissez pas d'informations, fermez la page, évitez les téléchargements et signalez le code à l'organisme responsable du lieu ou du message. Si des identifiants ou des informations de paiement ont été saisis, contactez immédiatement votre banque, votre équipe informatique ou le fournisseur de compte.
Qu'est-ce qu'un générateur de codes QR sûr ?
Un générateur de QR code sécurisé devrait aider les équipes à créer des destinations claires, gérer les codes de manière responsable et utiliser des QR codes dynamiques et l'analyse lorsque le contrôle de la campagne est important. Il ne devrait pas suggérer que les QR codes sont sécurisés par défaut.
Est-ce que HTTPS suffit à rendre un QR code sûr ?
Non. HTTPS aide à protéger la connexion à un site web, mais il ne prouve pas que le site est légitime. Les utilisateurs doivent toujours vérifier le domaine et le contexte.
À quelle fréquence les entreprises devraient-elles auditer les QR codes ?
Les entreprises devraient auditer les QR codes chaque fois que les campagnes changent et selon un calendrier régulier pour les emplacements publics ou à fort trafic. Les entreprises ayant plusieurs emplacements devraient également tenir un inventaire de l'endroit où chaque QR code actif apparaît.
Créez un QR code plus sûr avec QR-Build
Créez des codes QR statiques pour des destinations fixes simples, ou utilisez des codes QR dynamiques lorsque votre équipe a besoin de destinations modifiables et d'analyses de scans pour la gestion des campagnes.
