Commencer par la situation
Un code reçu sans explication, un message pressant ou un autocollant ajouté sur un autre support mérite une vérification. Un logo connu et une belle mise en page ne suffisent pas à authentifier la personne qui diffuse le QR. Le « quishing » désigne l’utilisation d’un QR pour conduire vers une tentative d’hameçonnage.
Demandez-vous si vous attendiez ce lien et si la tâche annoncée est cohérente : consulter un menu ne devrait pas soudain nécessiter les identifiants de votre messagerie. En cas de doute, retrouvez le service par une adresse que vous connaissez déjà ou contactez l’émetteur par un autre canal.
Lire le contenu sans suivre le lien
- Si vous disposez d’une image PNG, JPEG ou WebP, ouvrez le lecteur Qurl.
- Importez l’image et regardez le texte décodé. Qurl n’ouvre pas sa destination automatiquement.
- Pour une adresse web complète, comparez le domaine indiqué séparément avec celui que vous attendiez.
- Si vous ne reconnaissez pas la destination, arrêtez-vous avant d’y saisir des informations.
Le lecteur traite l’image dans votre navigateur, sans l’envoyer à Qurl. Il ne consulte pas le site de destination, ne suit pas ses redirections et ne l’analyse pas à la recherche de logiciels malveillants. Le domaine indiqué est un repère de lecture, pas un verdict de sécurité.
Repérer ce qui appartient vraiment au domaine
Le nom familier d’un service peut apparaître ailleurs que dans le nom d’hôte. Dans ces exemples fictifs, les adresses sont affichées comme du texte : aucun lien n’est à ouvrir.
Trois adresses fictives à décomposer
https://qurl.be@example.org/menu- Le nom d’hôte est
example.org. La partie avant @ est un identifiant, pas le site visité. https://qurl-be.example.org/menu- Le nom d’hôte est
qurl-be.example.org, sous le domaineexample.org. Ce n’est pasqurl.be. https://example.org/?next=https://qurl.be- Le nom d’hôte reste
example.org. Le paramètre peut contenir une autre adresse sans changer l’hôte initial.
Les caractères qui se ressemblent et certains noms internationalisés demandent aussi de l’attention. Le lecteur signale quelques constructions inhabituelles ; une adresse sans avertissement n’est pas pour autant approuvée. Le générateur Qurl refuse les URL avec identifiants intégrés, même si un QR reçu peut en contenir une.
Comprendre ce que la lecture ne prouve pas
Le préfixe HTTPS décrit le protocole de la connexion ; il ne garantit pas l’honnêteté d’un site. Une adresse courte ou intermédiaire peut rediriger ailleurs après ouverture. Qurl ne résout pas cette destination finale : voir notre guide QR statique ou dynamique.
Un QR peut aussi contenir du texte, une fiche contact, des accès Wi-Fi ou une commande destinée à une application. Vérifiez ce que l’application propose avant de confirmer. Dans Qurl, les accès Wi-Fi décodés restent masqués jusqu’à votre demande ; leur présence dans l’image signifie néanmoins que toute personne possédant le QR peut les lire.
Faire un essai sans données personnelles
La bibliothèque de ressources propose un PNG de lien fictif et son contenu attendu. Téléchargez-le, importez-le dans le lecteur, puis comparez les deux textes sans ouvrir l’adresse. Vous pouvez effacer le résultat après cet essai.
Ces exemples et les tests logiciels Qurl permettent de vérifier le décodage et l’affichage du domaine. Ils ne constituent pas une base de sites fiables ou malveillants. Gardez vos appareils à jour et consultez les conseils de Safeonweb si un message vous semble suspect. Un QR douteux ne doit pas être transmis au support avec des données confidentielles.