Audit de QR codes : trouver les codes morts sur le terrain

La responsable des services généraux d'un hôpital a parcouru le rez-de-chaussée avec un téléphone et un carnet. De l'entrée à la cafétéria, elle a compté onze QR codes : paiement du parking, trois panneaux de signalisation, une enquête de satisfaction, deux distributeurs, une plaque de donateurs, et deux codes impossibles à identifier. Quatre menaient vers des pages disparues. Un autre ouvrait une page bien réelle, mais appartenant à une société dont personne à l'hôpital n'avait entendu parler.

Rien de tout cela n'était la faute de quelqu'un en particulier. Les codes sont imprimés par celui qui en a besoin, selon le calendrier qui l'arrange, et la personne qui les a créés finit par partir. Deux ans plus tard, il n'existe aucune liste.

Un audit produit cette liste. C'est un travail sans gloire, essentiellement de la marche et des tableurs, et c'est le seul moyen d'apprendre ce que vos codes imprimés font aujourd'hui plutôt que ce qu'ils faisaient le jour de leur création.

Constituez l'inventaire avant de vérifier le moindre lien

L'inventaire est l'audit. Tout le reste n'est que de l'arithmétique posée dessus.

Parcourez les sites. Une ligne par code physique, et cette ligne demande plus qu'une URL :

• Une référence que vous attribuez vous-même, pour que le code porte un nom même si personne ne lui en a donné.
• Son emplacement, assez précis pour qu'un inconnu le retrouve. "Deuxième étage, couloir est, entre les ascenseurs et la chambre 214", pas "en haut".
• Son support d'impression : affiche, plaque plastifiée, autocollant vinyle, étiquette d'équipement, marquage de véhicule, emballage, carte de restaurant. Le support décidera plus tard de vos options.
• Une photo de l'emplacement avec assez d'environnement pour l'identifier.
• La destination décodée, exactement telle qu'elle sort d'un lecteur.
• Qui en est responsable aujourd'hui. Pas un service. Une personne.

Deux de ces colonnes font l'essentiel du travail. La photo tranche les discussions sur le panneau dont on parle. Le responsable nommé est ce qui transforme les constats en corrections.

Pour tout ce qui se trouve sur un emballage ou un envoi postal, vous ne pouvez pas vous déplacer. Remplacez la visite par les données d'impression : le travail, la quantité, la date, et le fait de savoir si une partie circule encore.

Décodez un échantillon pour savoir à quoi vous avez affaire

Prenez un exemplaire physique, pas le fichier de création, et décodez-le avec un lecteur de QR code qui affiche la chaîne avant d'ouvrir quoi que ce soit.

• Si la chaîne décodée est l'URL de destination elle-même, le code est statique. L'adresse fait partie du motif et aucun tableau de bord ne la changera, puisqu'aucun tableau de bord n'intervient. C'est le comportement natif d'un code statique.
• Si la chaîne décodée est une URL courte sur le domaine d'un prestataire ou sur votre propre domaine court de marque, le scan passe par une redirection. C'est le modèle dynamique, et la destination vit dans un compte plutôt que dans l'encre.

Une réserve à noter sur la fiche d'audit : un lien court ne prouve pas que vous pouvez le modifier. Le compte peut appartenir à quelqu'un qui est parti, reposer sur une offre gratuite expirée, ou dépendre d'un service qui n'existe plus. La modifiabilité est une colonne distincte de la redirection, et vous la confirmez en vous connectant, pas en regardant l'URL.

Échantillonnez plutôt que de tout décoder. Vingt codes couvrant toute la plage d'ancienneté vous diront quelle époque de vos impressions a utilisé quelle approche.

Vérifiez les destinations de façon automatisée

Une fois les destinations rangées dans une colonne, les tester relève du script ou d'un vérificateur de liens du commerce.

• Enregistrez le statut de la première requête et celui de l'URL finale après redirections.
• Enregistrez la chaîne de redirection complète, pas seulement le point d'arrivée.
• Testez depuis une connexion ordinaire, pas depuis un réseau d'entreprise filtré qui réécrit ou bloque les destinations.
• Relancez une semaine plus tard. Les défaillances intermittentes comptent plus qu'il n'y paraît.

Les codes de statut mentent dans un seul sens. Un 200 signifie qu'une page a répondu, pas qu'elle a répondu avec votre contenu. Les domaines parqués, les pages "lien introuvable" des prestataires et les redirections génériques vers les magasins d'applications renvoient tous un 200 sans le moindre scrupule. Capturez le titre de la page et un extrait du corps du texte pour voir ce qui est réellement revenu.

Surveillez la longueur des chaînes. Une chaîne qui a atteint quatre ou cinq sauts est fragile, car chaque saut est un service distinct qui peut tomber indépendamment. Notez si les sauts sont permanents ou temporaires, car les redirections 301 et 302 laissent des traces très différentes dans les caches des navigateurs.

Les signaux qui désignent un code mort ou mourant

• Un 404 ou un 410 à la destination.
• Un domaine qui ne se résout plus.
• Un certificat expiré ou incohérent, ce qui interrompt beaucoup de scans avant même le chargement de la page.
• Un 200 renvoyé par une page qui n'est manifestement pas la vôtre.
• Une chaîne de redirection qui aboutit quelque part sans rapport avec la campagne d'origine.
• Des scans qui arrivaient et qui n'arrivent plus, sur un emplacement toujours physiquement présent et toujours fréquenté. La plupart des audits passent à côté, parce que le vérificateur de liens annonce que l'URL va bien.
• Le compte derrière un lien court a expiré, ou le prestataire a fermé son service.
• Une dégradation physique : décoloration au soleil, rayures, un panneau plus récent collé par-dessus l'ancien.

À dire clairement, parce que la question revient à chaque réunion d'audit : le symbole imprimé ne s'use pas avec le temps. Un motif imprimé en 2019 décode aujourd'hui la même chaîne, et les codes n'expirent pas d'eux-mêmes. Ce qui expire, c'est tout ce qui se trouve de l'autre côté de cette chaîne.

Quand la destination appartient désormais à quelqu'un d'autre

Le pire constat d'un audit n'est pas un 404. C'est un 200.

Une campagne obtient son propre domaine de mini-site. La campagne se termine. L'avis de renouvellement arrive dans une boîte que personne ne lit. Le domaine expire, et il peut alors être enregistré par quelqu'un qui a remarqué qu'il recevait encore du trafic. Votre code imprimé envoie désormais les gens vers une page sur laquelle vous n'avez aucun contrôle.

Aucune vérification automatisée ne le signale. Le DNS résout, le certificat est valide, la page renvoie 200. Seul un humain comparant ce qui est revenu à ce qui devrait s'y trouver le détectera.

Intégrez donc deux réflexes à l'audit. Pour chaque destination sur un domaine que vous ne possédez pas actuellement, regardez la page de vos propres yeux. Pour chaque domaine de campagne chez votre bureau d'enregistrement, vérifiez le renouvellement automatique et l'adresse de contact. Un domaine rattaché à des imprimés que vous ne pouvez pas rappeler est un engagement permanent, pas une dépense de campagne.

Transformez les constats en une courte liste d'actions

Triez par exposition, pas par facilité de correction.

• Les codes sur des supports encore en circulation et qui pointent au mauvais endroit passent en premier. Un code sur un emballage expédié quotidiennement prime sur une affiche dans un seul hall.
• Les codes redirigés que vous pouvez encore modifier sont les gains faciles. Changez la destination, rescannez un exemplaire physique, clôturez la ligne.
• Les codes statiques sur un domaine que vous contrôlez reçoivent une redirection côté serveur.
• Les codes statiques sur un domaine que vous ne contrôlez plus ne peuvent pas être réparés à la destination. Il ne reste que les surimpressions autocollantes, la réimpression ou l'acceptation de la perte.
• Les codes que personne ne peut justifier sont retirés : décrochés du mur, marqués comme archivés dans le registre, et jamais ressuscités.

Consignez une décision sur chaque ligne. Un audit qui produit des constats sans décisions sera refait de zéro l'année suivante.

Et en France ?

Dans un établissement recevant du public, un code mérite une place prioritaire dans l'audit : celui du registre public d'accessibilité. Depuis 2017, les ERP doivent tenir ce registre à la disposition du public, et beaucoup le proposent sous forme dématérialisée, accessible par un QR code à l'accueil.

Si ce code mène vers une page morte, l'établissement n'est plus en mesure de présenter son registre. Placez-le en tête de votre liste de contrôle, au même rang que les codes de paiement et de sécurité, et vérifiez-le à chaque changement de site ou de prestataire.

Fixez la fréquence de revue tant que le sujet vous tient encore

Retenez un rythme trimestriel pour les codes imprimés sur des emballages à fort volume et pour tout ce qui concerne un paiement ou une consigne de sécurité, et un rythme annuel pour la signalétique d'accueil et les plaques gravées. Prévoyez en plus une vérification déclenchée par l'événement : refonte du site, changement de nom de domaine, changement de CMS ou de prestataire, ou départ de la personne qui tenait les codes.

Inscrivez la prochaine revue dans un calendrier avec un responsable nommé avant de fermer le tableur. Puis parcourez votre propre rez-de-chaussée cette semaine, téléphone en main, et comptez combien de codes vous savez expliquer.