Historique des scans de QR code : où le trouver vraiment
Chercher « historique des scans QR », c'est tomber sur deux publics aux besoins opposés : quelqu'un qui veut retrouver un code scanné mardi dernier, et une entreprise qui veut savoir combien de personnes ont scanné l'affiche du hall. Les traces qu'ils cherchent se trouvent à des endroits différents, et une seule des deux existe par défaut.
Deux questions différentes sous une même formule
Il faut nommer cette confusion avec précision, car elle est à l'origine de la quasi-totalité des réponses inutiles que l'on trouve en ligne. Derrière une formulation identique se cachent en réalité deux demandes qui n'ont presque rien en commun : celle de la personne qui a scanné un code et voudrait en retrouver la trace, et celle de l'entreprise qui a créé le code et cherche à savoir qui l'a scanné.
La personne qui scanne fait un travail local. Le téléphone lit le carré, produit une chaîne de caractères, et la remet à quelqu'un. Rien dans cette séquence n'exige un enregistrement, et la plupart du temps aucun n'est créé.
Le propriétaire du code, lui, se tient de l'autre côté d'une requête web. Si le code passe par un serveur qu'il contrôle, ce serveur voit chaque visite et peut la compter. Le journal appartient au code, pas à celui qui scanne, et c'est pourquoi une entreprise ne peut rien demander au téléphone d'un visiteur et un visiteur ne peut rien demander à l'affiche.
Sur iPhone, la trace est l'historique de votre navigateur
Il n'existe nulle part, dans l'application Appareil photo d'iOS, de liste des codes scannés. Ce qui se passe, c'est que l'appareil photo décode le code, affiche l'adresse dans une bannière, et, quand vous appuyez dessus, remet l'adresse à Safari ou au navigateur défini par défaut. La trace que vous cherchez est l'historique de ce navigateur, dans l'ordre du temps, au jour où vous étiez planté devant le code.
Cela marche bien et se casse dans trois cas. Si le code a ouvert directement une application, un lien qui se résout dans une appli sociale ou une appli de cartes, rien n'apparaît du tout dans l'historique du navigateur. Si le contenu n'était pas un lien, un réseau wifi, une carte de visite, une simple chaîne de texte, il n'y a jamais eu de page à enregistrer : vous récupérez un réseau mémorisé ou un nouveau contact à la place. Et si vous avez lu la bannière puis décidé de ne pas appuyer, le téléphone n'a rien gardé, parce que rien ne s'est produit.
Le lecteur de codes du centre de contrôle se comporte de la même façon. C'est un viseur, pas un registre.
Sur Android, l'historique vit dans l'application Google
Les lecteurs d'appareil photo intégrés aux Pixel, aux Samsung et aux autres se comportent comme celui de l'iPhone : décoder, proposer, oublier. L'adresse n'atterrit dans l'historique de votre navigateur que si vous l'avez ouverte.
Google Lens est l'exception, et c'est celle qui vaut la peine d'être vérifiée. Lens est un produit de recherche, donc un scan dans Lens est une recherche, et les recherches sont enregistrées dans l'activité de votre compte Google quand l'enregistrement de l'activité est activé. Un code lu via Lens, ou via l'analyse d'image de la galerie sur beaucoup de téléphones Android, se retrouve en général en remontant votre propre historique d'activité dans l'application Google plutôt que dans quoi que ce soit de l'appareil photo. Scanner des codes avec Google Lens décrit où se trouvent ces points d'entrée, et note le revers de la même propriété : la reconnaissance Lens se fait sur les serveurs de Google, ce qui est précisément pourquoi il y a quelque chose à relire.
La tuile de lecture de codes des réglages rapides, sur les versions récentes d'Android, ne garde aucune liste à elle.
Les applications de scan tiennent un journal, parce que c'est leur raison d'être
Les lecteurs tiers sont les seuls outils de cette liste à traiter l'historique comme une fonctionnalité. La plupart gardent une liste locale de tout ce qu'ils ont décodé, avec les horodatages, et beaucoup permettent de marquer ou de renommer les entrées. Si vous flashez des codes dans le cadre d'un travail, inventaire, inspections, contrôle d'entrée d'un événement, cette liste est la vraie raison d'en installer un plutôt que d'utiliser l'appareil photo.
Trois réserves avant de vous y fier. Le journal ne vit d'habitude que sur cet appareil, donc une réinstallation ou un nouveau téléphone le perd, à moins que l'application ne synchronise vers un compte, et une application qui synchronise votre historique de scans vers un serveur prend à votre place une décision de confidentialité qui mérite d'être lue d'abord. Le magasin d'applications est par ailleurs rempli de décodeurs dont le vrai métier est la publicité. Et un lecteur qui vous montre le texte décodé avant d'ouvrir quoi que ce soit est le meilleur instrument, qu'il garde un historique ou non ; notre page sur les lecteurs de QR code explique pourquoi cet ordre compte plus que la liste des fonctionnalités.
Pourquoi un scan à l'appareil photo ne laisse souvent rien
Il est tentant de lire l'absence d'historique comme un manque que quelqu'un a oublié de combler. C'est plutôt le contraire.
Décoder un QR code, c'est du calcul effectué sur une image, sur votre propre appareil. Aucune requête ne sort, aucun serveur n'est consulté, rien n'est transmis, et ce qui se passe quand vous scannez un code déroule toute la séquence. Une application appareil photo qui enregistrerait chaque décodage fabriquerait une trace de vos déplacements physiques qui n'existerait pas autrement, la stockerait sur l'appareil, sans aucun bénéfice fonctionnel. Ne pas la garder est un choix de conception, et un choix défendable.
La conséquence est simplement que si vous avez besoin d'une trace, il faut l'organiser à l'avance. Collez le lien dans une note quand cela compte, ou utilisez un lecteur qui enregistre. Il n'y a rien à rattraper après coup.
Et si vous cherchez quelque chose de précis en ce moment même, le chemin le plus rapide passe en général sur le côté plutôt que par le téléphone : cherchez la trace laissée par la destination elle-même. Une confirmation de commande, une notification de connexion, un billet posé dans une application, un réseau dans votre liste wifi. Ce que vous avez scanné a probablement laissé une trace à l'autre bout, même si votre appareil photo n'en a gardé aucune.
Si le code est le vôtre, le journal est de votre côté
Passons à l'autre foule. Si c'est vous qui avez imprimé le code, vous posez une autre question, et la réponse est architecturale plutôt qu'un réglage caché quelque part.
Un code qui encode la destination directement envoie le téléphone droit à cette adresse. Aucun serveur intermédiaire n'existe, donc aucune trace de scan n'existe nulle part, et il n'y a rien à consulter. C'est une vraie propriété de confidentialité, et c'est aussi la raison pour laquelle ces codes ne rapportent absolument rien.
Un code dynamique encode une adresse courte sur un serveur de redirection, et le téléphone demande à ce serveur où aller avant d'aller où que ce soit. C'est cette requête qui est comptée. Les codes dynamiques et les statistiques expliquent la mécanique, et il vaut la peine de comprendre que le compteur existe grâce à la redirection et non grâce à quelque chose d'astucieux à l'intérieur du carré.
Une dernière chose se range par erreur sous le même titre. Retrouver où vit votre propre code à l'intérieur d'une application, le code d'un profil social ou celui d'une appli de paiement, est une chasse complètement différente, traitée dans retrouver son QR code dans les applications qu'on utilise.
Et en France ?
Si vous vous demandez ce qu'une entreprise sait de vos scans, le RGPD vous donne un outil simple : le droit d'accès. Vous pouvez demander à l'organisme qui gère un QR code de vous communiquer les données personnelles qu'il détient sur vous, et il doit répondre dans un délai d'un mois en principe.
Dans la pratique, la plupart des plateformes de codes dynamiques ne conservent que des statistiques agrégées, sans pouvoir relier un scan à une personne. Mais la question mérite d'être posée si un code vous a demandé de vous identifier ou de remplir un formulaire. En cas de réponse insatisfaisante, vous pouvez saisir la CNIL.
Ce qu'un journal de scans peut dire, et ce qu'il ne peut pas
Sur ce point, mieux vaut être d'une précision inhabituelle, parce que beaucoup d'éditeurs entretiennent soigneusement le flou : ce qu'un journal de scans contient est en réalité assez court, et ce qu'il ne contiendra jamais mérite d'être énoncé tout aussi clairement.
Nos statistiques affichent le nombre de scans dans le temps, plus une répartition par pays et par appareil. Voilà la liste. Elles répondent à ceci : l'affiche du hall est-elle scannée, les scans se regroupent-ils le matin en semaine, le trafic est-il surtout local, et les gens arrivent-ils depuis un téléphone ou depuis autre chose.
Elles ne répondent pas à la question de savoir qui. Il n'y a pas d'identité dans un scan, aucun moyen fiable de distinguer un visiteur qui revient d'un nouveau, et aucun moyen de relier un scan à une fiche client. Un pic qui suit une publication sociale et un pic causé par une seule personne enthousiaste avec deux téléphones se ressemblent parfaitement sur le graphique.
Une obligation est aussi attachée à cette trace. Un journal de scans est un journal serveur, ce qui veut dire qu'il existe avant que le moindre bandeau de consentement de votre page d'arrivée ait eu la possibilité de s'exécuter, et la durée de conservation est une décision que quelqu'un doit prendre exprès plutôt que par défaut. Le suivi des scans et la vie privée pose ce que contiennent ces journaux et là où un bandeau ne peut pas atteindre.
Si vous cherchez un code que vous avez scanné et que vous ne l'avez pas encore retrouvé, ouvrez l'historique de votre navigateur et filtrez sur l'heure où vous étiez devant lui. Cela marche plus souvent que tout le reste de cet article.
