Comment utiliser un QR code : billet, facture, Wi-Fi, 2FA

Porte d'embarquement : l'agent passe son lecteur au-dessus de votre téléphone, et rien ne se passe. Quatre secondes plus tôt, votre écran s'est assombri tout seul pour économiser la batterie. C'est la cause la plus fréquente d'une carte d'embarquement illisible, et la solution prend deux secondes : poussez la luminosité au maximum avant de tendre le téléphone.

La plupart des conseils sur les QR codes sont écrits pour celui qui en fabrique un. Celui-ci est pour celui à qui on en a tendu un.

Déterminez d'abord dans quel sens il pointe

Avant toute chose, décidez si vous êtes celui qui scanne ou celui qui est scanné. Cela paraît évident et c'est la source de la moitié des confusions.

Codes que vous scannez avec votre appareil photo : cartes de restaurant, affiches, cartes Wi-Fi, cartes de visite, demandes de paiement, notices, consignes à colis.

Codes que vous montrez au scanner de quelqu'un d'autre : billets, cartes d'embarquement, abonnements de salle de sport, bons de retrait, étiquettes de retour. Rien de ce que vous ferez avec votre propre appareil photo n'aide ici, même si pointer un téléphone vers son propre écran est un réflexe courant.

Si vous scannez et que l'appareil photo ne fait rien, vérifiez que la détection de QR est activée dans les réglages de l'appareil photo. Elle est active d'origine sur la plupart des téléphones et se désactive par accident plus souvent qu'on ne croit. Les étapes de base du scan se vérifient en une minute.

Lisez l'aperçu avant de toucher

Quand votre appareil photo capte un code, il montre la destination avant d'ouvrir quoi que ce soit. Cette bannière est toute la couche de sécurité, et la plupart des gens passent dessus sans regarder.

Regardez le domaine, pas le reste de l'adresse. Le vrai domaine est ce qui se trouve juste avant la première barre oblique isolée. Un lien affichant securise-votrebanque.portail-verif.com n'est pas votre banque. C'est portail-verif.com déguisé. Les autocollants posés sur des codes légitimes d'horodateurs, de bornes de recharge et de consignes sont bon marché à produire et réellement courants, et c'est pourquoi les faux QR codes valent deux minutes de votre attention.

Deux règles couvrent presque tout. Ne tapez pas de mot de passe ni de numéro de carte dans une page atteinte uniquement par un scan, sauf si vous y êtes d'abord allé vous-même. Et traitez comme suspect tout code exigeant un paiement urgent, quelle que soit l'apparence officielle du panneau autour.

Billets et cartes d'embarquement

Le code contient une référence de réservation, pas votre identité. Le scanner recherche cette référence dans une base de données, ce qui veut dire que le code ne vaut rien sans la réservation derrière lui et que rien de sensible n'est imprimé dans le motif.

Avant de partir, faites trois choses. Ajoutez le titre à l'application cartes de votre téléphone si l'option existe, car ces cartes restent lumineuses et accessibles depuis l'écran verrouillé. Faites-en une capture d'écran comme secours, pour survivre à un réseau mort dans une zone d'embarquement en sous-sol. Et vérifiez si le lieu accepte une capture, car certains systèmes de billetterie changent le code toutes les quelques secondes précisément pour empêcher la revente, et une capture d'un code tournant sera rejetée.

Quand cela échoue à la porte : luminosité au maximum, supprimez le reflet de la protection d'écran en inclinant légèrement, et désactivez complètement la luminosité automatique. Si le scanner refuse toujours, le numéro de référence imprimé en dessous peut généralement être saisi à la main. Demandez-le plutôt que de tout recommencer.

Factures et demandes de paiement

Scanner un code de paiement ouvre normalement soit une application bancaire avec le bénéficiaire et le montant préremplis, soit une page de paiement dans le navigateur. Ce que vous devez vérifier est identique dans les deux cas : nom du bénéficiaire, montant et référence. Les trois apparaissent avant confirmation, et les trois sont modifiables par celui qui a créé le code.

Ne confirmez jamais un paiement dont le nom du bénéficiaire ne correspond pas à l'entreprise que vous pensez payer. Les fraudes à la facture fonctionnent exactement ainsi, avec une vraie facture réémise portant un code substitué.

Si le code ouvre une page vous demandant de vous connecter à votre banque au lieu d'ouvrir l'application de votre banque, faites demi-tour. Les vrais codes de paiement vous remettent à une application à laquelle vous faites déjà confiance ou à un prestataire de paiement dont vous reconnaissez le nom.

La carte Wi-Fi scotchée dans une location

Un code Wi-Fi porte le nom du réseau, le mot de passe et le type de sécurité en texte clair. Le scanner amène votre téléphone à proposer de rejoindre ce réseau, et vous touchez une fois pour accepter. Pas d'application, pas de saisie d'un mot de passe de 24 caractères depuis une carte plastifiée.

Deux choses à savoir. Sur certaines versions d'Android, il faut ouvrir le code depuis l'écran des réglages Wi-Fi plutôt que depuis l'appareil photo. Et le mot de passe se trouve dans le code sous forme lisible, donc quiconque photographie cette carte a votre réseau. Si le logement est le vôtre, cette carte appartient à un réseau invité, pas au principal.

La connexion échoue ? La cause la plus fréquente est un code généré pour le mauvais type de sécurité, WPA contre ouvert. Lire le code avec un scanner qui affiche le texte brut révélera le mot de passe pour que vous le tapiez à la main.

Les codes d'installation à deux facteurs font exception

C'est le seul cas où scanner avec l'appareil photo est une erreur. Un code 2FA affiché pendant la configuration d'un compte doit être scanné depuis votre application d'authentification, pas depuis l'appareil photo, car l'application doit stocker le secret qu'il contient plutôt que simplement l'afficher.

Ouvrez l'authentificateur, choisissez d'ajouter un compte, et utilisez son scanner intégré. Si vous configurez cela sur l'appareil même qui affiche le code, la plupart des applications d'authentification permettent de coller la clé d'installation que le site affiche en texte en dessous. Prenez cette voie plutôt que de jongler avec deux appareils.

Enregistrez vos codes de récupération au même moment. Ce secret n'existe qu'à un seul endroit après la configuration, et perdre le téléphone sans codes de récupération fait un après-midi pénible.

Et en France ?

Dans la vie quotidienne en France, les QR codes que l'on vous tend reviennent souvent aux mêmes situations : l'e-billet de train ou de concert, la carte d'embarquement, le code de retrait ou de retour d'un colis, la carte Wi-Fi d'un gîte ou d'un hôtel, la carte d'un restaurant.

Une règle simple vaut pour tous : un QR code vous ouvre une page ou vous montre une information, il ne devrait jamais vous demander vos coordonnées bancaires sans que vous l'ayez décidé. Si un code trouvé dans la rue, sur un pare-brise ou dans un courrier inattendu vous mène vers une demande de paiement, arrêtez-vous et vérifiez l'adresse, comme expliqué dans notre guide pour lire le lien avant de l'ouvrir.

Cartes de restaurant, cartes de visite et tout le reste imprimé

Le code d'une carte de restaurant ouvre en général une page web, parfois un PDF. Si le PDF est illisible sur votre téléphone, demandez une carte papier : c'est à l'établissement de s'adapter, pas à vous.

Un code de carte de visite propose de créer un contact. Vérifiez les champs avant d'enregistrer, car les vCards portent ce que le créateur a tapé, y compris d'anciens intitulés de poste sur une carte imprimée il y a deux ans.

Les codes imprimés échouent pour des raisons physiques ennuyeuses : reflet, pli traversant le motif, encre usée, code réduit trop petit pour la distance où vous vous tenez. Placez-vous pour que la lumière tombe de côté, reculez jusqu'à ce que le code remplisse environ un quart du cadre, et restez immobile une seconde pleine.

S'il refuse toujours après deux essais, photographiez-le et ouvrez cette photo dans une application de scan plutôt que de lutter avec l'appareil photo en direct. Une image fixe donne au décodeur une bien meilleure chance, et les raisons pour lesquelles les codes cessent de fonctionner se règlent presque toujours depuis une photo quand elles ne se règlent pas en direct.