Pour vérifier si un QR code est sûr, regardez ce qu’il contient avant que votre téléphone en fasse quoi que ce soit. Envoyez une photo ou une capture d’écran du code dans notre lecteur de QR code gratuit et vous obtenez le texte brut : le lien complet, ou le réseau Wi-Fi, le SMS ou le contact qu’il déclencherait. Contrôlez ensuite trois choses : le vrai domaine à la fin du nom d’hôte, la destination réelle d’un éventuel lien raccourci, et si le code semble collé par-dessus un autre. Le lecteur est gratuit, sans inscription, et décode l’image dans votre navigateur : rien n’est ouvert ni envoyé.
Les exemples ci-dessous viennent de tests faits sur les outils en ligne le 1er novembre 2026, avec des QR codes créés pour cet article. Les adresses piégées utilisent le domaine réservé .example, elles ne mènent donc nulle part.
Vérifier un QR code avant de le scanner, étape par étape
- Obtenez une image du code. Prenez-le en photo avec l’appareil photo (une photo n’ouvre rien) ou faites une capture s’il se trouve dans un e-mail, un PDF ou un SMS.
- Décodez-le sans l’ouvrir. Envoyez l’image dans le lecteur de QR code. Il affiche le texte exact stocké dans le code, rien de plus.
- Identifiez le type de code. Un lien commence par
https://ouhttp://. Certains codes commencent parWIFI:,SMSTO:,tel:,mailto:ouBEGIN:VCARD, et chacun fait faire autre chose au téléphone. - Trouvez le vrai domaine. Collez le lien dans l’analyseur d’URL et lisez la ligne Hôte de droite à gauche. La partie juste avant l’extension (
.fr,.com,.gouv.fr) indique à qui vous avez vraiment affaire. - Déroulez les liens courts. Si le lien passe par un raccourcisseur ou le domaine d’un service de QR codes, lancez le vérificateur de redirections pour voir chaque étape et la page finale.
- Examinez le code physique. Cherchez un autocollant posé sur un code imprimé, des bords qui ne s’alignent pas ou deux codes très proches.
- Décidez. Au moindre doute, n’ouvrez pas. Pour un paiement ou une connexion, tapez vous-même l’adresse de l’entreprise ou passez par son application officielle.
Essayez maintenant : faites une capture de n’importe quel QR code affiché à l’écran et déposez-la dans le lecteur de QR code gratuit. Vous voyez tout son contenu en une seconde, sans que le téléphone n’ouvre le lien.
Ce que notre lecteur a montré sur cinq codes de test
Exemple 1 : un lien de paiement qui imite PayPal
Nous avons encodé https://www.paypal.com.account-verify.example/signin?session=8841, le genre d’adresse qu’utiliserait un faux message « votre paiement a échoué ». Le lecteur a renvoyé le lien complet, et l’analyseur d’URL l’a découpé ainsi :
| Ligne | Valeur |
|---|---|
| Schéma | https |
| Hôte | www.paypal.com.account-verify.example |
| Chemin | /signin |
| Requête | session=8841 |
L’hôte commence par www.paypal.com, mais ce n’est qu’une étiquette à gauche. Lu depuis la droite, le vrai domaine est account-verify.example. Celui qui contrôle ce domaine peut placer devant l’étiquette de son choix, y compris le nom d’une marque. Un aperçu qui n’afficherait que les 30 premiers caractères montrerait www.paypal.com.account-verif... : voilà pourquoi il faut voir l’hôte en entier.
Exemple 2 : un lien court en trois étapes
Un lien raccourci cache sa destination : un QR code qui en contient un ne vous apprend rien tant que vous ne l’avez pas déroulé. Nous avons passé le lien court https://amzn.to/3QOBRdb dans le vérificateur de redirections :
| # | URL | Code de statut |
|---|---|---|
| 1 | https://amzn.to/3QOBRdb | 302 |
| 2 | http://www.amazon.com | 301 |
| 3 | https://www.amazon.com/ | 200 |
La chaîne se termine sur www.amazon.com avec un 200 : vous savez où elle mène avant de l’ouvrir. Les codes de statut sont expliqués dans notre guide pour vérifier une redirection 301 ou 302.
Une limite à connaître : pour l’instant, notre vérificateur ne suit que les redirections 301 et 302. Avec https://youtu.be/dQw4w9WgXcQ, il a affiché une seule ligne avec le statut 303 et aucune destination. Si la dernière ligne n’est pas un 200, la chaîne n’est pas finie. Collez le même lien dans l’outil En-têtes HTTP : il a affiché HTTP/2 303 et une ligne location avec https://www.youtube.com/watch?v=dQw4w9WgXcQ&feature=youtu.be. Certains sites redirigent aussi avec une adresse relative (un simple chemin, sans domaine) ; le vérificateur indique alors qu’il n’a pas pu récupérer d’informations. L’outil En-têtes HTTP fonctionne aussi dans ce cas.
Exemple 3 : un code Wi-Fi
Le lecteur a renvoyé WIFI:T:WPA;S:Cafe Guest;P:espresso2026;;. Ce n’est pas un lien : il demande au téléphone de rejoindre un réseau WPA nommé Cafe Guest avec le mot de passe espresso2026. Vérifiez que le nom du réseau correspond à celui de l’établissement. Un code posé sur une table peut tout aussi bien proposer un réseau contrôlé par quelqu’un d’autre, et tout ce que vous y faites passe par son matériel.
Exemple 4 : un code SMS
SMSTO:+15555550123:JOIN ouvre votre messagerie avec un SMS vers le +1 555-555-0123 contenant JOIN. L’envoyer confirme votre numéro à celui qui détient cette ligne et peut vous inscrire à un service. Si vous ne comptiez écrire à personne, fermez le brouillon.
Exemple 5 : deux codes sur la même image
Les faux QR codes sont souvent imprimés sur des autocollants collés sur l’original ou juste à côté. Nous avons placé deux codes côte à côte sur une image : un lien de paiement de stationnement et le faux lien de l’exemple 1. Le lecteur a répondu Aucun QR code trouvé dans cette image. Le message donne aussi des conseils pour une meilleure photo. Il cherche un seul code par image, il a donc abandonné. Après avoir recadré chaque moitié et envoyé les deux séparément, il a lu https://parking.example-city.gov/pay?zone=214 puis le lien qui imite PayPal. Deux codes qui pointent vers des domaines différents sur le même panneau, c’est un signe fort que l’un des deux a été ajouté après coup.
Le lecteur est-il fiable sur de vraies photos ?
Nous avons aussi testé sa tolérance. Tous ces cas ont été lus correctement :
| Image de test | Résultat |
|---|---|
| Affiche « payez votre stationnement » de 1600 × 1200 avec un petit code dans un coin | Lu |
| Code tourné de 17°, flou et enregistré en JPG de mauvaise qualité | Lu |
| Code minuscule de 66 × 66 pixels | Lu |
| Code sans marge blanche autour | Lu |
| Code bleu clair sur blanc (contraste 1,81:1) | Lu |
| Code blanc sur fond noir | Lu |
| Deux codes différents sur une image | Aucun QR code trouvé (recadrez chacun) |
Nous avons surveillé l’activité réseau du navigateur pendant le décodage : l’image n’a été envoyée nulle part. C’est important quand le code figure sur un billet ou un document avec des données personnelles.
Les signaux d’alerte une fois le contenu visible
- Un nom de marque qui n’est pas le vrai domaine.
paypal.com.account-verify.exampleappartient àaccount-verify.example. Méfiez-vous aussi des lettres échangées, commepaypa1ournicrosoft. - Un lien court sur un support officiel. Un horodateur ou un avis de contravention qui cache son adresse derrière un raccourcisseur mérite d’être déroulé avant tout paiement. Le ministère de l’Économie cite des faux QR codes sur des parcmètres, des bornes de recharge, de faux avis de contravention, de faux avis de passage, des affiches et des menus de restaurant.
- Une page de connexion ou de paiement imprévue. L’avis du FBI de janvier 2022 sur les QR codes falsifiés déconseille de payer sur un site atteint par un QR code. Tapez une adresse que vous connaissez.
- Un téléchargement direct d’application. Le même avis recommande d’installer les applications depuis le store officiel, pas depuis un QR code, et de ne pas télécharger d’application de lecture de QR à part : la plupart des téléphones lisent déjà les codes avec l’appareil photo.
- L’urgence. Colis non livré, problème sur votre compte, activité suspecte qui impose de changer de mot de passe : ce sont les scénarios habituels pour vous faire scanner sans réfléchir.
Les pièges qui attrapent même les plus prudents
- Croire que la vérification d’aujourd’hui vaut pour toujours. Beaucoup de services de QR codes impriment un lien court sur leur propre domaine plutôt que votre destination, et le propriétaire peut changer la cible quand il veut. En ouvrant
https://qrco.de/, un domaine utilisé par l’un des grands générateurs de QR codes, nous avons été redirigés vers le centre d’aide de cette entreprise. Un code sain la semaine dernière peut pointer ailleurs aujourd’hui. - Supposer que tout le monde arrive sur la même page. Nous avons suivi le lien court de Microsoft
https://aka.ms/terminaldepuis deux endroits. Depuis l’Argentine, la deuxième étape menait à une page/es-ar/; depuis notre serveur, à/en-us/. Une redirection peut dépendre du pays, de la langue ou de l’appareil : un résultat propre prouve où le lien a mené le vérificateur, pas tous les visiteurs. - Regarder le domaine sans regarder son âge. Un domaine d’apparence officielle enregistré la semaine dernière doit alerter. Passez-le dans la recherche Whois et la vérification SSL. Notre guide pour savoir si un site est fiable détaille toute la méthode.
Si vous avez déjà ouvert un QR code piégé
Cessez d’interagir avec le site, changez immédiatement tout mot de passe saisi (partout où vous le réutilisiez) et surveillez vos relevés de carte et de banque. Si vous avez donné des coordonnées bancaires, appelez votre banque pour faire opposition. En France, le service 17Cyber aide à établir un diagnostic et oriente vers les bonnes démarches, et vous pouvez porter plainte en ligne, au commissariat ou à la gendarmerie, selon la page du ministère citée plus haut. Si vous réutilisiez ce mot de passe, notre guide pour créer un mot de passe robuste et le générateur de mots de passe vous aident à le remplacer vite.
Vous imprimez des QR codes pour votre commerce ? Créez-les avec le générateur de QR code, faites-les pointer directement vers votre vrai domaine plutôt que vers un lien court tiers, et contrôlez régulièrement vos supports pour repérer un autocollant.
Questions fréquentes
Peut-on savoir si un QR code est sûr sans le scanner ?
Oui. Prenez une photo ou une capture et envoyez-la dans un lecteur de QR code qui se contente de décoder l’image. Vous voyez le lien ou la commande complète sans que le téléphone l’ouvre, puis vous vérifiez le domaine et les redirections.
Scanner un QR code peut-il pirater mon téléphone ?
Lire le code donne seulement un texte au téléphone. Le risque vient de la suite : ouvrir une fausse page de connexion, saisir des données de paiement, installer une application, rejoindre un réseau Wi-Fi ou envoyer un SMS. Gardez aussi votre système à jour.
Comment voir où mène le lien d’un QR code ?
Décodez-le avec le lecteur de QR code, puis collez le lien dans le vérificateur de redirections. Si la dernière ligne n’est pas un 200 (un 303, par exemple), utilisez l’outil En-têtes HTTP et lisez la ligne location.
Pourquoi le lecteur dit-il qu’aucun QR code n’a été trouvé ?
L’image contient peut-être deux codes, ce que le lecteur ne gère pas sur une seule image, ou le code est coupé ou très flou. Recadrez un seul code et réessayez. Dans nos tests, des codes tournés, flous, minuscules et sans marge ont tous été lus. Les codes pâles ou inversés ne posent plus problème : depuis le 1er novembre 2026, le lecteur réessaie automatiquement avec des copies de l’image plus contrastées et inversées.
Un QR code avec un lien court est-il forcément une arnaque ?
Non. Beaucoup d’entreprises sérieuses utilisent des raccourcisseurs ou des services de QR codes pour mesurer leur audience. Cela veut seulement dire que vous ne pouvez pas juger la destination avant de dérouler le lien, et que le propriétaire peut la modifier plus tard.
Le lecteur de QR code est-il gratuit ?
Oui. Il est gratuit, sans inscription, et décode l’image dans votre navigateur sans l’envoyer. Les visiteurs ont droit à 5 utilisations d’outils par jour, et un compte My Botsy gratuit (100 % gratuit, sans spam) supprime cette limite.
Un code vous inspire des doutes ? Ouvrez le lecteur de QR code gratuit, envoyez une photo ou une capture et voyez exactement ce qu’il ferait avant que votre téléphone ne le fasse.
