QR कोड सुरक्षित है या नहीं, यह जानने के लिए फ़ोन के कुछ करने से पहले देखें कि कोड के अंदर क्या लिखा है। कोड की फ़ोटो या स्क्रीनशॉट हमारे फ़्री QR कोड रीडर में डालें और आपको उसका असली टेक्स्ट दिख जाएगा: पूरा लिंक, या वह Wi-Fi नेटवर्क, UPI पेमेंट या कॉन्टैक्ट जो कोड चालू करता। फिर तीन चीज़ें जाँचें: होस्ट नाम के आख़िर में असली डोमेन कौन-सा है, कोई छोटा (शॉर्ट) लिंक असल में कहाँ ले जाता है, और कहीं कोड किसी दूसरे कोड के ऊपर चिपकाया हुआ तो नहीं। रीडर फ़्री है, अकाउंट नहीं चाहिए और इमेज को आपके ब्राउज़र में ही पढ़ता है, इसलिए न कुछ खुलता है, न कुछ अपलोड होता है।
नीचे के सारे उदाहरण 1 नवंबर 2026 को असली टूल पर किए गए टेस्ट से हैं, उन QR कोड के साथ जो हमने इसी लेख के लिए बनाए। नकली पतों में रिज़र्व्ड डोमेन .example इस्तेमाल हुआ है, इसलिए वे कहीं नहीं खुलते।
स्कैन करने से पहले QR कोड कैसे जाँचें: स्टेप बाय स्टेप
- कोड की इमेज लें। कैमरा ऐप से फ़ोटो खींचें (फ़ोटो से कुछ नहीं खुलता) या अगर कोड ईमेल, PDF या मैसेज में है तो स्क्रीनशॉट लें।
- बिना खोले पढ़ें। इमेज को QR कोड रीडर में अपलोड करें। यह कोड में सेव किया हुआ टेक्स्ट जस का तस दिखाता है, इससे ज़्यादा कुछ नहीं।
- पहचानें कि कोड किस तरह का है। लिंक
https://याhttp://से शुरू होता है। कुछ कोडWIFI:,SMSTO:,tel:,mailto:,BEGIN:VCARDया UPI वालेupi://payसे शुरू होते हैं, और हर तरह का कोड फ़ोन से अलग काम करवाता है। - असली डोमेन ढूँढें। लिंक को URL पार्सर में डालें और होस्ट वाली लाइन को दाएँ से बाएँ पढ़ें। आख़िरी हिस्से (
.com,.in,.gov.in) से ठीक पहले वाला नाम ही असली मालिक है। - शॉर्ट लिंक खोलकर देखें। अगर लिंक किसी शॉर्टनर या QR सर्विस के डोमेन का है, तो उसे URL रीडायरेक्ट चेकर में चलाएँ, ताकि हर हॉप और आख़िरी पेज दिख जाए।
- असली कोड को ध्यान से देखें। छपे हुए कोड के ऊपर स्टिकर, किनारे जो मेल नहीं खाते, या पास-पास दो कोड, इन पर नज़र रखें।
- फ़ैसला करें। कुछ भी गड़बड़ लगे तो न खोलें। पेमेंट और लॉगिन के लिए कंपनी का पता ख़ुद टाइप करें या उसका ऑफ़िशियल ऐप इस्तेमाल करें।
अभी आज़माएँ: स्क्रीन पर दिख रहे किसी भी QR कोड का स्क्रीनशॉट लें और फ़्री QR कोड रीडर में डालें। एक सेकंड में पूरा कंटेंट दिख जाएगा, और फ़ोन लिंक नहीं खोलेगा।
पाँच टेस्ट कोड पर हमारे रीडर ने क्या दिखाया
उदाहरण 1: PayPal जैसा दिखने वाला पेमेंट लिंक
हमने https://www.paypal.com.account-verify.example/signin?session=8841 को कोड में डाला, यानी वैसा पता जो "आपका पेमेंट फ़ेल हो गया" वाला नकली ईमेल इस्तेमाल करता। रीडर ने पूरा लिंक दिखाया, और URL पार्सर ने उसे ऐसे बाँटा:
| लाइन | वैल्यू |
|---|---|
| स्कीम | https |
| होस्ट | www.paypal.com.account-verify.example |
| पाथ | /signin |
| क्वेरी | session=8841 |
होस्ट www.paypal.com से शुरू होता है, पर वह बाईं ओर लगा सिर्फ़ एक लेबल है। दाएँ से पढ़ें तो असली डोमेन account-verify.example है। जिसके पास यह डोमेन है, वह इसके आगे कोई भी लेबल लगा सकता है, किसी ब्रांड का नाम भी। अगर फ़ोन का प्रीव्यू सिर्फ़ पहले 30 अक्षर दिखाए, तो आपको www.paypal.com.account-verif... दिखेगा। इसीलिए पूरा होस्ट देखना ज़रूरी है।
उदाहरण 2: तीन हॉप वाला शॉर्ट लिंक
शॉर्ट लिंक मंज़िल छिपा देता है, इसलिए जिस QR में शॉर्ट लिंक हो, उसे खोलकर देखे बिना कुछ पता नहीं चलता। हमने शॉर्ट लिंक https://amzn.to/3QOBRdb को रीडायरेक्ट चेकर में चलाया:
| # | URL | स्टेटस कोड |
|---|---|---|
| 1 | https://amzn.to/3QOBRdb | 302 |
| 2 | http://www.amazon.com | 301 |
| 3 | https://www.amazon.com/ | 200 |
चेन www.amazon.com पर 200 के साथ ख़त्म होती है, यानी खोलने से पहले ही पता चल गया कि लिंक कहाँ जाता है। स्टेटस कोड का मतलब हमारी गाइड रीडायरेक्ट कैसे चेक करें: 301 बनाम 302 में समझाया गया है।
एक सीमा जो आपको पता होनी चाहिए: हमारा रीडायरेक्ट चेकर अभी सिर्फ़ 301 और 302 हॉप को फ़ॉलो करता है। https://youtu.be/dQw4w9WgXcQ पर उसने स्टेटस 303 वाली सिर्फ़ एक लाइन दिखाई, मंज़िल नहीं। अगर आख़िरी लाइन 200 नहीं है, तो चेन अभी पूरी नहीं हुई। वही लिंक HTTP हेडर लुकअप में डालें: उसने HTTP/2 303 और location वाली लाइन में https://www.youtube.com/watch?v=dQw4w9WgXcQ&feature=youtu.be दिखाया। कुछ साइटें रिलेटिव पते (सिर्फ़ पाथ, डोमेन नहीं) से भी रीडायरेक्ट करती हैं, तब चेकर कहता है कि जानकारी नहीं मिल सकी। ऐसे में भी हेडर लुकअप काम करता है।
उदाहरण 3: Wi-Fi वाला कोड
रीडर ने WIFI:T:WPA;S:Cafe Guest;P:espresso2026;; दिखाया। यह लिंक नहीं है। यह फ़ोन से कहता है कि Cafe Guest नाम के WPA नेटवर्क से पासवर्ड espresso2026 के साथ जुड़ जाओ। देख लें कि नेटवर्क का नाम वही है जो दुकान या कैफ़े सच में इस्तेमाल करता है। टेबल पर लगा कोड उतनी ही आसानी से किसी और के कंट्रोल वाला नेटवर्क भी दे सकता है, और फिर आपका सारा काम उसके डिवाइस से होकर गुज़रता है।
उदाहरण 4: UPI पेमेंट वाला QR कोड
हमने एक डेमो UPI ID से टेस्ट कोड बनाया। रीडर ने दिखाया: upi://pay?pa=sharmastore.demo@example&pn=Sharma%20General%20Store&am=500.00&cu=INR। इसमें pa वह UPI ID है जिसके खाते में पैसा जाएगा, pn दिखाया जाने वाला नाम (Sharma General Store), और am रकम (₹500)। ध्यान दें: pn वाला नाम कोड बनाने वाला ख़ुद लिखता है। पेमेंट से पहले UPI ऐप जो नाम दिखाए, वह दुकान से मेल खाना चाहिए, और am में पहले से भरी रकम आपके बिल से। सबसे ज़रूरी बात: पैसे पाने के लिए कभी UPI PIN नहीं डालना पड़ता। अगर कोई "पैसे लेने के लिए स्कैन करो" कहे और PIN माँगे, तो वह पेमेंट आपके खाते से जा रहा है।
उदाहरण 5: एक फ़ोटो में दो कोड
नकली QR कोड अक्सर स्टिकर पर छापकर असली कोड के ऊपर या बगल में चिपका दिए जाते हैं। हमने एक इमेज में दो कोड साथ-साथ रखे: एक पार्किंग पेमेंट लिंक और उदाहरण 1 वाला नकली लिंक। रीडर ने कहा इस इमेज में कोई QR कोड नहीं मिला। मैसेज में बेहतर फ़ोटो के लिए सुझाव भी दिखते हैं। वह एक इमेज में एक ही कोड ढूँढता है, इसलिए उसने हार मान ली। जब हमने दोनों हिस्से अलग-अलग काटकर अपलोड किए, तो उसने https://parking.example-city.gov/pay?zone=214 और PayPal जैसा नकली लिंक पढ़ लिया। एक ही बोर्ड पर अलग-अलग डोमेन वाले दो कोड इस बात का पक्का इशारा हैं कि उनमें से एक बाद में लगाया गया।
असली फ़ोटो पर रीडर कितना भरोसेमंद है?
हमने यह भी देखा कि रीडर कितना कुछ झेल लेता है। ये सभी सही पढ़े गए:
| टेस्ट इमेज | नतीजा |
|---|---|
| 1600 × 1200 का "पार्किंग का पेमेंट यहाँ करें" पोस्टर, कोने में छोटा कोड | पढ़ा गया |
| 17° घुमाया, धुंधला और कम क्वालिटी वाले JPG में सेव किया कोड | पढ़ा गया |
| 66 × 66 पिक्सेल का बहुत छोटा कोड | पढ़ा गया |
| चारों ओर सफ़ेद बॉर्डर के बिना कोड | पढ़ा गया |
| सफ़ेद पर हल्का नीला कोड (कंट्रास्ट 1.81:1) | पढ़ा गया |
| काले बैकग्राउंड पर सफ़ेद कोड | पढ़ा गया |
| एक इमेज में दो अलग कोड | कोई QR कोड नहीं मिला (हर कोड अलग से काटें) |
पढ़ते समय हमने ब्राउज़र की नेटवर्क गतिविधि पर नज़र रखी: इमेज कहीं नहीं भेजी गई। यह तब मायने रखता है जब कोड किसी टिकट या निजी जानकारी वाले दस्तावेज़ पर हो।
अंदर का कंटेंट दिखने के बाद ख़तरे के संकेत
- ब्रांड का नाम, पर असली डोमेन कोई और।
paypal.com.account-verify.exampleअसल मेंaccount-verify.exampleका है।paypa1याrnicrosoftजैसे बदले हुए अक्षरों पर भी ध्यान दें। - किसी ऑफ़िशियल चीज़ पर शॉर्ट लिंक। पार्किंग मशीन या बिल पर शॉर्ट लिंक के पीछे छिपा पता हो, तो पेमेंट से पहले उसे खोलकर देख लें।
- लॉगिन या पेमेंट पेज जिसकी आपको उम्मीद नहीं थी। FBI की जनवरी 2022 की चेतावनी कहती है कि QR कोड से पहुँची साइट पर पेमेंट न करें, बल्कि जाना-पहचाना पता ख़ुद टाइप करें।
- सीधे ऐप डाउनलोड। वही चेतावनी कहती है कि ऐप सिर्फ़ फ़ोन के ऑफ़िशियल ऐप स्टोर से इंस्टॉल करें, QR कोड से नहीं, और अलग से QR स्कैनर ऐप डाउनलोड न करें, क्योंकि ज़्यादातर फ़ोन का कैमरा ही कोड पढ़ लेता है।
- जल्दबाज़ी का दबाव। पार्सल डिलीवर नहीं हुआ, अकाउंट में दिक्कत है, संदिग्ध गतिविधि के कारण पासवर्ड बदलो: ये वही पुरानी कहानियाँ हैं ताकि आप बिना सोचे स्कैन कर दें।
वे गलतियाँ जिनमें सावधान लोग भी फँसते हैं
- आज की जाँच को हमेशा के लिए सही मान लेना। कई QR सर्विस आपकी मंज़िल की जगह अपने डोमेन का शॉर्ट लिंक छापती हैं, और मालिक जब चाहे उसकी मंज़िल बदल सकता है। जब हमने
https://qrco.de/खोला, जो एक बड़े QR जनरेटर का डोमेन है, तो वह उसी कंपनी के हेल्प सेंटर पर पहुँचा। जो कोड पिछले हफ़्ते ठीक था, वह आज कहीं और ले जा सकता है। - मान लेना कि सब एक ही पेज पर पहुँचते हैं। हमने Microsoft का शॉर्ट लिंक
https://aka.ms/terminalदो जगहों से खोला। अर्जेंटीना से दूसरा हॉप/es-ar/पेज पर गया, हमारे सर्वर से/en-us/पर। रीडायरेक्ट देश, भाषा या डिवाइस पर निर्भर कर सकते हैं, इसलिए साफ़ नतीजा बस यह बताता है कि चेकर कहाँ पहुँचा, हर विज़िटर नहीं। - डोमेन देखना, पर उसकी उम्र नहीं। पिछले हफ़्ते रजिस्टर हुआ असली-सा दिखने वाला डोमेन ख़तरे का संकेत है। उसे Whois लुकअप और SSL लुकअप में जाँचें। हमारी गाइड वेबसाइट असली है या नकली कैसे पहचानें पूरा तरीका बताती है।
अगर आप कोई ख़राब QR कोड खोल चुके हैं
साइट से कोई और बातचीत न करें, जो भी पासवर्ड डाला था उसे तुरंत बदलें (हर उस जगह जहाँ वही पासवर्ड था), और कार्ड व बैंक स्टेटमेंट जाँचें। अगर पैसे कट गए हैं, तो तुरंत अपने बैंक को बताएँ और नेशनल साइबर क्राइम हेल्पलाइन 1930 पर कॉल करें, फिर cybercrime.gov.in पर शिकायत दर्ज करें। जितनी जल्दी रिपोर्ट करेंगे, पैसे रुकवाने की संभावना उतनी बेहतर होती है। अगर वही पासवर्ड कई जगह था, तो हमारी गाइड याद रहने वाला मज़बूत पासवर्ड कैसे बनाएँ और पासवर्ड जनरेटर से उसे जल्दी बदलें।
अपने बिज़नेस के लिए QR कोड छापते हैं? उन्हें QR कोड जनरेटर से बनाएँ, किसी दूसरी कंपनी के शॉर्ट लिंक की जगह सीधे अपने असली डोमेन पर पॉइंट करें, और समय-समय पर अपने बोर्ड देखते रहें कि किसी ने ऊपर स्टिकर तो नहीं चिपकाया।
अक्सर पूछे जाने वाले सवाल
क्या बिना स्कैन किए पता चल सकता है कि QR कोड सुरक्षित है?
हाँ। कोड की फ़ोटो या स्क्रीनशॉट लें और ऐसे QR रीडर में डालें जो सिर्फ़ इमेज पढ़ता हो। फ़ोन कुछ खोले बिना पूरा लिंक या कमांड दिख जाएगा, फिर डोमेन और रीडायरेक्ट जाँच लें।
क्या QR कोड स्कैन करने से फ़ोन हैक हो सकता है?
कोड पढ़ने से फ़ोन को सिर्फ़ कुछ टेक्स्ट मिलता है। ख़तरा अगले कदम में है: नकली लॉगिन पेज खोलना, पेमेंट डिटेल डालना, UPI PIN डालना, ऐप इंस्टॉल करना, किसी Wi-Fi से जुड़ना या SMS भेजना। फ़ोन का सॉफ़्टवेयर भी अपडेट रखें।
QR कोड का लिंक कहाँ जाता है, यह कैसे देखें?
QR कोड रीडर से कोड पढ़ें और लिंक को रीडायरेक्ट चेकर में डालें। अगर आख़िरी लाइन 200 नहीं है (जैसे 303), तो HTTP हेडर लुकअप इस्तेमाल करें और location वाली लाइन पढ़ें।
रीडर "कोई QR कोड नहीं मिला" क्यों कहता है?
हो सकता है इमेज में दो कोड हों, जिन्हें रीडर एक इमेज में नहीं पढ़ पाता, या कोड कटा हुआ या बहुत धुंधला हो। सिर्फ़ एक कोड काटकर दोबारा कोशिश करें। हमारे टेस्ट में घुमाए हुए, धुंधले, बहुत छोटे और बिना बॉर्डर वाले कोड भी पढ़े गए। हल्के रंग वाले और उल्टे (काले पर सफ़ेद) कोड अब दिक्कत नहीं हैं: 1 नवंबर 2026 से रीडर अपने-आप इमेज की ज़्यादा कंट्रास्ट वाली और उल्टी कॉपी से दोबारा कोशिश करता है।
क्या शॉर्ट लिंक वाला QR कोड हमेशा धोखा होता है?
नहीं। कई असली बिज़नेस विज़िट गिनने के लिए शॉर्टनर या QR सर्विस इस्तेमाल करते हैं। इसका मतलब बस इतना है कि लिंक खोलकर देखे बिना मंज़िल का पता नहीं चलता, और मालिक उसे बाद में बदल सकता है।
क्या QR कोड रीडर फ़्री है?
हाँ। यह फ़्री है, अकाउंट नहीं चाहिए और इमेज को अपलोड किए बिना आपके ब्राउज़र में पढ़ता है। विज़िटर्स को रोज़ 5 बार टूल इस्तेमाल करने को मिलते हैं, और फ़्री My Botsy अकाउंट (100% फ़्री, कोई स्पैम नहीं) यह सीमा हटा देता है।
किसी कोड पर शक है? फ़्री QR कोड रीडर खोलें, फ़ोटो या स्क्रीनशॉट डालें और देखें कि कोड ठीक-ठीक क्या करेगा, इससे पहले कि आपका फ़ोन वह कर दे।
