Para saber se um QR Code é seguro, veja o que ele contém antes de o celular fazer qualquer coisa com ele. Envie uma foto ou um print do código para o nosso leitor de QR Code grátis e você vê o texto bruto: o link completo, ou a rede Wi-Fi, o Pix ou o contato que ele acionaria. Depois confira três coisas: o domínio real no fim do nome do host, para onde um link encurtado redireciona de verdade e se o código parece colado por cima de outro. O leitor é grátis, não pede cadastro e decodifica a imagem no seu navegador, então nada é aberto nem enviado.
Os exemplos abaixo vêm de testes que fizemos nas ferramentas reais em 1º de novembro de 2026, com QR Codes criados para este artigo. Os endereços falsos usam o domínio reservado .example, então não levam a lugar nenhum.
Como conferir um QR Code antes de escanear, passo a passo
- Tenha uma imagem do código. Tire uma foto com o app da câmera (uma foto não abre nada) ou faça um print se o código estiver num e-mail, PDF ou mensagem.
- Decodifique sem abrir. Envie a imagem para o leitor de QR Code. Ele mostra exatamente o texto guardado no código, nada mais.
- Descubra que tipo de código é. Um link começa com
https://ouhttp://. Também existem códigos que começam comWIFI:,SMSTO:,tel:,mailto:,BEGIN:VCARDou, no caso do Pix, com000201. Cada um faz o celular agir de um jeito. - Encontre o domínio real. Cole o link no analisador de URL e leia a linha Host da direita para a esquerda. A parte logo antes da terminação (
.com,.com.br,.gov.br) é com quem você está lidando de verdade. - Expanda links curtos. Se o link usa um encurtador ou o domínio de um serviço de QR, passe no verificador de redirecionamentos para ver cada salto e a página final.
- Olhe o código físico. Procure um adesivo sobre um código impresso, bordas desalinhadas ou dois códigos muito próximos.
- Decida. Se algo estiver estranho, não abra. Para pagamentos e login, digite você mesmo o endereço da empresa ou use o app oficial.
Teste agora: faça um print de qualquer QR Code na sua tela e envie para o leitor de QR Code grátis. Você vê todo o conteúdo em um segundo, sem o celular abrir o link.
O que nosso leitor mostrou com cinco códigos de teste
Exemplo 1: um link de pagamento que imita o PayPal
Codificamos https://www.paypal.com.account-verify.example/signin?session=8841, o tipo de endereço que um falso aviso de "seu pagamento falhou" usaria. O leitor devolveu o link completo e o analisador de URL separou assim:
| Linha | Valor |
|---|---|
| Esquema | https |
| Host | www.paypal.com.account-verify.example |
| Caminho | /signin |
| Consulta | session=8841 |
O host começa com www.paypal.com, mas isso é só um rótulo à esquerda. Lendo da direita, o domínio real é account-verify.example. Quem controla esse domínio pode colocar na frente o rótulo que quiser, inclusive o nome de uma marca. Uma prévia no celular que mostre só os primeiros 30 caracteres exibiria www.paypal.com.account-verif..., e é por isso que vale ver o host inteiro.
Exemplo 2: um link curto com três saltos
Link encurtado esconde o destino, então um QR com um deles não diz nada até você expandir. Passamos o link curto https://amzn.to/3QOBRdb no verificador de redirecionamentos:
| # | URL | Código de status |
|---|---|---|
| 1 | https://amzn.to/3QOBRdb | 302 |
| 2 | http://www.amazon.com | 301 |
| 3 | https://www.amazon.com/ | 200 |
A cadeia termina em www.amazon.com com um 200, então você sabe para onde vai antes de abrir. Os códigos de status estão explicados no nosso guia para verificar redirecionamentos 301 e 302.
Uma limitação que você precisa conhecer: hoje nosso verificador de redirecionamentos só segue saltos 301 e 302. Ao testar https://youtu.be/dQw4w9WgXcQ, ele mostrou uma única linha com status 303 e sem destino. Se a última linha não for 200, a cadeia não terminou. Cole o mesmo link na consulta de cabeçalhos HTTP: ela mostrou HTTP/2 303 e uma linha location com https://www.youtube.com/watch?v=dQw4w9WgXcQ&feature=youtu.be. Alguns sites também redirecionam com um endereço relativo (só o caminho, sem domínio), e aí o verificador avisa que não conseguiu obter dados. A consulta de cabeçalhos funciona nesse caso também.
Exemplo 3: um QR Code de Wi-Fi
O leitor devolveu WIFI:T:WPA;S:Cafe Guest;P:espresso2026;;. Não é um link: ele manda o celular entrar numa rede WPA chamada Cafe Guest com a senha espresso2026. Confira se o nome da rede bate com o que o estabelecimento usa de verdade. Um código numa mesa pode oferecer, com a mesma facilidade, uma rede controlada por outra pessoa, e tudo o que você faz nela passa pelo equipamento dela.
Exemplo 4: um QR Code de Pix
Criamos um Pix de teste e o leitor devolveu a linha completa do "Pix copia e cola": 00020126550014br.gov.bcb.pix0133pagamentos@padaria-modelo.example520400005303986540525.005802BR5914PADARIA MODELO6009SAO PAULO62070503***63043E6C. Dá para ler os campos a olho: depois de br.gov.bcb.pix vem a chave (pagamentos@padaria-modelo.example), 5405 marca o valor (25.00), 5914 o nome (PADARIA MODELO) e 6009 a cidade (SAO PAULO). Só que esse nome é escrito por quem gerou o código. O que vale é o nome do recebedor que o app do seu banco mostra na tela de confirmação. Se ele não for a loja onde você está, cancele.
Exemplo 5: dois códigos na mesma foto
QR Codes falsos costumam ser impressos como adesivos colados em cima do original ou ao lado. Colocamos dois códigos lado a lado numa imagem: um link de pagamento de estacionamento e o link falso do exemplo 1. O leitor respondeu Nenhum QR code encontrado nesta imagem. A mensagem também traz dicas para tirar uma foto melhor. Ele procura um código por imagem, então desistiu. Ao recortar cada metade e enviar separadas, leu https://parking.example-city.gov/pay?zone=214 e o link que imita o PayPal. Dois códigos apontando para domínios diferentes na mesma placa são um sinal forte de que um deles foi colocado depois.
O leitor funciona com fotos do mundo real?
Também testamos até onde ele aguenta. Todos estes foram lidos corretamente:
| Imagem de teste | Resultado |
|---|---|
| Cartaz de "pague o estacionamento" de 1600 × 1200 com um código pequeno num canto | Lido |
| Código girado 17°, desfocado e salvo como JPG de baixa qualidade | Lido |
| Código minúsculo de 66 × 66 pixels | Lido |
| Código sem a margem branca em volta | Lido |
| Código azul-claro no branco (contraste 1,81:1) | Lido |
| Código branco em fundo preto | Lido |
| Dois códigos diferentes numa imagem | Nenhum QR code encontrado (recorte cada um) |
Acompanhamos a atividade de rede do navegador durante a leitura e a imagem não foi enviada para lugar nenhum. Isso importa quando o código está num ingresso ou num documento com dados pessoais.
Sinais de alerta quando você já vê o conteúdo
- Nome de marca que não é o domínio real.
paypal.com.account-verify.examplepertence aaccount-verify.example. Repare também em letras trocadas, comopaypa1ournicrosoft. - Link curto em algo oficial. Um parquímetro ou um boleto que esconde o endereço atrás de um encurtador merece uma expansão antes de pagar.
- Página de login ou de pagamento que você não planejava abrir. O alerta do FBI de janeiro de 2022 sobre QR Codes adulterados desaconselha pagar num site aberto a partir de um QR. Digite um endereço que você conhece.
- Download direto de app. O mesmo alerta recomenda instalar apps só pela loja oficial do celular, não por QR Code, e não baixar apps leitores de QR à parte, porque a maioria dos celulares já lê códigos pela câmera.
- Pressa. Encomenda que não pôde ser entregue, problema na sua conta, atividade suspeita que exige trocar a senha: são as histórias de sempre para você escanear sem pensar.
Armadilhas que pegam até gente cuidadosa
- Achar que a verificação de hoje vale para sempre. Muitos serviços de QR imprimem um link curto no próprio domínio em vez do seu destino, e o dono pode mudar para onde ele aponta quando quiser. Ao abrir
https://qrco.de/, um domínio usado por um dos grandes geradores de QR, ele redirecionou para a central de ajuda da empresa. Um código que estava certo semana passada pode apontar para outro lugar hoje. - Supor que todo mundo cai na mesma página. Seguimos o link curto da Microsoft
https://aka.ms/terminalde dois lugares. Da Argentina, o segundo salto foi para uma página/es-ar/; do nosso servidor, para/en-us/. Redirecionamentos podem depender de país, idioma ou aparelho, então um resultado limpo prova para onde o link foi no verificador, não para todo mundo. - Olhar o domínio mas não a idade dele. Um domínio com cara de oficial registrado semana passada é sinal de alerta. Passe na consulta Whois e na consulta SSL. Nosso guia sobre como saber se um site é confiável mostra a rotina completa.
Se você já abriu um QR Code malicioso
Pare de interagir com o site, troque na hora qualquer senha que você digitou (em todos os lugares onde ela se repetia) e confira o extrato do cartão e do banco. Se fez um Pix ou passou dados de pagamento, fale com seu banco imediatamente pelos canais oficiais e registre um boletim de ocorrência. Se você repetia aquela senha, nosso guia para criar uma senha forte e o gerador de senhas ajudam a trocá-la rápido.
Tem um negócio que imprime QR Codes? Crie os seus no gerador de QR Code, aponte direto para o seu domínio real em vez de um link curto de terceiros e confira suas placas de vez em quando para ver se alguém colou algo por cima.
Perguntas frequentes
Dá para saber se um QR Code é seguro sem escanear?
Sim. Tire uma foto ou um print e envie para um leitor de QR que só decodifica a imagem. Você vê o link ou o comando completo sem o celular abrir nada e depois confere o domínio e os redirecionamentos.
Escanear um QR Code pode hackear o celular?
Ler o código só entrega um texto ao celular. O risco está no que você faz depois: abrir um login falso, digitar dados de pagamento, confirmar um Pix, instalar um app, entrar numa rede Wi-Fi ou mandar um SMS. Mantenha também o sistema do celular atualizado.
Como vejo para onde vai o link de um QR Code?
Decodifique com o leitor de QR Code e cole o link no verificador de redirecionamentos. Se a última linha não for 200 (por exemplo, um 303), use a consulta de cabeçalhos HTTP e veja a linha location.
Por que o leitor diz que nenhum QR code foi encontrado?
A imagem pode ter dois códigos, algo que o leitor não resolve numa imagem só, ou o código pode estar cortado ou muito borrado. Recorte um único código e tente de novo. Nos nossos testes, códigos girados, borrados, minúsculos e sem margem foram lidos. Códigos claros demais ou invertidos já não são problema: desde 1º de novembro de 2026 o leitor tenta de novo automaticamente com cópias da imagem com mais contraste e invertidas.
QR Code com link curto é sempre golpe?
Não. Muitas empresas sérias usam encurtadores ou serviços de QR para medir acessos. Só quer dizer que você não consegue julgar o destino antes de expandir o link, e que o dono pode mudá-lo depois.
O leitor de QR Code é grátis?
Sim. É grátis, não pede cadastro e decodifica a imagem no seu navegador sem enviá-la. Visitantes têm 5 usos de ferramentas por dia, e uma conta grátis no My Botsy (100% grátis, sem spam) remove esse limite.
Tem um código em que você não confia? Abra o leitor de QR Code grátis, envie uma foto ou um print e veja exatamente o que ele faria antes que o seu celular faça.
