Qué hay realmente dentro de un código QR (y qué revela un código WiFi)

Un código QR parece ruido, un pequeño laberinto de cuadrados blancos y negros que no significa nada hasta que un teléfono lo apunta. Esa apariencia hace creer a la gente que es una especie de codificación secreta. No lo es. Un código QR es texto plano dibujado como una cuadrícula, legible por cualquier escáner, y saber qué hay realmente dentro de uno cambia tu forma de pensar a la hora de imprimirlos y compartirlos, sobre todo los de WiFi.

En resumen: un código QR es solo texto guardado como un patrón de cuadrados: un enlace, las credenciales del WiFi, una tarjeta de contacto, a la vista y sin cifrado. Quien lo escanee lee exactamente lo que pusiste. Eso está bien para el enlace de un menú, y conviene pensarlo dos veces con un código de WiFi, que entrega la contraseña de tu red a quien lo escanee.

Un código QR es texto con un disfraz visual

Bajo los cuadrados, un código QR guarda caracteres, las mismas letras, dígitos y símbolos que escribes. El patrón es una forma de dibujar ese texto para que una cámara pueda volver a leerlo rápido y de forma fiable, incluso de lado o un poco manchado. Los cuadrados de las esquinas ayudan al escáner a localizar y orientar el código; el resto de la cuadrícula es el mensaje más los datos de corrección de errores que le permiten sobrevivir a algún daño. Ese es todo el truco.

Así que un código QR no es un idioma ni un cifrado. Es texto con un disfraz que las máquinas leen mejor que las personas. Cuando tu teléfono escanea uno y muestra un enlace, no descifró nada. Leyó el texto codificado en los cuadrados y lo mostró. El aspecto críptico es para beneficio de la cámara, no para ocultarte el contenido, lo que significa que el contenido no se le oculta a nadie.

Nada de lo que contiene es secreto

Como un código QR es texto abierto, no hay clave, ni contraseña en el código mismo, ni cifrado. Lo que codifiques es legible para cada escáner que lo vea. Un código con una URL guarda esa URL a la vista. Un código de contacto guarda el nombre, el teléfono y el correo como campos en texto plano. Un código de WiFi guarda el nombre de la red y la contraseña, escritos tal cual.

Normalmente esto está bien y es justo lo que se busca: el código de un cartel que abre tu menú está pensado para ser público. El problema solo empieza cuando la gente supone que los cuadrados ocultan algo. No lo hacen. Si no escribirías el contenido en un cartel con palabras claras, no lo pongas en un código QR pensando que los cuadrados lo tapan. El código es el cartel; los cuadrados son solo una tipografía que tu teléfono sabe leer.

Qué comparte realmente un código QR de WiFi

El código QR de WiFi es donde esto más importa, porque es tan práctico que la exposición pasa desapercibida con facilidad. El código contiene el nombre de tu red y tu contraseña de WiFi como texto legible, para que el teléfono de un invitado pueda leerlo y conectarse sin escribir nada. Cómodo, y ahí está la trampa: cualquiera que escanee ese código, o lo fotografíe para escanearlo más tarde, ya tiene tu contraseña de WiFi.

Para una cafetería o una red de invitados pensada para compartirse, eso es exactamente lo que quieres. Para tu red de casa o de la oficina, piensa en dónde vive el código. Un código de WiFi pegado a una ventana da a la calle; uno publicado en una foto pública es legible para cualquiera que guarde la imagen. Una red de invitados mantiene la comodidad sin entregar las llaves de todo lo demás que hay en tu red principal. Puedes crear un código de WiFi, y leer lo que hay codificado en cualquier código que te entreguen, con un generador de códigos QR de WiFi en qr.hivly.net para saber exactamente qué estás poniendo en la pared.

El verdadero riesgo es el destino, no el código

Un código QR no puede llevar un virus, porque es solo texto y no puede ejecutar nada por sí solo. El riesgo no son los cuadrados; es a dónde apuntan. Un código con un enlace puede llevarte a una página de inicio de sesión falsa muy convincente. Un código con datos de contacto o de WiFi puede rellenar una acción que no pretendías. El ataque es la desviación, hacer que confíes en un destino porque un código, que se siente neutral y hecho por una máquina, lo sugirió.

La defensa es sencilla y es la misma que usas con cualquier enlace. Antes de actuar, mira a dónde lleva el código. Un buen escáner te muestra primero la URL o los datos y espera a que confirmes, en vez de abrirlos automáticamente. Escanea, lee lo que realmente dice y decide, la misma cautela que aplicarías a un enlace en un correo de un desconocido. Los cuadrados no se ganan ninguna confianza extra solo por parecer técnicos.