Ce que contient vraiment un QR code (et ce que révèle un code WiFi)

Un QR code ressemble à du bruit, un petit labyrinthe de carrés noirs et blancs qui ne veut rien dire jusqu’à ce qu’un téléphone le pointe. Cette apparence fait croire qu’il s’agit d’une sorte d’encodage secret. Ce n’en est pas un. Un QR code, c’est du texte brut dessiné sous forme de grille, lisible par n’importe quel scanner, et savoir ce qu’il contient réellement change la façon dont vous envisagez de les imprimer et de les partager, en particulier ceux de type WiFi.

En bref : un QR code n’est que du texte stocké sous forme de motif de carrés : un lien, des identifiants WiFi, une carte de contact, à découvert et sans aucun chiffrement. Quiconque le scanne lit exactement ce que vous y avez mis. C’est sans conséquence pour un lien vers un menu, mais cela mérite réflexion pour un code WiFi, qui livre le mot de passe de votre réseau à quiconque le scanne.

Un QR code, c’est du texte déguisé

Sous les carrés, un QR code contient des caractères, les mêmes lettres, chiffres et symboles que vous tapez. Le motif est une manière de dessiner ce texte pour qu’une caméra puisse le relire rapidement et de façon fiable, même de biais ou partiellement effacé. Les carrés dans les coins aident le scanner à repérer et à orienter le code ; le reste de la grille, c’est le message accompagné de données de correction d’erreurs qui lui permettent de survivre à quelques dégâts. Voilà toute l’astuce.

Un QR code n’est donc ni une langue ni un chiffre. C’est du texte déguisé, que les machines lisent mieux que les humains. Quand votre téléphone en scanne un et affiche un lien, il n’a rien déchiffré. Il a lu le texte encodé dans les carrés et l’a affiché. L’aspect énigmatique sert la caméra, pas à vous cacher le contenu, ce qui veut dire que ce contenu n’est caché à personne.

Rien n’y est secret

Parce qu’un QR code est du texte ouvert, il n’y a aucune clé, aucun mot de passe sur le code lui-même, et aucun chiffrement. Tout ce que vous encodez est lisible par chaque scanner qui le voit. Un code contenant une URL la conserve en clair. Un code de contact contient le nom, le téléphone et l’e-mail sous forme de champs en clair. Un code WiFi contient le nom du réseau et le mot de passe, écrits noir sur blanc.

C’est généralement sans problème, et c’est tout l’intérêt : un code sur une affiche qui ouvre votre menu est censé être public. Les ennuis ne commencent que lorsqu’on suppose que les carrés cachent quelque chose. Ce n’est pas le cas. Si vous n’écririez pas le contenu en toutes lettres sur un panneau, ne le mettez pas dans un QR code en croyant que les carrés font écran. Le code est le panneau ; les carrés ne sont qu’une police de caractères que votre téléphone sait lire.

Ce qu’un QR code WiFi partage réellement

C’est avec le QR code WiFi que la question compte le plus, car il est si pratique que l’exposition passe facilement inaperçue. Le code contient le nom de votre réseau et votre mot de passe WiFi sous forme de texte lisible, afin que le téléphone d’un invité puisse le lire et se connecter sans rien saisir. Pratique, mais voilà le piège : quiconque scanne ce code, ou le photographie pour le scanner plus tard, possède désormais votre mot de passe WiFi.

Pour un café ou un réseau invité destiné à être partagé, c’est exactement ce que vous voulez. Pour votre réseau domestique ou professionnel, réfléchissez à l’endroit où le code se trouve. Un code WiFi collé sur une vitre donne sur la rue ; un code publié dans une photo publique est lisible par quiconque enregistre l’image. Un réseau invité conserve la commodité sans distribuer les clés de tout le reste de votre réseau principal. Vous pouvez créer un code WiFi, et lire ce qui est encodé dans n’importe quel code qu’on vous présente, avec un générateur de QR code WiFi sur qr.hivly.net, pour savoir exactement ce que vous affichez sur le mur.

Le vrai risque, c’est la destination, pas le code

Un QR code ne peut pas véhiculer de virus, car ce n’est que du texte et il ne peut rien exécuter par lui-même. Le risque n’est pas dans les carrés ; il est dans ce qu’ils désignent. Un code contenant un lien peut vous envoyer vers une fausse page de connexion très convaincante. Un code contenant des données de contact ou WiFi peut préremplir une action que vous n’aviez pas l’intention de lancer. L’attaque, c’est la diversion : vous amener à faire confiance à une destination parce qu’un code, qui semble neutre et fabriqué par une machine, vous l’a suggérée.

La défense est simple, et c’est la même que pour n’importe quel lien. Avant d’agir, regardez où le code mène. Un bon scanner vous montre d’abord l’URL ou les détails et attend votre confirmation, plutôt que de les ouvrir automatiquement. Scannez, lisez ce qui est réellement indiqué, puis décidez, avec la même prudence que vous appliqueriez à un lien dans un e-mail d’un inconnu. Les carrés ne méritent aucune confiance supplémentaire au seul prétexte qu’ils ont l’air techniques.