Un QR code, en lui-même, ne dit rien de vous au monde. C'est simplement un motif qui stocke des données — le plus souvent une adresse web — et il n'a aucun moyen de savoir qu'il a été scanné. Les risques pour la vie privée se situent ailleurs : sur le site que le code ouvre, et du côté du service qui a créé le code, deux éléments qui peuvent consigner des détails sur ce que vous faites.
Un QR code n'est qu'une donnée
Un QR code est un code-barres en deux dimensions. Ses modules noir et blanc encodent des caractères ordinaires : une URL, une ligne de texte, des coordonnées au format vCard, un mot de passe Wi-Fi. Quand l'appareil photo de votre téléphone reconnaît le motif, il décode ces caractères sur place. Rien n'est transmis par le code lui-même, car le code n'est pas un appareil. Il n'a ni mémoire, ni connexion, aucun moyen de signaler qu'il a été scanné.
Un code imprimé est donc exactement aussi privé que le même texte écrit sur papier. Qu'une personne le scanne ou un million, le motif ne change jamais et ne « téléphone » nulle part. Un code statique — celui qui contient directement le contenu final — ne peut tout simplement pas vous pister.
Cette ouverture a un second versant : rien dans un QR code n'est caché. N'importe qui, avec n'importe quel scanner, peut décoder n'importe quel code visible. Encoder n'est pas chiffrer, et c'est ce fait qui fonde les conseils plus bas sur ce qu'il ne faut jamais mettre dans un code.
D'où vient réellement le risque
Deux choses se produisent après un scan, et il faut les distinguer.
La première, c'est la destination. Un code qui ouvre un site web ouvre un site ordinaire, avec tout ce que cela implique : journaux serveur, cookies, scripts de mesure d'audience, formulaires. Le site sait qu'une visite a eu lieu et peut enregistrer les détails que tout visiteur laisse derrière lui.
La seconde, c'est le service qui a créé le code. Beaucoup de générateurs commerciaux n'encodent pas directement votre adresse cible. Ils encodent plutôt un lien court de redirection sur leur propre domaine. Quand vous scannez, vous touchez d'abord leur serveur ; celui-ci journalise le scan puis vous transfère vers la vraie destination. C'est ainsi que fonctionnent les codes « dynamiques », et c'est le mécanisme derrière les statistiques de scan.
Un code statique n'a pas d'intermédiaire. Le scan vous mène directement à la destination, et personne entre les deux n'apprend quoi que ce soit. Quand la vie privée compte, la différence entre ces deux conceptions est la chose la plus importante à comprendre.
Ce qu'un site peut voir quand vous ouvrez le lien
Ouvrir un lien — par QR code ou en cliquant — expose les mêmes informations au serveur du site :
- Votre adresse IP, qui identifie votre réseau.
- Une localisation approximative déduite de cette IP, le plus souvent à l'échelle de la ville ou de la région, pas au niveau d'une rue.
- Les caractéristiques de votre appareil et de votre navigateur, envoyées automatiquement dans le user agent : système d'exploitation, type et version du navigateur, taille de l'écran.
- La langue de votre navigateur, l'heure exacte d'accès et les pages consultées.
- Tout ce que vous saisissez volontairement : champs de formulaire, identifiants, téléchargements.
- Les cookies et la prise d'empreinte du navigateur, qui peuvent vous reconnaître lors de visites ultérieures.
Tout aussi important : ce qu'un site ne peut pas facilement voir. Il n'apprend ni votre nom, ni votre adresse e-mail, ni votre numéro de téléphone, ni vos contacts, sauf si vous les tapez vous-même. Il ne peut pas lire votre position GPS précise sans demander l'autorisation, et votre caméra ou vos fichiers restent hors de portée tant que vous n'accordez pas l'accès.
L'acte de scanner ne révèle rien. C'est l'ouverture de la page qui partage des données — la vraie question de vie privée est donc toujours : faites-vous confiance à la page au bout du lien ?
Comment fonctionne le suivi des scans
Quand un code est « dynamique », le lien encodé pointe vers le serveur du générateur. Chaque scan est un événement que le serveur peut enregistrer : l'heure, l'adresse IP à l'origine du scan, le type d'appareil, une localisation approximative déduite de l'IP. L'exploitant consulte un tableau de bord des scans et peut généralement changer la destination du code, même après impression sur mille flyers.
Ce n'est pas malveillant en soi. Menus de restaurant modifiables, emballages réimprimés, campagnes marketing : autant de raisons légitimes de vouloir un code modifiable et mesurable. Mais la conséquence pour vous est réelle : chaque scan est signalé à un tiers que vous n'avez pas choisi, dont la politique de confidentialité — si vous parvenez à la trouver — régit cet enregistrement. Et la page d'arrivée peut ajouter sa propre mesure d'audience par-dessus la journalisation de la redirection.
Les codes voyagent aussi loin de leur créateur. Une affiche scannée dans un pays peut passer par un serveur situé dans un autre. Scanner, en termes de vie privée, c'est contacter directement cet exploitant.
Réduire votre exposition quand vous scannez
Quelques habitudes simples couvrent l'essentiel du risque :
- Lisez avant d'ouvrir. La plupart des appareils photo de téléphone affichent le lien décodé, ou au moins le domaine, avant le chargement de la page. Lien court inconnu ou domaine mal orthographié : n'ouvrez pas.
- Méfiez-vous des pages d'arrivée de QR codes provenant de sources inconnues. Ne saisissez ni identifiants, ni informations de paiement, ni données personnelles sur une page atteinte en scannant une affiche. Si un code prétend venir de votre banque ou de votre fournisseur d'énergie, tapez vous-même l'adresse de l'organisme.
- Refusez le superflu. N'installez pas les applications poussées par une page atteinte via un QR code, et ignorez les demandes d'autorisation qui ne correspondent pas à ce que vous êtes en train de faire.
- Utilisez la navigation privée pour éviter les cookies, en sachant qu'elle ne masque pas votre adresse IP.
- Envisagez un VPN si masquer votre IP aux sites de destination compte pour vous — en comprenant que le fournisseur du VPN verra alors ce qu'aurait vu le site.
- Préférez les sources de confiance. Des autocollants collés sur de vrais codes ont déjà servi à rediriger vers de fausses pages de paiement ; un code dans un contexte sensible mérite la même vigilance qu'un lien suspect dans un e-mail.
Pourquoi ne jamais mettre de secret dans un code public
Puisque n'importe quel scanner peut décoder n'importe quel code, tout ce que vous encodez est en pratique publié. Un code sur un écran, une affiche, une carte de visite ou un document partagé peut être photographié ou capturé, et les données qu'il contient survivent indéfiniment dans cette image.
Cela disqualifie toute une liste de choses que l'on met pourtant dans des codes :
- Mots de passe, codes PIN et codes à usage unique. Quiconque voit le code détient le secret.
- Identifiants Wi-Fi sur un support visible de tous. Le mot de passe d'un réseau invité sur le mur d'un café est un choix délibéré ; celui d'un réseau privé sur la porte d'un bureau est une fuite.
- Numéros d'identité, adresse du domicile ou numéro de téléphone sur tout ce que des inconnus peuvent voir.
- Codes de billets ou de bons d'achat à usage unique, copiables et utilisables avant vous.
- Codes de configuration de la double authentification. Le QR code affiché lors de l'ajout d'une application d'authentification contient le secret qui génère vos codes de connexion. Quiconque le scanne peut les produire aussi : ne le partagez jamais, ne le photographiez jamais.
La règle est simple : un QR code sert à publier des données, pas à les protéger. N'encodez un secret que là où toute personne pouvant voir le code est censée l'avoir.
Ce que font différemment les générateurs respectueux de la vie privée
Le suivi exige un serveur intermédiaire : un lien court, une redirection, un journal. Les générateurs respectueux de la vie privée suppriment cet intermédiaire, et les différences en découlent.
Ils génèrent le code dans votre navigateur plutôt que sur un serveur : le texte ou l'adresse encodés ne quittent jamais votre appareil. Ils fonctionnent sans compte : aucune adresse e-mail n'est collectée pour être associée à vos codes. Ils produisent des codes statiques, qui contiennent directement la destination finale — pas de redirection, pas de journal de scans, pas de date d'expiration. Le code fonctionne tant que la destination existe, et personne n'est prévenu quand il est scanné.
Certains générateurs gratuits fonctionnent ainsi — QRCodeMax.Vip en fait partie — et le test est facile à appliquer à tout outil : si un service impose une inscription pour un code de base, ou n'offre des codes qu'à travers ses propres liens courts, le code est aussi un mécanisme de suivi. S'il construit le code sous vos yeux sans rien demander, le code redevient une simple donnée.
En résumé
Un QR code ne peut rien révéler de vous : c'est un motif inerte. Votre vie privée se joue sur la page de destination et dans le service derrière le code. Lisez le lien avant de l'ouvrir, traitez les pages d'arrivée inconnues comme des liens d'e-mail inconnus, n'encodez jamais de secret dans ce qui est visible publiquement, et choisissez des générateurs qui créent des codes statiques localement, sans compte ni redirection. Faites-le, et scanner restera à peu près aussi discret que lire.