Un QR code peut vous dire combien de fois il est scanné, à peu près quand, et sur quel type d'appareil — à une condition : que le code soit dynamique, c'est-à-dire qu'il fasse passer chaque scan par une redirection qui enregistre la visite. Aucun QR code, dynamique ou statique, ne peut vous dire qui a scanné. Cet article explique ce qui est réellement mesurable, ce qui ne l'est pas, et comment suivre les scans tout en respectant la vie privée de la personne qui tient le téléphone.
Pourquoi seuls les codes dynamiques comptent les scans
Un QR code n'est qu'une image de données. Dans un code statique, ces données sont l'URL de destination elle-même. Quand quelqu'un le scanne, son téléphone va directement sur votre site, et rien entre les deux n'enregistre l'événement. Votre outil de mesure d'audience verra une visite, mais elle ressemblera à toutes les autres, sauf si vous avez balisé l'URL à l'avance.
Un code dynamique fonctionne autrement. Il encode une URL de redirection courte — du type qrmx.vip/abc123 — qui appartient au service générateur. Au scan, le téléphone demande d'abord cette URL courte. Le serveur du service reçoit la requête, y consigne quelques détails, puis renvoie une redirection HTTP vers votre vraie destination. Ce journal, c'est le suivi. C'est aussi pourquoi les codes dynamiques peuvent être modifiés après impression : on change la cible de la redirection, et le même carré noir et blanc continue de fonctionner.
La contrepartie, c'est la dépendance. Si le service de redirection tombe en panne ou disparaît, tous les codes imprimés cessent de fonctionner. Le suivi dynamique vous achète mesure et flexibilité au prix d'un maillon de la chaîne que vous ne contrôlez pas.
Ce que vous pouvez raisonnablement mesurer
Chaque scan est une requête web ordinaire qui arrive sur le serveur de redirection ; les éléments mesurables sont donc ceux qu'un serveur web voit naturellement :
- Le nombre de scans. Chaque requête compte pour un scan. Considérez le total comme approximatif : certaines personnes scannent plusieurs fois, certaines applications d'appareil photo préchargent les liens, et un visiteur enthousiaste peut gonfler le compteur.
- L'heure approximative. L'horodatage du serveur donne la date et, en général, l'heure. C'est surtout utile pour comparer des emplacements — une affiche à l'entrée contre un prospectus dans le sac.
- Le type d'appareil. L'en-tête user-agent de la requête révèle la famille de système d'exploitation, iOS ou Android en général, et parfois le navigateur. C'est un signal grossier, qui peut manquer ou être générique.
- Le pays ou la région. Le serveur peut déduire une localisation approximative de l'adresse IP. VPN, réseaux d'entreprise et routage des opérateurs mobiles faussent tous cette donnée : prenez la ville pour un indice, pas pour un fait.
Rien d'exotique là-dedans ; c'est la même donnée superficielle que produit toute visite de site web. La valeur vient de la structure. Donnez à chaque emplacement son propre code, et les chiffres deviennent comparables au lieu de se fondre dans un total unique.
Ce que vous ne pouvez pas savoir
Un scan est une requête HTTP anonyme. Elle ne contient ni nom, ni adresse e-mail, ni numéro de téléphone, ni identifiant de compte. Tant que la personne ne saisit pas volontairement ses coordonnées dans un formulaire de la page de destination, vous ignorez totalement qui elle est. Vous ne pouvez pas non plus suivre une même personne d'un code ou d'une visite à l'autre ; sans connexion ni cookies sur votre propre domaine, chaque scan est un inconnu nouveau.
Deux précisions s'imposent, car la peur des QR codes va souvent plus vite que les faits :
- Scanner ne donne accès à aucun téléphone. Un code ne peut ni lire les contacts, ni les photos, ni les messages, ni la position GPS précise. Il peut seulement ouvrir un lien ou, dans des cas particuliers, déclencher une action comme rejoindre un réseau Wi-Fi.
- Une adresse IP n'est pas une identité. Elle suggère une zone approximative, mais elle ne dit pas quelle personne d'un foyer — a fortiori d'une ville — tenait le téléphone.
Même le type d'appareil n'est qu'une déduction à partir d'un en-tête envoyé par le téléphone, et les navigateurs peuvent le modifier. Si quelqu'un vous promet l'identité des scanneurs à partir d'un simple QR code, il vous vend quelque chose qu'il n'a pas.
Suivre les codes statiques avec des balises UTM et votre outil d'audience
Si vous voulez seulement savoir quel trafic un code apporte à votre site, vous n'avez peut-être pas besoin d'un code dynamique. Gardez le code statique et ajoutez des paramètres UTM à l'URL de destination :
https://example.com/menu?utm_source=poster&utm_medium=qr&utm_campaign=spring
Votre outil d'analyse d'audience existant présentera alors ces visites comme un segment à part — source « poster », support « qr » — séparé du trafic de recherche, des réseaux sociaux et de la saisie directe. Aucun service supplémentaire, aucune dépendance à une redirection, et le code ne cesse jamais de fonctionner. Les balises sont visibles dans l'URL elle-même, ce qui est une forme d'honnêteté : quiconque le souhaite peut voir que le lien est mesuré.
Les limites sont réelles :
- L'URL s'allonge, le motif du QR code se densifie et devient un peu plus difficile à scanner de loin.
- Impossible de changer la destination après impression.
- Vous mesurez des visites, pas des scans. La plupart des téléphones affichent un aperçu de l'URL après le scan et attendent un appui : ceux qui scannent, jettent un œil et passent leur chemin n'apparaissent jamais dans vos statistiques.
Pour beaucoup d'usages — un menu de restaurant, une page produit, un lien de téléchargement — c'est largement suffisant. Choisissez les codes statiques balisés UTM quand la question est « combien de trafic ? », et les codes dynamiques quand il vous faut des comptages de scans avant l'appui ou la possibilité de modifier la destination plus tard.
Des pratiques respectueuses de la vie privée
Mesurer les scans est légitime. Le faire sans précaution est inutile, et c'est dans de nombreux pays aussi un problème juridique : des lois sur la protection des données comme le RGPD européen peuvent considérer les adresses IP comme des données personnelles. Trois habitudes maintiennent un dispositif de suivi des scans du bon côté de l'éthique et de la loi.
Ne rien collecter de personnel
Ne consignez pas les adresses IP complètes, ne « fingerprintez » pas les appareils, et ne placez pas l'essentiel de votre contenu derrière une connexion dans le seul but d'identifier les scanneurs. Gardez uniquement les signaux agrégés décrits plus haut : comptages, horodatages, famille d'appareil, région approximative. Si vous utilisez un service de redirection, privilégiez-en un qui tronque ou hache les adresses IP au lieu de les stocker en clair. Un test utile : si un enregistrement ne peut pas être rattaché à une personne, il a beaucoup moins de chances de causer du tort — ou des ennuis de conformité.
Conserver peu longtemps
Les journaux de requêtes brutes s'accumulent sans raison. Règle empirique courante : conservez les journaux bruts 30 à 90 jours, le temps de repérer les tendances et de déboguer une campagne défaillante, puis supprimez-les et ne gardez que les agrégats — comptages mensuels par code, répartition par appareil, etc. Les agrégats répondent déjà à presque toutes les questions d'un rapport, et une donnée que vous ne détenez plus est une donnée qui ne peut pas fuiter.
Dire ce que vous faites
Si les gens peuvent légitimement vouloir le savoir, dites-le. Une courte ligne sur l'affiche ou la page d'arrivée — « Les scans de ce code sont comptés de façon anonyme pour améliorer nos événements » — coûte une phrase et achète la confiance que le suivi discret détruit. Si vous utilisez un service générateur pour des codes dynamiques, lisez sa politique de confidentialité avant d'imprimer quoi que ce soit : ce qu'il journalise, combien de temps il conserve, et s'il partage des données avec qui que ce soit.
Une méthode simple qui fonctionne
- Notez l'unique question à laquelle vous voulez répondre, par exemple « quel emplacement d'affiche fonctionne le mieux ? »
- Choisissez l'outil le plus léger qui y répond : un code statique avec balises UTM pour les questions de trafic, un code dynamique pour les comptages de scans et la modifiabilité.
- Créez un code par emplacement. Des générateurs gratuits comme QRCodeMax.Vip gèrent aussi bien les codes statiques que dynamiques, ce qui permet d'adapter l'outil à la question.
- Tenez une petite note associant chaque code à son emplacement ; les codes non étiquetés deviennent des énigmes en moins d'un mois.
- Testez chaque code avec deux téléphones différents avant toute impression en série.
- Relisez les chiffres à échéance fixe — chaque semaine ou chaque mois — et agissez : déplacez l'affiche, changez la destination, arrêtez la campagne.
L'essentiel à retenir
Mesurez des comptages et un contexte grossier avec des codes dynamiques ou des codes statiques balisés UTM ; ne cherchez jamais l'identité de la personne derrière le scan. Collectez moins que ce que vous pourriez, supprimez plus tôt que ce que vous devez, et dites simplement ce que vous comptez. C'est un suivi en lequel on peut avoir confiance — et, ce n'est pas un hasard, un suivi que vous utiliserez vraiment.