Większość ludzi traktuje kod QR jako nieszkodliwy skrót do strony. Często nim jest. Ale QR to tylko pojemnik na tekst, a ten tekst może być znacznie bardziej wrażliwy niż link. Zanim wrzucisz obraz kodu do pierwszego „czytnika QR online", jaki znajdziesz, warto wiedzieć, co możesz oddawać — i komu.
Co kod QR może faktycznie zawierać
Czarno-biały wzór koduje zwykły tekst, a umownie ten tekst może być wieloma rzeczami:
- Adres URL — częsty przypadek, ale czasem prywatny albo jednorazowy link (reset hasła, zaproszenie, dokument „niepubliczny na liście", a nie naprawdę publiczny).
- Sieć Wi-Fi i hasło — kody „zeskanuj, żeby połączyć" na routerach i w hotelach dosłownie kodują nazwę sieci i hasło zwykłym tekstem.
- Wizytówka (vCard) — imię, numer telefonu, e-mail oraz adres domowy albo biurowy.
- Token logowania albo płatności — niektóre aplikacje pokazują QR, żeby autoryzować sesję albo przelew; ciąg w środku jest praktycznie kluczem.
- Zwykły tekst albo wiadomość — cokolwiek ktoś postanowił zakodować.
Nic z tego nie jest niebezpieczne dla Ciebie, gdy dekodujesz to na własnym urządzeniu. Staje się problemem, gdy dekodowanie wymaga wysłania obrazu gdzieś indziej.
Ukryty krok: „czytniki online" przesyłają Twój obraz
Oto część, którą łatwo przeoczyć. Typowy czytnik QR online działa tak, że przesyła Twój plik obrazu na swój serwer, dekoduje go tam i odsyła wynik z powrotem. To znaczy, że zdjęcie — i cokolwiek koduje kod — opuszcza Twoje urządzenie i ląduje na sprzęcie, którego nie kontrolujesz. Dla linku do publicznego artykułu — w porządku. Dla hasła Wi-Fi, tokenu logowania albo wizytówki z adresem domowym właśnie transmitowałeś sekret na serwer obcego, gdzie może być logowany albo cache'owany, wszystko po to, żeby odczytać tekst, który już był na Twoim ekranie.
Możesz sprawdzić, czy narzędzie przesyła: wypatruj paska postępu, który skaluje się z rozmiarem pliku, albo otwórz zakładkę Sieć przeglądarki i zobacz, czy duże żądanie niesie Twój obraz. Prawdziwie lokalne narzędzia nie robią żadnego z tych.
Zamiast tego zdekoduj go lokalnie
Podejściem szanującym prywatność jest zdekodowanie kodu we własnej przeglądarce, tak żeby obraz nigdy nie podróżował.
Czytnik kodów QR od IMG.DIY robi dokładnie to. Dajesz mu obraz — przeciągnij, wklej albo wybierz plik — a rysuje zdjęcie na płótnie i dekoduje QR biblioteką jsQR prosto w Twojej przeglądarce. Nic nie jest przesyłane. Nie ma konta ani serwera robiącego robotę, a gdy strona się wczyta, działa dalej z wyłączoną siecią. Możesz udowodnić to sobie: wczytaj narzędzie, włącz tryb samolotowy i zdekoduj kod — wciąż działa, bo nigdy nie było serwera w pętli.
Jeśli kod to adres URL, narzędzie daje Ci klikalny link (oznaczony rel=nofollow), więc widzisz cel, zanim się na niego zdecydujesz. Jeśli to ciąg Wi-Fi albo wizytówka, dostajesz surowy tekst i przycisk kopiowania — przeczytaj, użyj, a zostaje na Twojej maszynie.
Rozsądny nawyk przy wrażliwych kodach
Dwie małe zasady trzymają Cię bezpiecznie:
- Zobacz tekst, zanim zadziałasz. Zdekodowanie kodu pokazuje Ci cel albo zawartość zanim Twoje urządzenie z czymkolwiek się połączy. To samo w sobie rozbraja wiele oszustw opartych na QR, gdzie wydrukowany kod jest podmieniany na taki wskazujący gdzieś wrogo.
- Dopasuj narzędzie do sekretu. Dla publicznego linku ledwie ma znaczenie, gdzie dekodujesz. Dla hasła, tokenu albo czyichś danych osobowych zdekoduj to lokalnie, żeby sekret w ogóle nie opuścił Twojego urządzenia.
Uczciwe granice warto podać: to odczytuje kod z obrazu, który dostarczasz, jeden naraz, nie z aktywnej kamerki — celowy wybór, który trzyma wszystko lokalnie. Do wszystkiego, co kod QR może ukrywać, odczytanie go na własnym urządzeniu to po prostu właściwy domyślny wybór.