A maioria das pessoas trata um QR code como um atalho inofensivo para um site. Muitas vezes é. Mas um QR é só um contêiner de texto, e esse texto pode ser bem mais sensível que um link. Antes de soltar uma imagem de código no primeiro "leitor de QR online" que você encontrar, vale saber o que você pode estar entregando — e a quem.
O que um QR code pode de fato conter
O padrão em preto e branco codifica texto simples e, por convenção, esse texto pode ser muitas coisas:
- Uma URL — o caso comum, mas às vezes um link privado ou de uso único (uma redefinição de senha, um convite, um documento "não listado" em vez de verdadeiramente público).
- Uma rede Wi-Fi e senha — os códigos "escaneie para conectar" em roteadores e hotéis literalmente codificam o nome da rede e a senha em texto simples.
- Um cartão de contato (vCard) — um nome, telefone, e-mail e endereço residencial ou comercial.
- Um token de login ou pagamento — alguns apps mostram um QR para autorizar uma sessão ou uma transferência; a string dentro é efetivamente uma chave.
- Texto simples ou uma mensagem — qualquer coisa que alguém escolheu codificar.
Nada disso é perigoso para você quando você o decodifica no seu próprio dispositivo. Vira um problema quando decodificar exige enviar a imagem para outro lugar.
O passo escondido: "leitores online" enviam sua imagem
Aqui está a parte fácil de não perceber. Um leitor de QR online típico funciona enviando seu arquivo de imagem para o servidor dele, decodificando ali e devolvendo o resultado. Isso significa que a imagem — e o que quer que o código codifique — sai do seu dispositivo e vai parar em hardware que você não controla. Para um link para um artigo público, tudo bem. Para uma senha de Wi-Fi, um token de login ou um cartão de contato com um endereço residencial, você acabou de transmitir um segredo para o servidor de um estranho, onde ele pode ser registrado ou guardado em cache, tudo para ler um texto que já estava na sua tela.
Você pode checar se uma ferramenta faz upload: observe uma barra de progresso que escala com o tamanho do arquivo, ou abra a aba Network do seu navegador e veja se uma requisição grande carrega sua imagem. Ferramentas verdadeiramente locais não fazem nenhum dos dois.
Decodifique-o localmente
A abordagem que respeita a privacidade é decodificar o código no seu próprio navegador, para a imagem nunca viajar.
O Leitor de QR Code do IMG.DIY faz exatamente isso. Você dá a ele uma imagem — arraste, cole ou escolha um arquivo — e ele desenha a imagem em um canvas e decodifica o QR com a biblioteca jsQR direto no seu navegador. Nada é enviado. Não há conta nem servidor fazendo o trabalho, e uma vez que a página carregou, ela continua funcionando com a rede desligada. Você pode provar a si mesmo: carregue a ferramenta, ligue o modo avião e decodifique um código — ele ainda funciona, porque nunca houve um servidor no circuito.
Se o código é uma URL, a ferramenta te dá um link clicável (marcado rel=nofollow) para você ver o destino antes de se comprometer com ele. Se é uma string de Wi-Fi ou cartão de contato, você recebe o texto bruto e um botão de copiar — leia, use, e ele fica na sua máquina.
Um hábito sensato para códigos sensíveis
Duas pequenas regras te mantêm seguro:
- Veja o texto antes de agir. Decodificar um código te mostra o destino ou o conteúdo antes de seu dispositivo se conectar a qualquer coisa. Só isso desarma muitos golpes baseados em QR, em que o código impresso é trocado por um que aponta para algum lugar hostil.
- Combine a ferramenta ao segredo. Para um link público, mal importa onde você decodifica. Para uma senha, um token ou os dados pessoais de alguém, decodifique-o localmente para o segredo nunca sair do seu dispositivo em primeiro lugar.
Os limites honestos valem ser ditos: isto lê um código de uma imagem que você fornece, um por vez, não de uma webcam ao vivo — uma escolha deliberada que mantém tudo local. Para qualquer coisa que um QR code possa estar escondendo, lê-lo no seu próprio dispositivo é simplesmente o padrão certo.