Par l'équipe VixQR · publié le 2 août 2026 · 3 min de lecture

Sécuriser un QR code sensible : le guide pratique pour les organisations

Un QR code est facile à déployer parce qu’il est ouvert, peu coûteux et lisible par presque tous les téléphones. Ces qualités deviennent des risques…

Un QR code est facile à déployer parce qu’il est ouvert, peu coûteux et lisible par presque tous les téléphones. Ces qualités deviennent des risques lorsqu’il commande une action sensible : paiement, connexion, accès à un bâtiment, remise d’un document ou transmission de données personnelles.

En 2026, la Commission européenne a publié un guide et un assistant de sécurité consacrés aux QR codes. Leur logique est utile à toute organisation : analyser le support, le contenu, le lecteur, le public et la possibilité de copie avant de choisir les protections.

Commencez par le support physique ou numérique

Un autocollant placé dans la rue peut être recouvert par un code frauduleux. Un QR affiché sur une page Web peut être remplacé si le site est compromis. Un billet envoyé en capture d’écran peut être transféré à une autre personne.

Posez trois questions : qui contrôle le support, qui peut le modifier et comment l’utilisateur peut détecter une altération ? Dans un lieu public, l’inspection régulière et une conception difficile à recouvrir peuvent réduire le risque sans le supprimer.

Analysez le contenu encodé

Une URL publique est pratique, mais peut conduire à une page malveillante si le domaine ou la redirection est compromis. Un contenu propriétaire nécessite une application dédiée capable de le valider. Des données personnelles en clair peuvent être lues par n’importe qui.

Préférez :

un domaine court et reconnaissable appartenant à l’organisation ;
HTTPS et une maintenance durable du domaine ;
des paramètres limités au strict nécessaire ;
une signature ou un jeton lorsque l’intégrité doit être vérifiée ;
une expiration courte pour les actions à usage unique.

Choisissez le lecteur en fonction du risque

La caméra standard est idéale pour une information publique. Une application contrôlée devient pertinente lorsqu’elle doit vérifier une signature, imposer une authentification ou refuser un contenu inattendu. Un lecteur Web ou matériel peut convenir à un poste supervisé.

Ne demandez pas au public d’installer une application inconnue simplement pour lire une URL. À l’inverse, ne supposez pas que l’appareil photo vérifiera un format métier ou l’authenticité d’un document.

Limitez la valeur d’une copie

Pour une entrée, une connexion ou une validation, un QR code statique peut être photographié et partagé. Les protections possibles incluent :

un code à durée de vie courte ;
un identifiant à usage unique ;
une vérification côté serveur ;
une liaison à une session ou à un appareil ;
une confirmation explicite de l’utilisateur ;
une preuve de proximité lorsque le protocole le permet.

La rotation visuelle d’un code ne garantit pas sa sécurité si le serveur accepte encore les anciennes valeurs ou si le jeton peut être rejoué.

Donnez à l’utilisateur un moyen de vérifier

Affichez le nom du service et, si possible, une URL lisible à proximité. Après le scan, présentez clairement l’action demandée avant de l’exécuter. Pour un paiement, montrez le bénéficiaire et le montant dans l’application de confiance. Pour une connexion, affichez le site et l’appareil concernés.

VixQR permet de créer des QR codes statiques pour des informations publiques. Il ne remplace pas un système de jetons, de signatures ou d’autorisation. Plus l’action est sensible, plus la sécurité doit résider dans le protocole et le serveur, pas dans l’apparence du code.