Lettore di QR code

Come leggere un QR code

Da un’immagine (foto o screenshot)

1. Clicca sull’area Scegli o trascina un’immagine con un QR code, oppure trascinaci sopra un file. Funzionano PNG, JPEG, WebP, GIF e la maggior parte dei formati che il browser sa mostrare, compresi gli screenshot di un QR code ricevuto per email o contenuto in un PDF.
2. Il testo decodificato compare sotto Contenuto decodificato, insieme al Tipo di contenuto (indirizzo web, rete Wi-Fi, biglietto da visita…).
3. Premi Copia testo per copiarlo.

Con la fotocamera

1. Premi Scansiona con la fotocamera e consenti l’accesso quando il browser lo chiede. Sullo smartphone viene usata la fotocamera posteriore, se disponibile.
2. Tieni il QR code davanti alla fotocamera, dritto e ben illuminato, in modo che occupi circa un terzo dell’inquadratura.
3. Appena un codice viene riconosciuto, il risultato compare e la fotocamera si ferma. Spunta Continua la scansione dopo aver trovato un codice per leggere più codici di fila: ogni nuovo codice viene aggiunto alle Scansioni recenti. Premi Ferma la fotocamera quando hai finito.

Cosa riconosce lo strumento

Un QR code memorizza solo testo. Le app si sono accordate su alcuni formati perché il telefono sappia cosa farne, e lo strumento li spiega nella tabella Dettagli:

• Indirizzo web (URL): un link che inizia con http://, https:// o www..
• Rete Wi-Fi: WIFI:T:WPA;S:nome;P:password;;. Lo strumento mostra il nome della rete (SSID), la password, il tipo di sicurezza e se la rete è nascosta, così puoi digitare la password su un portatile senza fotocamera.
• Email: link mailto: e il vecchio formato MATMSG:, con destinatario, oggetto e messaggio.
• Numero di telefono (tel:) e SMS (SMSTO: o sms:), con il messaggio precompilato.
• Biglietto da visita (vCard): BEGIN:VCARD o MECARD:, con nome, organizzazione, telefono, email, sito web e indirizzo.
• Posizione: coordinate geo: (latitudine e longitudine).
• Testo: tutto il resto, mostrato esattamente come è stato codificato.

Sicurezza: i link non vengono mai aperti

I QR code sono un modo molto diffuso per nascondere un link malevolo, perché non puoi leggere l’indirizzo prima di inquadrarlo. Adesivi falsi vengono incollati sopra i codici autentici su parchimetri, tavoli dei ristoranti e manifesti, e alcune email contengono QR code che aggirano i filtri anti-link. Questo attacco si chiama quishing (phishing tramite QR).

Per questo lo strumento non apre mai nulla. Il testo decodificato viene mostrato come testo semplice, non come link cliccabile. Quando è un indirizzo web, un promemoria ti chiede di controllare il dominio prima di incollarlo nel browser, e lo strumento cerca i segnali d’allarme più comuni:

• il link usa http invece di https;
• il dominio è scritto in punycode (xn--), che può imitare un marchio noto con lettere simili di un altro alfabeto;
• il link punta a un semplice indirizzo IP invece che a un nome di dominio;
• passa per un link abbreviato (bit.ly, tinyurl.com…), che nasconde la vera destinazione;
• contiene una @ prima del dominio, un trucco che fa sembrare legittimo https://tuabanca.it@evil.example mentre in realtà porta a evil.example;
• non è affatto un link web ma un altro schema, come javascript: o un link a un’app.

L’assenza di avvisi non significa che il link sia sicuro. Leggi il nome di dominio da destra verso sinistra fino alla prima barra singola: quello è il sito che visiteresti.

Privacy

Le immagini vengono decodificate nel browser con la libreria open source jsQR, e i fotogrammi della fotocamera vengono analizzati in locale senza essere registrati. Nulla viene caricato, e la fotocamera si spegne quando premi Ferma la fotocamera, quando viene trovato un codice (a meno che tu non continui la scansione) o quando lasci la pagina.