QR-code scannen

Zo lees je een QR-code

Van een afbeelding (foto of screenshot)

1. Klik op het vak Kies of sleep een afbeelding met een QR-code hierheen, of sleep er een bestand naartoe. PNG, JPEG, WebP, GIF en de meeste formaten die je browser kan tonen werken, ook screenshots van een QR-code die je per e-mail of in een pdf hebt ontvangen.
2. De gelezen tekst verschijnt onder Gelezen inhoud, met de Soort inhoud (webadres, wifinetwerk, contactkaart…).
3. Druk op Tekst kopiëren om hem te kopiëren.

Met je camera

1. Druk op Scannen met camera en geef toegang tot de camera als je browser daarom vraagt. Op een telefoon wordt de camera aan de achterkant gebruikt als die er is.
2. Houd de QR-code voor de camera, plat en goed belicht, zodat hij ongeveer een derde van het beeld vult.
3. Zodra een code is herkend, verschijnt het resultaat en stopt de camera. Vink Blijven scannen nadat een code is gevonden aan om meerdere codes achter elkaar te lezen: elke nieuwe code wordt toegevoegd aan Recente scans. Druk op Camera stoppen als je klaar bent.

Wat de tool herkent

Een QR-code bevat alleen tekst. Apps hebben een paar formaten afgesproken zodat telefoons weten wat ze ermee moeten doen, en deze tool legt ze uit in de tabel Details:

• Webadres (URL): een link die begint met http://, https:// of www..
• Wifinetwerk: WIFI:T:WPA;S:naam;P:wachtwoord;;. De tool toont de netwerknaam (SSID), het wachtwoord, het type beveiliging en of het netwerk verborgen is, zodat je het wachtwoord kunt intypen op een laptop zonder camera.
• E-mail: mailto:-links en het oudere formaat MATMSG:, met ontvanger, onderwerp en bericht.
• Telefoonnummer (tel:) en Sms (SMSTO: of sms:), met het vooraf ingevulde bericht.
• Contactkaart (vCard): BEGIN:VCARD of MECARD:, met naam, organisatie, telefoon, e-mail, website en adres.
• Locatie: geo:-coördinaten (breedtegraad en lengtegraad).
• Tekst: al het andere, precies zoals het is gecodeerd.

Veiligheid: links worden nooit geopend

QR-codes zijn een populaire manier om een kwaadaardige link te verbergen, omdat je het adres niet kunt lezen voordat je scant. Nepstickers worden over echte codes geplakt op parkeerautomaten, restauranttafels en posters, en e-mails bevatten QR-codes die linkfilters omzeilen. Deze aanval heet quishing (QR-phishing).

Deze tool opent daarom nooit iets. De gelezen tekst wordt als gewone tekst getoond, niet als klikbare link. Is het een webadres, dan vraagt een herinnering je om het domein te controleren voordat je het in je browser plakt, en zoekt de tool naar bekende alarmsignalen:

• de link gebruikt http in plaats van https;
• het domein is in punycode geschreven (xn--), waarmee een bekend merk kan worden nagebootst met letters uit een ander alfabet die erop lijken;
• de link verwijst naar een kaal IP-adres in plaats van een domeinnaam;
• hij loopt via een linkverkorter (bit.ly, tinyurl.com…), die de echte bestemming verbergt;
• hij bevat een @ vóór het domein, een truc waardoor https://jouwbank.nl@evil.example er betrouwbaar uitziet terwijl hij eigenlijk naar evil.example gaat;
• het is helemaal geen weblink maar een ander schema, zoals javascript: of een app-link.

Geen waarschuwing betekent niet dat de link veilig is. Lees de domeinnaam van rechts naar links tot aan de eerste enkele schuine streep: dat is de site die je zou bezoeken.

Privacy

Afbeeldingen worden in je browser gedecodeerd met de opensource-bibliotheek jsQR, en camerabeelden worden lokaal geanalyseerd zonder te worden opgenomen. Er wordt niets geüpload, en de camera gaat uit als je op Camera stoppen drukt, als er een code is gevonden (tenzij je blijft scannen) of als je de pagina verlaat.