Leitor de códigos QR

Como ler um código QR

A partir de uma imagem (foto ou captura de ecrã)

1. Clica na zona Escolhe ou larga aqui uma imagem com um código QR, ou arrasta um ficheiro para ela. Funcionam PNG, JPEG, WebP, GIF e a maioria dos formatos que o teu navegador consegue mostrar, incluindo capturas de ecrã de um código QR recebido por e-mail ou num PDF.
2. O texto descodificado aparece em Conteúdo descodificado, com o respetivo Tipo de conteúdo (endereço web, rede Wi-Fi, cartão de contacto…).
3. Carrega em Copiar texto para o copiar.

Com a câmara

1. Carrega em Ler com a câmara e autoriza o acesso quando o navegador o pedir. No telemóvel, é usada a câmara traseira quando existe.
2. Segura o código QR em frente à câmara, direito e bem iluminado, ocupando cerca de um terço da imagem.
3. Assim que um código é reconhecido, o resultado aparece e a câmara para. Marca Continuar a ler depois de encontrar um código para ler vários códigos seguidos: cada código novo é acrescentado a Leituras recentes. Carrega em Parar a câmara quando terminares.

O que a ferramenta reconhece

Um código QR guarda apenas texto. As aplicações seguem alguns formatos comuns para que o telemóvel saiba o que fazer, e esta ferramenta explica-os na tabela Detalhes:

• Endereço web (URL): uma ligação que começa por http://, https:// ou www..
• Rede Wi-Fi: WIFI:T:WPA;S:nome;P:palavra-passe;;. A ferramenta mostra o nome da rede (SSID), a palavra-passe, o tipo de segurança e se a rede está oculta, para poderes escrever a palavra-passe num portátil sem câmara.
• E-mail: ligações mailto: e o formato mais antigo MATMSG:, com destinatário, assunto e mensagem.
• Número de telefone (tel:) e SMS (SMSTO: ou sms:), com a mensagem pré-preenchida.
• Cartão de contacto (vCard): BEGIN:VCARD ou MECARD:, com nome, organização, telefone, e-mail, site e morada.
• Localização: coordenadas geo: (latitude e longitude).
• Texto: tudo o resto, mostrado exatamente como foi codificado.

Segurança: as ligações nunca são abertas

Os códigos QR são uma forma popular de esconder uma ligação maliciosa, porque não consegues ler o endereço antes de o ler com o telemóvel. Há autocolantes falsos colados por cima de códigos verdadeiros em parquímetros, mesas de restaurantes e cartazes, e e-mails com códigos QR que escapam aos filtros de ligações. Este ataque chama-se quishing (phishing por QR).

Por isso, esta ferramenta nunca abre nada. O texto descodificado é mostrado como texto simples, não como ligação clicável. Quando é um endereço web, um aviso lembra-te de verificar o domínio antes de o colares no navegador, e a ferramenta procura os sinais de alerta mais comuns:

• a ligação usa http em vez de https;
• o domínio está escrito em punycode (xn--), que pode imitar uma marca conhecida com letras parecidas de outro alfabeto;
• a ligação aponta para um endereço IP em vez de um nome de domínio;
• passa por um encurtador de ligações (bit.ly, tinyurl.com…), que esconde o destino real;
• contém um @ antes do domínio, um truque que faz https://obanco.pt@evil.example parecer legítimo quando, na verdade, leva a evil.example;
• não é de todo uma ligação web, mas outro esquema, como javascript: ou uma ligação para uma aplicação.

A ausência de avisos não significa que a ligação seja segura. Lê o nome de domínio da direita para a esquerda até à primeira barra simples: esse é o site que visitarias.

Privacidade

As imagens são descodificadas no teu navegador com a biblioteca de código aberto jsQR, e as imagens da câmara são analisadas localmente sem serem gravadas. Nada é enviado, e a câmara desliga-se quando carregas em Parar a câmara, quando um código é encontrado (a não ser que continues a ler) ou quando sais da página.