Imprimir un codi QR i marxar és un dels errors més comuns—i perillosos—que cometen les empreses. El codi en si és inert; el risc es troba completament en on envia les persones. Una URL de destinació que semblava correcta en gener pot estar compromesa, caducada o usurpada en març. Abans que qualsevol codi QR surti a la impremta, es col·loqui en senyalització física o en una etiqueta de producte, cada destinació mereix una revisió deliberada. Aquí hi ha una llista de verificació pràctica de set punts que pots completar en menys de 15 minuts.
Per Què la URL de Destinació és la Superfície d'Atac
Un codi QR és només una cadena codificada. Els escàners no avisen els usuaris de la mateixa manera que els navegadors ho fan per a enllaços sospitosos, i no hi ha cap vista prèvia visual abans que la càmera obri la pàgina. Aquesta combinació—legible per màquina, visualment opaca, immediatament executable—és exactament el que fa que l'enginyeria social mitjançant codi QR ("quishing") sigui efectiva. Els atacants o bé intercanvien códs físics (cobert en la nostra guia sobre detecting tampered QR codes) o comprometen la destinació després de la impressió. Aquesta llista de verificació se centra en el costat de la destinació.
La Llista de Verificació de Destinació Segura de 7 Punts
1. Confirma que HTTPS Està Forçat
Escriu la URL de destinació directament en un navegador. Si el lloc es carrega sobre HTTP, o si redirigeix a HTTP en algun punt de la cadena, això és una fallada automàtica. HTTPS és essencial, no un bonus. Comprova tota la cadena de redirecció mitjançant una eina gratuïta com Redirect Detective o SSL Labs — alguns llocs imposen HTTPS a la pàgina d'inici però serveixen pàgines d'aterratge sobre HTTP simple.
2. Valida l'Edat del Domini i el Registrador
Executa una cerca WHOIS al domini de destinació. Un domini registrat en els últims 60–90 dies que allotja una pàgina de "pagaments" o "login" és una bandera vermella. Això és especialment important si un provei dor tercers o una agència va construir la pàgina d'aterratge per a tu — verifica que estigui utilitzant un domini establert que reconeguis, no un dopant registrat recentment.
3. Comprova Cada Salt de Redirecció
Les URL abreujades i els codis QR dinàmics sovint passen per una o més capes de redirecció abans de la destinació final. Utilitza una eina de rastreig de redirecció per confirmar:
- Cap salt intermedi aterrissa en un domini arrel diferent del que es s'esperava
- Cap redirecció apunta a una adreça IP en lloc d'un domini anomenat
- La URL final coincideix amb el domini que pretenies
Els codis QR dinàmics et permeten canviar la destinació després de la impressió — que és poderós per a campanyes, com s'explica en la comparació de static vs dynamic QR codes — però aquesta mateixa flexibilitat significa que has de repetir aquesta comprovació cada vegada que actualitzes la destinació.
4. Escaneja la Destinació amb una Eina de Reputació d'URL
Enganxa la URL de destinació final en almenys una d'aquestes eines gratuïtes abans d'imprimir:
| Eina | Què Comprova |
|---|---|
| Google Safe Browsing (via VirusTotal) | Malware, base de dades de phishing |
| URLScan.io | Contingut de pàgina, enllaços de sortida, scripts |
| PhishTank | Pàgines de phishing reportades per comunitat |
| Sucuri SiteCheck | Malware de CMS, estat de llista negra |
Un resultat net avui no és una garantia per als pròxims sis mesos — afegeix un recordatori al calendari recurent per tornar a comprovar codis actius trimestralment.
5. Prova la Pàgina en un Dispositiu Mòbil Real
Aquesta es salta constantment. Obri el codi QR en un dispositiu Android i un iOS i observa:
- Es carrega la pàgina sense errors de certificat?
- Redirigeix immediatament a una botiga d'aplicacions inesperada o sol·licitud de descàrrega?
- Demana permisos (càmera, ubicació, contactes) abans que l'usuari hagi interaccionat amb algun contingut?
- Està la pàgina òbviament formatada per a mòbil, o és una pàgina d'escriptori bruta que suggereix que va ser construïda apressadament?
Les sol·licituds de descàrrega inesperades i les sol·licituds de permisos agressives són els dos senyals més comuns d'una pàgina d'aterratge compromesa o maliciosa.
6. Confirma la Propietat de la Destinació
Això sona obvi, però causa problemes en les organitzacions que utilitzen serveis d'abreujament d'enllaços o sistemes de redirecció de tercers integrats. Pregunta:
- Està el domini de destinació registrat a la teva organització (o a un proveïdor en virtut de contracte)?
- Tens credencials d'accés a l'entorn d'allotjament?
- El registre DNS està sota el teu control?
Si la resposta a qualsevol d'aquests és "No ho sé", resol-ho abans d'imprimir. Una pàgina d'aterratge que no pots modificar o eliminar ràpidament és una responsabilitat.
7. Documenta i Emmagatzema la Destinació Prevista
Crea una fila de full de càlcul simple per a cada codi QR en producció: l'ID o etiqueta del codi QR, la URL final prevista, la data en què va ser verificada per última vegada, i qui la va verificar. Això pren 30 segons per codi i és inestimable quan un client reporta un problema. També et proporciona una línia de base — si un escaneig actiu es resol a una URL diferent de la documentada, saps immediatament que alguna cosa ha canviat.
Integra Això en el Teu Flux de Treball
Si utilitzes una plataforma de codi QR amb scan analytics, pots afegir una comprovació conductual a la part superior d'aquesta llista de verificació de destinació: controla caigudes sobtades en el volum d'escaneig (usuaris abandonant després de l'aterratge) o anomalies geogràfiques que suggereixen activitat de bot o una cadena de redirecció compromesa.
Per a equips que generen códs en volum, considera fer que aquesta llista de verificació sigui una aprovació requerida abans que qualsevol comanda d'impressió sigui aprovada — similar a com un corrector revisa la còpia. El Super QR Code Generator suporta fluxos de treball d'auditoria de destinació a través del seu tauler, on les destinacions de códs dinàmics poden ser actualitzades i documentades centralment.
Punts Clau
- El codi QR en si no és el risc — la URL de destinació ho és.
- Sempre rastreja la cadena completa de redirecció, no només la URL de superfície.
- Comprova l'aplicació de HTTPS, l'edat del domini i la reputació de l'URL abans de cada tirada de impressió.
- Prova en dispositius mòbils actuals — els errors de certificat i els indicis de descàrrega pícara només apareixen allà.
- Documenta la destinació prevista de cada codi actiu i programa la re-verificació trimestralment.
- Els códs dinàmics et donen flexibilitat, però requereixen re-verificació cada vegada que canvies la destinació.