大多數人掃描 QR Code 後就直接前往它發送的地點——完全不加質疑。這種盲目信任正是攻擊者所利用的。任何企業現在就能部署的一項具體防禦措施，是在 QR Code 開啟頁面前顯示其目標網址：也就是網址預覽。這看似微不足道，但它能給掃描者一個暫停並驗證的機會——而這個機會足以阻止釣魚攻擊。
QR Code 語境中的網址預覽究竟是什麼
網址預覽是任何能在瀏覽器載入頁面前向掃描者顯示完整目標地址的機制。在實務中主要有三種方式：
- 原生相機應用 — iOS 和 Android 在你將相機指向 QR Code 時都會顯示一個小橫幅，內含目標網址。無需安裝應用。此預覽通常會在大多數用戶點選前出現一到二秒。
- 短連結預覽頁面 — 有些網址縮短器會插入一個過渡頁面，顯示目標網址、網域，有時還會顯示頁面的截圖，然後才轉向。
- 著陸頁網址披露 — 你自己的轉向頁面在「繼續」按鈕前以可見的人類可讀格式顯示最終網址。
每一層都會把網址展現在掃描者眼前。網址越清楚地顯示為你的品牌網域，你的受眾就越安全。
為什麼原生相機橫幅還不夠
原生預覽橫幅有用，但容易被忽視。它出現時間很短，通常只顯示頂級網域，且手指一靠近螢幕就會消失。攻擊者深知此點。他們註冊看起來相似的網域——用小寫的「l」替換「1」，或使用不同的頂級網域——這樣就能在兩秒的掃一眼中溜過去。
只依賴原生橫幅也意味著你無法控制掃描者看到什麼。如果你的 QR Code 嵌入了縮短的網址（例如通用的 bit.ly 連結），橫幅就只會顯示那個——而不是實際的目標。掃描者無法驗證他們看不到的東西。
如何讓目標網址清晰易讀且值得信任
直接嵌入你的品牌網域
最有效的單一步驟是直接在 QR Code 中編碼你自己的網域，而不是第三方縮短器。當某人的相機顯示 yourbrand.com/menu 而不是 bit.ly/3xYz9q 時，他們能立即驗證。這就是為什麼建立在你自己網域上的動態 QR Code 值得小額額外設置成本——你同時控制短網域和轉向目標。
使用品牌短網域
如果由於列印限制需要短網址，可以註冊一個品牌短網域（例如 ybrand.co），專門用於你的 QR Code。你的 IT 提供者或網域註冊商可以在一小時內設置完成。這樣可以在網址預覽中保持品牌可見性，並防止與攻擊者可能模仿的第三方縮短器混淆。
在高風險情況下新增過渡預覽
在你的 QR Code 將被較少技術知識的受眾掃描的環境中——醫療保健等候區、政府辦公室、金融服務櫃檯——可考慮新增一個簡單的過渡轉向頁面。該頁面應顯示：
- 你的標誌和品牌名稱
- 完整目標網址的可讀文字
- 連結通往何處的簡短描述
- 一個顯眼的「繼續」按鈕
這會增加一次點選，摩擦力成本很小。它所建立的信任將大幅補償，尤其是當掃描的材料涉及付款或表單提交等敏感操作時。
保持轉向鏈短且可審核
轉向鏈中的每一個額外跳躍都是掃描者永遠看不到的另一個網址。一個 QR Code 通過三項服務轉向後才到達你的網站，這樣會讓每個中間網址成為潛在的釣魚插入點。我們的文章QR Code 轉向鏈接的隱藏安全風險對此有詳細說明，但簡單的規則是：最多保持一次轉向，並每月審核該轉向。
網址預覽頁面應包含的內容
如果你自己建立過渡頁面，保持最小化和快速：
| 元素 | 目的 |
|---|---|
| 品牌標誌 | 確認來源身份 |
| 完整目標網址（非縮短版） | 讓掃描者驗證網域 |
| 目標的一句話描述 | 減少不確定性 |
| 「繼續」／「取消」按鈕 | 給掃描者選擇權 |
| 頁面載入時間少於 1 秒 | 防止使用者流失 |
避免嵌入廣告、彈出視窗或任何遮蔽目標網址的內容。這個頁面的唯一工作就是清晰度。
與受眾溝通預覽
即使在技術上完善的預覽，如果掃描者不知道要尋找它，也會失敗。在列印材料中的 QR Code 附近新增一行說明：
「轉向前會先顯示預覽頁面。繼續前請確認你看到 [yourbrand.com]。」
這會促使用戶在預覽處暫停，而不是反射性地點選。它也表明你認真對待他們的安全——對於在忠誠度計畫、付款或帳戶存取中廣泛使用 QR Code 的企業來說，這是一個有意義的信任信號。
對於在多個實體地點廣泛使用 QR Code 的企業，像 Super QR Code Generator 這樣的工具讓你能從一個儀表板控制目標網址和轉向行為，更容易審核和更新連結，而無需重新列印材料。
網址預覽特別重要的時機
不是每個 QR Code 都承載相同的風險。當你的代碼：
- 連結到付款頁面或結帳流程
- 要求登入認證或個人資料
- 出現在公開可存取的空間（運輸、餐廳、活動）中，篡改更容易
- 通過列印傳單發布，傳單在到達掃描者前離開你的手中
時，應優先採取網址預覽措施。
你每天控制的桌子上的菜單 QR Code 風險較低。在貿易展覽上發布並在數週後掃描的傳單風險更高。相應地調整你的預覽投資。
知道如何偵測實體 QR Code 上的篡改也很值得——網址預覽在數位層保護掃描者，但實體貼紙替換是一個需要自己對策的獨立攻擊向量。
關鍵要點
- 原生相機網址橫幅是第一道防線，而非完全防線——它時間很短且將縮短網址顯示為不透明字串。
- 直接在 QR Code 中編碼你自己的品牌網域是對掃描者最清晰的信任信號。
- 一個包含你的標誌、完整目標網址和「繼續」按鈕的過渡預覽頁面在高風險情況下增加了有意義的保護。
- 將轉向鏈保持在一次跳躍，如果需要網址壓縮則使用品牌短網域，並每月審核轉向目標。
- QR Code 附近的一行說明會促使用戶驗證預覽，而不是反射性地點選。