Ce QR code est-il sûr ?

Objectif

Choisissez une photo ou une capture d’écran d’un QR code et découvrez ce qu’il fait vraiment : ouvrir un site, passer un appel, envoyer un SMS, rejoindre un réseau Wi-Fi ou préparer un paiement, avant de le scanner avec votre téléphone.

Prérequis

Tout le monde peut lire ces guides, sans compte. Certains outils nécessitent Pro, comme indiqué dans chaque guide.

De faux QR codes apparaissent sur les horodateurs, dans des courriers, des avis d’amende, des e-mails et sur des affiches. Choisissez une photo ou une capture d’écran du code : nous le lisons dans votre navigateur, sans envoyer l’image, et vous disons ce qu’il fait avant que vous ne l’ouvriez.

Mode d’emploi

1. 1

   Choisir ou prendre une photo

2. 2

   Vous avez déjà le contenu du code ? Collez-le ici

3. 3

   Lisez les champs disponibles avec leurs limites. Un résultat vide ne prouve pas la sécurité et n’identifie personne.

Exemple fictif

https://parking.example/pay

Interpréter le résultat

Ne l’ouvrez pas: Le code présente des signes d’arnaque. Si vous l’avez trouvé sur un horodateur, dans un courrier ou sur une affiche, payez ou connectez-vous depuis l’application ou le site officiel, en tapant vous-même l’adresse.

Vérifiez avant de confirmer quoi que ce soit: Nous ne voyons pas d’arnaque évidente, mais le code fait quelque chose qui mérite d’être vérifié avant de le confirmer sur votre téléphone.

Aucun signe de danger: Cela ne garantit pas qu’il soit authentique. Vérifiez que l’adresse ou la destination correspond à ce que vous attendez avant de confirmer quoi que ce soit.

Limites

Nous n’ouvrons jamais le lien : nous le vérifions seulement.

Résoudre un problème

Nous n’avons trouvé aucun QR code dans l’image. Essayez une photo plus rapprochée, nette et sans reflets.

Impossible d’ouvrir l’image. Essayez une photo au format JPG ou PNG.

Le contenu du code est trop long pour être vérifié.

Utiliser avec l’API

Ce que fait vraiment un QR code décodé : ouvre un lien (vérifié avec les règles du pays), appelle un numéro ou lui envoie un SMS, rédige un e-mail, rejoint un Wi-Fi, enregistre un contact ou demande un paiement (SEPA, QR-facture suisse, UPI, Pix et autres codes EMVCo, avec contrôle de l’IBAN et de la somme de contrôle) ou des cryptomonnaies. Le lien n’est jamais ouvert.

Envoyez le corps JSON à la route propre au tool, ou à POST /v2/tools en ajoutant le champ tool. Les deux routes renvoient le même résultat.

POST https://api.nocall.io/v2/qr-check
POST https://api.nocall.io/v2/tools  {"tool":"qr-check","payload":"BCD\n002\n1\nSCT\n\nAparcamientos Ejemplo SL\nES9121000418450200051332\nEUR49.90\n\n\nMulta de aparcamiento 4471","country":"ES"}

REQUEST_ID="$(uuidgen)" && [ -n "$REQUEST_ID" ] &&
curl --request POST 'https://api.nocall.io/v2/qr-check' \
  --header "Authorization: Bearer $NOCALL_API_KEY" \
  --header 'Content-Type: application/json' \
  --header "Idempotency-Key: $REQUEST_ID" \
  --data '{"payload":"BCD\n002\n1\nSCT\n\nAparcamientos Ejemplo SL\nES9121000418450200051332\nEUR49.90\n\n\nMulta de aparcamiento 4471","country":"ES"}'

import json
import os
import urllib.request
import uuid

api_key = os.environ.get('NOCALL_API_KEY')
if not api_key:
    raise SystemExit('Set NOCALL_API_KEY')

request = urllib.request.Request(
    'https://api.nocall.io/v2/qr-check',
    method='POST',
    data=json.dumps({'payload': 'BCD\n002\n1\nSCT\n\nAparcamientos Ejemplo SL\nES9121000418450200051332\nEUR49.90\n\n\nMulta de aparcamiento 4471', 'country': 'ES'}).encode(),
    headers={
        'Authorization': 'Bearer ' + api_key,
        'Content-Type': 'application/json',
        'Idempotency-Key': str(uuid.uuid4()),
    },
)
with urllib.request.urlopen(request, timeout=30) as response:
    result = json.load(response)
print(result['data']['result'], result['meta']['unitsCharged'])

import { randomUUID } from 'node:crypto';

const requestId = randomUUID();
const apiKey = process.env.NOCALL_API_KEY;
if (!apiKey) throw new Error('Set NOCALL_API_KEY');

const response = await fetch('https://api.nocall.io/v2/qr-check', {
  method: 'POST',
  headers: {
    Authorization: 'Bearer ' + apiKey,
    'Content-Type': 'application/json',
    'Idempotency-Key': requestId,
  },
  body: JSON.stringify({ payload: 'BCD\n002\n1\nSCT\n\nAparcamientos Ejemplo SL\nES9121000418450200051332\nEUR49.90\n\n\nMulta de aparcamiento 4471', country: 'ES' }),
});
const result = await response.json();
if (!response.ok) throw new Error(result.error?.code ?? 'request_failed');
console.log(result.data.result, result.meta.unitsCharged);

{
  "data": {
    "tool": "qr-check",
    "result": {
      "payload": {
        "type": "payment",
        "scheme": "epc",
        "payee": "Aparcamientos Ejemplo SL",
        "account": "ES9121000418450200051332",
        "accountValid": true,
        "amount": "49.90",
        "currency": "EUR",
        "reference": "Multa de aparcamiento 4471",
        "country": "ES",
        "city": null,
        "crcValid": null
      },
      "signals": [
        "payment_request",
        "amount_prefilled"
      ],
      "attention": true,
      "hosts": [],
      "linkFlags": [],
      "link": null,
      "numbers": []
    }
  },
  "meta": {
    "requestId": "req_example",
    "unitsCharged": 1,
    "usage": {
      "periodStart": "2026-10-01",
      "unitLimit": 20,
      "unitsUsed": 3,
      "unitsRemaining": 17
    }
  }
}

• Référence API ↗

Questions fréquentes

Guides associés

• Vérifier un lien
• Qu’est-ce que le smishing ?
• Outils de sécurité