Je tento QR kód bezpečný?

Účel

Vyberte fotku nebo snímek obrazovky QR kódu a zjistěte, co doopravdy dělá: otevře web, zavolá, pošle SMS, připojí vás k síti Wi-Fi nebo připraví platbu, a to ještě než ho naskenujete telefonem.

Požadavky

Tyto návody může číst kdokoli, i bez účtu. Některé nástroje vyžadují Pro, jak uvádí příslušný návod.

Falešné QR kódy se objevují na parkovacích automatech, v dopisech, na pokutách, v e-mailech a na plakátech. Vyberte fotku nebo snímek obrazovky kódu: přečteme ho ve vašem prohlížeči, aniž bychom obrázek nahrávali, a řekneme vám, co dělá, dřív, než ho otevřete.

Jak používat

1. 1

   Vybrat nebo pořídit fotku

2. 2

   Už máte obsah kódu? Vložte ho sem

3. 3

   Čtěte dostupná pole spolu s omezeními. Prázdný výsledek nedokazuje bezpečnost ani neurčuje totožnost osoby.

Smyšlený příklad

https://parking.example/pay

Jak chápat výsledek

Neotvírejte ho: Kód nese známky podvodu. Pokud jste ho našli na parkovacím automatu, v dopise nebo na plakátu, plaťte nebo se přihlaste přes oficiální aplikaci či web, jehož adresu napíšete sami.

Než cokoli potvrdíte, ověřte si to: Jasný podvod nevidíme, ale kód dělá něco, co stojí za to prověřit, než to v telefonu potvrdíte.

Žádné známky nebezpečí: To nezaručuje, že je pravý. Než cokoli potvrdíte, zkontrolujte, že adresa nebo cíl odpovídá tomu, co čekáte.

Omezení

Odkaz nikdy neotvíráme: jen ho kontrolujeme.

Řešení potíží

Na obrázku jsme nenašli žádný QR kód. Zkuste ostrou fotku zblízka a bez odlesků.

Obrázek se nepodařilo otevřít. Zkuste fotku ve formátu JPG nebo PNG.

Obsah kódu je na kontrolu příliš dlouhý.

Použít přes API

Co dekódovaný QR kód doopravdy dělá: otevře odkaz (kontrolovaný podle pravidel dané země), zavolá nebo pošle SMS na číslo, napíše e-mail, připojí k Wi-Fi, uloží kontakt nebo žádá platbu (SEPA, švýcarská QR faktura, UPI, Pix a další kódy EMVCo, s kontrolou IBAN a kontrolního součtu) či kryptoměnu. Odkaz se nikdy neotevírá.

Pošli tělo JSON na vlastní cestu toolu, nebo na POST /v2/tools s přidaným polem tool. Obě cesty vrátí stejný výsledek.

POST https://api.nocall.io/v2/qr-check
POST https://api.nocall.io/v2/tools  {"tool":"qr-check","payload":"BCD\n002\n1\nSCT\n\nAparcamientos Ejemplo SL\nES9121000418450200051332\nEUR49.90\n\n\nMulta de aparcamiento 4471","country":"ES"}

REQUEST_ID="$(uuidgen)" && [ -n "$REQUEST_ID" ] &&
curl --request POST 'https://api.nocall.io/v2/qr-check' \
  --header "Authorization: Bearer $NOCALL_API_KEY" \
  --header 'Content-Type: application/json' \
  --header "Idempotency-Key: $REQUEST_ID" \
  --data '{"payload":"BCD\n002\n1\nSCT\n\nAparcamientos Ejemplo SL\nES9121000418450200051332\nEUR49.90\n\n\nMulta de aparcamiento 4471","country":"ES"}'

import json
import os
import urllib.request
import uuid

api_key = os.environ.get('NOCALL_API_KEY')
if not api_key:
    raise SystemExit('Set NOCALL_API_KEY')

request = urllib.request.Request(
    'https://api.nocall.io/v2/qr-check',
    method='POST',
    data=json.dumps({'payload': 'BCD\n002\n1\nSCT\n\nAparcamientos Ejemplo SL\nES9121000418450200051332\nEUR49.90\n\n\nMulta de aparcamiento 4471', 'country': 'ES'}).encode(),
    headers={
        'Authorization': 'Bearer ' + api_key,
        'Content-Type': 'application/json',
        'Idempotency-Key': str(uuid.uuid4()),
    },
)
with urllib.request.urlopen(request, timeout=30) as response:
    result = json.load(response)
print(result['data']['result'], result['meta']['unitsCharged'])

import { randomUUID } from 'node:crypto';

const requestId = randomUUID();
const apiKey = process.env.NOCALL_API_KEY;
if (!apiKey) throw new Error('Set NOCALL_API_KEY');

const response = await fetch('https://api.nocall.io/v2/qr-check', {
  method: 'POST',
  headers: {
    Authorization: 'Bearer ' + apiKey,
    'Content-Type': 'application/json',
    'Idempotency-Key': requestId,
  },
  body: JSON.stringify({ payload: 'BCD\n002\n1\nSCT\n\nAparcamientos Ejemplo SL\nES9121000418450200051332\nEUR49.90\n\n\nMulta de aparcamiento 4471', country: 'ES' }),
});
const result = await response.json();
if (!response.ok) throw new Error(result.error?.code ?? 'request_failed');
console.log(result.data.result, result.meta.unitsCharged);

{
  "data": {
    "tool": "qr-check",
    "result": {
      "payload": {
        "type": "payment",
        "scheme": "epc",
        "payee": "Aparcamientos Ejemplo SL",
        "account": "ES9121000418450200051332",
        "accountValid": true,
        "amount": "49.90",
        "currency": "EUR",
        "reference": "Multa de aparcamiento 4471",
        "country": "ES",
        "city": null,
        "crcValid": null
      },
      "signals": [
        "payment_request",
        "amount_prefilled"
      ],
      "attention": true,
      "hosts": [],
      "linkFlags": [],
      "link": null,
      "numbers": []
    }
  },
  "meta": {
    "requestId": "req_example",
    "unitsCharged": 1,
    "usage": {
      "periodStart": "2026-10-01",
      "unitLimit": 20,
      "unitsUsed": 3,
      "unitsRemaining": 17
    }
  }
}

• Dokumentace API ↗

Často kladené otázky

Související návody

• Zkontrolovat odkaz
• Co je smishing?
• Bezpečnostní nástroje