Questo codice QR è sicuro?

A cosa serve

Scegli una foto o uno screenshot di un codice QR e scopri cosa fa davvero: aprire un sito, fare una chiamata, inviare un SMS, collegarti a una rete Wi-Fi o preparare un pagamento, prima di inquadrarlo con il telefono.

Requisiti

Chiunque può leggere queste guide, senza account. Alcuni strumenti richiedono Pro, come indicato in ogni guida.

I codici QR falsi compaiono su parcometri, lettere, multe, email e manifesti. Scegli una foto o uno screenshot del codice: lo leggiamo nel tuo browser, senza caricare l’immagine, e ti diciamo cosa fa prima che tu lo apra.

Come usarlo

1. 1

   Scegli o scatta una foto

2. 2

   Hai già il contenuto del codice? Incollalo qui

3. 3

   Leggi i campi disponibili insieme ai loro limiti. Un risultato vuoto non dimostra sicurezza e non identifica una persona.

Esempio inventato

https://parking.example/pay

Interpretare il risultato

Non aprirlo: Il codice mostra segnali di truffa. Se l’hai trovato su un parcometro, in una lettera o su un manifesto, paga o accedi dall’app o dal sito ufficiale, scrivendo tu l’indirizzo.

Controlla prima di confermare qualsiasi cosa: Non vediamo una truffa evidente, ma il codice fa qualcosa che conviene verificare prima di confermarlo sul telefono.

Nessun segnale di pericolo: Questo non garantisce che sia autentico. Controlla che l’indirizzo o la destinazione siano quelli che ti aspetti prima di confermare qualsiasi cosa.

Limiti

Non apriamo mai il link: lo controlliamo soltanto.

Risoluzione dei problemi

Non abbiamo trovato un codice QR nell’immagine. Prova con una foto più ravvicinata, a fuoco e senza riflessi.

Non è stato possibile aprire l’immagine. Prova con una foto in formato JPG o PNG.

Il contenuto del codice è troppo lungo per controllarlo.

Usare con l’API

Cosa fa davvero un codice QR decodificato: apre un link (controllato con le regole del paese), chiama o scrive a un numero, compone un’email, si collega a un Wi-Fi, salva un contatto o chiede un pagamento (SEPA, QR-fattura svizzera, UPI, Pix e altri codici EMVCo, con controllo dell’IBAN e del checksum) o in criptovalute. Il link non viene mai aperto.

Invia il corpo JSON alla rotta specifica del tool, oppure a POST /v2/tools aggiungendo il campo tool. Entrambe le rotte restituiscono lo stesso risultato.

POST https://api.nocall.io/v2/qr-check
POST https://api.nocall.io/v2/tools  {"tool":"qr-check","payload":"BCD\n002\n1\nSCT\n\nAparcamientos Ejemplo SL\nES9121000418450200051332\nEUR49.90\n\n\nMulta de aparcamiento 4471","country":"ES"}

REQUEST_ID="$(uuidgen)" && [ -n "$REQUEST_ID" ] &&
curl --request POST 'https://api.nocall.io/v2/qr-check' \
  --header "Authorization: Bearer $NOCALL_API_KEY" \
  --header 'Content-Type: application/json' \
  --header "Idempotency-Key: $REQUEST_ID" \
  --data '{"payload":"BCD\n002\n1\nSCT\n\nAparcamientos Ejemplo SL\nES9121000418450200051332\nEUR49.90\n\n\nMulta de aparcamiento 4471","country":"ES"}'

import json
import os
import urllib.request
import uuid

api_key = os.environ.get('NOCALL_API_KEY')
if not api_key:
    raise SystemExit('Set NOCALL_API_KEY')

request = urllib.request.Request(
    'https://api.nocall.io/v2/qr-check',
    method='POST',
    data=json.dumps({'payload': 'BCD\n002\n1\nSCT\n\nAparcamientos Ejemplo SL\nES9121000418450200051332\nEUR49.90\n\n\nMulta de aparcamiento 4471', 'country': 'ES'}).encode(),
    headers={
        'Authorization': 'Bearer ' + api_key,
        'Content-Type': 'application/json',
        'Idempotency-Key': str(uuid.uuid4()),
    },
)
with urllib.request.urlopen(request, timeout=30) as response:
    result = json.load(response)
print(result['data']['result'], result['meta']['unitsCharged'])

import { randomUUID } from 'node:crypto';

const requestId = randomUUID();
const apiKey = process.env.NOCALL_API_KEY;
if (!apiKey) throw new Error('Set NOCALL_API_KEY');

const response = await fetch('https://api.nocall.io/v2/qr-check', {
  method: 'POST',
  headers: {
    Authorization: 'Bearer ' + apiKey,
    'Content-Type': 'application/json',
    'Idempotency-Key': requestId,
  },
  body: JSON.stringify({ payload: 'BCD\n002\n1\nSCT\n\nAparcamientos Ejemplo SL\nES9121000418450200051332\nEUR49.90\n\n\nMulta de aparcamiento 4471', country: 'ES' }),
});
const result = await response.json();
if (!response.ok) throw new Error(result.error?.code ?? 'request_failed');
console.log(result.data.result, result.meta.unitsCharged);

{
  "data": {
    "tool": "qr-check",
    "result": {
      "payload": {
        "type": "payment",
        "scheme": "epc",
        "payee": "Aparcamientos Ejemplo SL",
        "account": "ES9121000418450200051332",
        "accountValid": true,
        "amount": "49.90",
        "currency": "EUR",
        "reference": "Multa de aparcamiento 4471",
        "country": "ES",
        "city": null,
        "crcValid": null
      },
      "signals": [
        "payment_request",
        "amount_prefilled"
      ],
      "attention": true,
      "hosts": [],
      "linkFlags": [],
      "link": null,
      "numbers": []
    }
  },
  "meta": {
    "requestId": "req_example",
    "unitsCharged": 1,
    "usage": {
      "periodStart": "2026-10-01",
      "unitLimit": 20,
      "unitsUsed": 3,
      "unitsRemaining": 17
    }
  }
}

• Riferimento API ↗

Domande frequenti

Guide correlate

• Controlla un link
• Che cos’è lo smishing?
• Strumenti di sicurezza