Quan algú escaneja el teu codi QR, l'URL codificat rarament és la destinació final. Una cadena de redirecció — una o més URLs intermèdies que passen l'usuari endavant abans d'arribar al destí — és comuna en campanyes QR, especialment amb codis dinàmics i accurtadors d'URL de tercers. La majoria de vegades és inofensiva. Però una cadena de redirecció compromesa o mal configurada és una de les formes més netes perquè un atacant sequestri el tràfic del teu codi QR sense tocar mai els materials impresos.
Aquest article explica com es formen les cadenes de redirecció, què les fa perilloses, com auditar-les i quins mecanismes de protecció realment funcionen.
Com es Forma una Cadena de Redirecció en un Codi QR
Una cadena típica es veu així:
Codi QR → accurtador d'URL (ex. bit.ly/xxx) → URL de seguiment de campanya → pàgina de destinació final
Cada salt és una redirecció HTTP, típicament un 301 (permanent) o 302 (temporal). Les cadenes creixen quan:
- Utilitzes una plataforma QR dinàmica que encapsula la teva URL en el seu propi accurt
- Afegeix paràmetres UTM a través d'una capa de redirecció separada
- Migres el teu lloc de HTTP a HTTPS sense netejar els antics redireccionaments
- Utilitzes enllaços d'afiliació o de soci que passen pel seu propi domini de seguiment
Tres o quatre salts no és inusual. Cinc o més és on els navegadors comencen a perdre context de seguretat i on el panorama de risc canvia significativament.
Per Què les Cadenes de Redirecció Creen Exposició de Seguretat
Els Redireccionadors Oberts són el Problema Central
Un redireccionador obert és una URL que remet els visitants a qualsevol destinació, no només a les de confiança. Es veuen així:
https://lloc-de-confianca.com/go?url=https://atacant.com/fals-login
Si algun salt en la teva cadena de redirecció passa per un redireccionador obert — fins i tot un amagat en un script de seguiment de tercers — un atacant pot crear una versió del teu codi QR que redirigeixi a una pàgina maliciosa mentre sembla que comença des del teu domini. Els usuaris que inspeccionin l'URL codificada abans d'escannejar veuran el teu nom de marca i baixaran la guarda.
Seqüestre DNS al Mig de la Cadena
Si la teva cadena de redirecció passa per un domini que ja no controles — un subdomini expirat, un SaaS antic que vas deixar de pagar, un soci el contracte del qual va acabar — aquest domini pot ser re-registrat per qualsevol. El nou propietari pot apuntar-lo a qualsevol lloc. Això s'anomena "redirecció penjant" i és més comú del que la majoria de marketers creuen.
Riscos de Degradació HTTPS
Una cadena que comença amb HTTPS però inclou un salt HTTP a la meitat trenca la connexió TLS. Les cookies de sessió, dades de referrer i qualsevol token passat a l'URL es transmeten en text pla per a aquest segment. En campanyes QR de retail o sanitat d'alt tràfic, aquest és un risc real d'exposició de dades.
Senyals de Confiança Mixtes als Navegadors
Els escàners QR moderns d'iOS i Android mostren la primera URL a la qual el codi es resol, no la destinació final. Si la teva cadena passa per un domini que un proveïdor de seguretat ha marcat — fins i tot breument, fins i tot incorrectament — l'escàner pot mostrar una avís. Aquesta avís mata la conversió i dannya la confiança en la teva marca fins i tot quan ets tu la víctima, no l'atacant.
Com Auditar les Teves Cadenes de Redirecció
No necessites programari especial per começar. Aquests passos cobreixen la majoria de casos:
1. Descodifica el contingut QR raw Utilitza qualsevol escàner QR que mostri l'URL raw en lloc d'obrir-la automàticament. Moltes aplicacions de càmera de telèfon oculten aquest pas — utilitza una aplicació escàner dedicada que mostri la cadena completa codificada.
2. Rastreja cada salt manualment Enganxa l'URL a un verificador de cadena de redirecció (eines com redirect-checker.org i httpstatus.io són gratuïtes). Documenta cada domini que apareix.
3. Verifica que posseixes o confies en cada domini de la cadena Marca qualsevol domini que no reconeguis o que no hagis verificat recentment. Comprova les dates de registre WHOIS per als subdominis d'accurtadors o antics dominis de campanya.
4. Compta els teus salts Si tens més de tres salts, investiga si cadascun és necessari. Reduir una cadena de cinc salts a dos és senzill si controles la teva plataforma QR dinàmica.
5. Confirma que cada salt utilitza HTTPS Qualsevol redirecció HTTP a la cadena hauria de corregir-se abans que el codi vagi a impressió. Si estàs confiando en un salt de tercers que no pots actualitzar, rerouta al seu voltant.
6. Prova després de cada actualització de campanya Quan actualitzes l'URL de destinació a la teva plataforma QR dinàmica — que és el punt sencer d'utilitzar codis dinàmics — torna a executar l'audit. Un canvi de destinació pot introduir silenciosament una nova capa de redirecció.
Entendre la diferència entre codis QR estàtics i dinàmics és important aquí, ja que els codis estàtics no tenen redirecció del costat del servidor, de manera que la cadena comença amb qualsevol URL que hagis codificat. Els codis dinàmics introdueixen almenys un salt controlat per la plataforma, el que significa que la postura de seguretat de la plataforma es converteix en part de la teva superfície d'atac.
Mecanismes de Protecció que Realment Redueixen el Risc
| Mecanisme de Protecció | Què Adreça |
|---|---|
| Utilitza una plataforma QR amb llista blanca d'URL de redirecció | Bloqueja redireccionadors oberts a nivell de plataforma |
| Controla la caducitat de dominis per a cada salt de la cadena | Prevé redireccionaments penjants |
| Força HTTPS-només en cada pas | Elimina atacs de degradació |
Estableix una capçalera Referrer-Policy: no-referrer a pàgines intermèdies |
Redueix fuites de tokens entre salts |
| Subscriu-te a alertes de navegació segura per als teus dominis | Avís primerenc si un domini es marca |
Si vols una revisió completa prèvia al llançament de cap on apunten els teus codis, la llista de verificació de destinació segura per a codis QR cobreix el costat de la destinació de l'equació en detall.
La solució més sostenible és reduir la longitud de la cadena. Treballa amb qui gestiona les teves campanyes per configurar URLs de destinació directa on sigui possible, i reserva capes de redirecció només per al seguiment que no pots obtenir d'altra manera. Les plataformes que ofereixen analítiques d'escaneig integrades poden substituir completament algunes de les capes de seguiment basades en redirecció.
Conclusions Clau
- Una cadena de redirecció amb fins i tot un salt comprès o redireccionador obert pot enviar els teus clients a pàgines malicioses mentre sembla legítim.
- Els redireccionaments penjants en dominis expirats o caducats són un risc real i subestimat en campanyes QR.
- Audita cada salt manualment: descodifica l'URL raw, rastreja tots els redireccionaments, verifica la propietat del domini i confirma HTTPS de punta a punta.
- Manté les cadenes curtes. Si la teva plataforma QR proporciona analítiques integrades, potser no necessitis cap seguiment basada en redirecció externa.
- Re-audita quan actualitzes l'URL de destinació d'un codi dinàmic — aquesta actualització pot introduir silenciosament noves capes de redirecció.