La majoria de gent escaneja un codi QR i va a on els enviï — sense fer preguntes. Aquesta confiança cega és exactament el que els atacants aprofiten. Una defensa concreta que qualsevol empresa pot desplegar ara mateix és fer visible l'URL de destinació del codi QR abans que es carregui la pàgina: una vista prèvia d'URL. Sembla un detall petit, però dona als escanejadors un moment per pausar i verificar — i aquest moment pot aturar un intent de phishing en sec.
Què significa realment una vista prèvia d'URL en el context dels codis QR
Una vista prèvia d'URL és qualsevol mecanisme que mostra a l'escanejador l'adreça completa de destinació abans que el navegador es comprometi a carregar-la. Hi ha tres formes principals en què això es veu en la pràctica:
- Aplicacions de càmera nativa — iOS i Android mostren una petita bandera amb l'URL de destinació quan puntegem la càmera sobre un codi QR. No cal cap aplicació. Aquesta vista prèvia apareix durant un o dos segons abans que la majoria d'usuaris toquin.
- Pàgines de vista prèvia d'enllaç curt — Alguns escurçadors d'URL insereixen una pàgina intermèdia que mostra l'URL de destinació, el domini i, de vegades, una captura de pantalla de la pàgina abans de redirigir.
- Divulgació d'URL de pàgina d'aterratge — La teva pròpia pàgina de redirecció mostra l'URL final en una línia visible i llegible per a humans, juntament amb un botó "Continua".
Cada capa posa l'URL davant dels ulls de l'escanejador. Com més clarament que l'URL sembli el domini de la teva marca, més segura és la teva audiència.
Per què la bandera de vista prèvia nativa de càmera no és suficient
La bandera de vista prèvia nativa és útil però fàcil de perdre. Apareix breument, sovint només mostra el domini de nivell superior, i desapareix en el moment que un dit es mou cap a la pantalla. Els atacants ho saben. Registren dominis que semblen idèntics — canviant una "l" minúscula per un "1", o usant un TLD diferent — que es colen en una ullada de dos segons.
Confiar únicament en la bandera nativa també significa que no tens control sobre el que l'escanejador veu. Si el teu codi QR incrustra una URL curta (per exemple, un enllaç genèric bit.ly), això és tot el que mostra la bandera — no la teva destinació real. Els escanejadors no poden verificar quelcom que no poden llegir.
Com fer que les URLs de destinació siguin llegibles i fiables
Incrustra el teu domini de marca directament
El pas més efectiu és codificar el teu propi domini directament al codi QR en lloc d'un escurçador de tercers. Quan la càmera de quelcú mostra lateuamarca.cat/menu en lloc de bit.ly/3xYz9q, pot verificar-ho al moment. Aquesta és una raó per la qual els codis QR dinàmics construïts al teu propi domini valen la petita despesa extra de configuració — controles tant el domini curt com l'objectiu de redirecció.
Utilitza un domini curt de marca
Si necessites URLs curtes per a restriccions d'impressió, registra un domini curt de marca (per exemple, tm.cat) i utilitza'l exclusivament per als teus codis QR. El teu proveïdor de TI o registrador de dominis pot configurar-ho en menys d'una hora. Això manté la teva marca visible a la vista prèvia d'URL i evita la confusió amb escurçadors de tercers que els atacants podrien imitar.
Afegeix una vista prèvia intermèdia per a contextos d'alt risc
En entorns on els teus codis QR seran escanejats per audiències menys tècnicament expertes — sales d'espera de sanitat, oficines governamentals, comptadors de serveis financers — considera afegir una simple pàgina de redirecció intermèdia. La pàgina mostra:
- El teu logotip i nom de marca
- L'URL completa de destinació en text llegible
- Una breu descripció d'on porta l'enllaç
- Un botó prominent "Continua"
Això afegeix una sola pulsació, que és un cost de fricció petit. La confiança que construeix compensa amb escreix, especialment quan els materials escanejats tracten accions sensibles com pagaments o trameses de formularis.
Manté les cadenes de redirecció curtes i auditables
Cada salt addicional en una cadena de redirecció és una altra URL que l'escanejador mai veurà. Un codi QR que es redirigeix a través de tres serveis abans d'arribar al teu lloc exposa cada URL intermèdia com a possible punt d'inserció de phishing. El nostre article sobre riscos de seguretat de les cadenes de redirecció de codis QR cobreix això en detall, però la regla bàsica és: mantén-ho a un sol redireccionament com a màxim, i audita aquest redireccionament mensualment.
Què incluir en una pàgina de vista prèvia d'URL
Si construeixes la teva pròpia intermèdia, mantén-la mínima i ràpida:
| Element | Propòsit |
|---|---|
| Logotip de marca | Confirma la identitat de la font |
| URL completa de destinació (no escurçada) | Permet a l'escanejador verificar el domini |
| Descripció d'una frase del destí | Redueix la incertesa |
| Botons "Continua" / "Cancel·la" | Dona agència a l'escanejador |
| Temps de càrrega de pàgina inferior a 1 segons | Evita l'abandó |
Evita incrustar anuncis, finestres emergents, o res que oculti l'URL de destinació. L'única funció d'aquesta pàgina és la claredat.
Comunicar la vista prèvia a la teva audiència
Fins i tot les vistes prèvies tècnicament sòlides fracassen si els escanejadors no saben que han de buscar-les. Afegeix una instrucció d'una línia prop del codi QR en materials impresos:
"Una pàgina de vista prèvia apareixerà abans de ser redirigit. Confirma que veus [lateuamarca.cat] abans de continuar."
Això prepara els usuaris per pausar a la vista prèvia en lloc de tocar reflexivament. També senyalitza que prens la seva seguretat seriosament — que, per a empreses que utilitzen codis QR en programes de fidelització, pagaments o accés a comptes, és un senyal de confiança significatiu.
Quan les vistes prèvies d'URL són especialment crítiques
No tots els codis QR comporten el mateix risc. Prioritza les mesures de vista prèvia d'URL quan els teus codis:
- Enllaçen a pàgines de pagament o fluxos de compra
- Demanen credencials de login o dades personals
- Apareixen en espais públicament accessibles (transport, restaurants, events) on la manipulació és més fàcil
- Es distribueixen a través de fullets impresos que surten de les teves mans abans d'arribar als escanejadors
Els codis QR de menú en una taula que controles diàriament són de menor risc. Un fullet distribuït en una fira comercial i escanejat setmanes més tard és de major risc. Calibra la teva inversió en vista prèvia en conseqüència.
También és bo conèixer com detectar manipulació en codis QR físics — les vistes prèvies d'URL protegeixen els escanejadors en la capa digital, però el reemplaçament de pegatina física és un vector d'atac separat que necessita la seva pròpia contramedida.
Conclusions clau
- La bandera d'URL de càmera nativa és una primera línia de defensa, no una completa — és breu i mostra URLs escurçades com a cadenes opacs.
- Codificar el teu propi domini de marca directament al codi QR és el senyal de confiança més llegible per als escanejadors.
- Una pàgina de vista prèvia intermèdia amb el teu logotip, URL completa de destinació i un botó "Continua" afegeix protecció significativa en contextos d'alt risc.
- Manté les cadenes de redirecció a un sol salt, utilitza un domini curt de marca si necessites compressió d'URL, i audita els objectius de redirecció mensualment.
- Una instrucció d'una línia prop del codi QR prepara els usuaris per verificar la vista prèvia en lloc de tocar per reflex.