Zo maak je een QR-code en bewijs je dat hij scant

Het korte antwoord

1. Maak hem. Open de QR- en streepjescodemaker, kies de klus — een link, een wifi-netwerk, een contactkaart — en controleer de exacte tekenreeks die de code zal dragen, die de pagina laat zien in plaats van verstopt. Exporteer de SVG voor druk, de PNG voor schermen.
2. Druk er één. Op het echte formaat, op het echte papier, vóór de oplage van tweehonderd.
3. Bewijs het. Fotografeer de drukproef met een telefoon — schuin, in het licht van de plek — en sleep de foto op de QR- en streepjescodelezer. Die toont de gedecodeerde inhoud en, bij een link, de host die hij werkelijk bereikt. Klopt dat met wat je bedoelde, dan is de oplage veilig.

Beide gereedschappen draaien in je browser en versturen niets — wat voor een wificode betekent dat het wachtwoord erin nooit in andermans website is getikt.

Wat de controle werkelijk vangt

• De typfout. De gewoonste storing is niet de code: het is de URL erin. Teruglezen is de enige controle die test wat er werkelijk gecodeerd is in plaats van wat je dacht te hebben geplakt.
• Formaat en afstand. Een code die van de andere kant van een zaal gescand wordt, heeft grotere blokjes nodig dan een op een visitekaartje. De proef fotograferen vanaf waar de mensen zullen staan is de eerlijke test; de foutcorrectieniveaus van de maker zeggen hardop wat elk niveau aan dichtheid kost.
• De kleuren. Donker op licht gedrukte codes scannen; contrastarme merkpaletten vaak niet. De lezer kan meer aan dan de meeste telefoons: als hij al worstelt met de foto, maakt de oudste telefoon in de hal geen schijn van kans.
• De vouw en de weerkaatsing. Reed-Solomon-correctie laat een half afgedekte code nog lezen — tot het niveau dat jij koos. Een poster die weer en wind in gaat, verdient het hoogste niveau en de iets dichtere code die dat kost.

Dezelfde lezer, voor codes die niet van jou zijn

Controleren is ook de veilige manier om andermans gedrukte QR te openen. De lezer toont het volledige adres en de host die hij werkelijk bereikt voordat er iets opent, en benoemt de trucs die een link vermommen: een gebruikersnaam vóór de @, een look-alike-alfabet, een omleiding. De sticker op de parkeermeter verdient die inspectie; het congresbadge ook. Er wordt niets namens jou geopend, en niets van wat je scant wordt ergens heen gestuurd.

Als je dit elke week doet

Maken en controleren wonen met opzet op twee pagina's: elke doet één klus, en elke kan in z'n eentje bewijzen dat niets je machine verlaat. Maar beide zijn open source: MIT-licentie, ES-modules zonder dependencies — de encoder van de maker en de Reed-Solomon-decoder van de lezer, elk met een README die hem uitlegt.

Als er elke week codes van jouw bureau vertrekken, wijs dan een code-agent naar de repository en vraag om een pagina die genereert en de getekende code meteen terug door de decoder haalt: een zelftest bij elke export. De modules zijn geschreven om gelezen te worden, en ze meenemen is precies waar de licentie voor bestaat.