Come funziona un codice QR: cosa contiene e perché si legge anche se coperto in parte

Lo inquadri al ristorante per leggere il menu, al gate, all’ingresso di un concerto. Il codice QR è diventato un gesto quotidiano, e quasi nessuno si chiede più che cosa ci sia dentro.

Eppure è quella la domanda che conta. Un codice QR non è un disegno: è un piccolo contenitore di dati, fatto per essere letto da qualunque fotocamera, anche da una foto, anche quando è rovinato. Capire come funziona un codice QR spiega perché una sfocatura leggera non basta a nasconderlo, perché certi codici valgono come una chiave e perché conviene guardare l’indirizzo prima di aprire un link.

Questo post mette in fila le tecnologie coinvolte, con vantaggi e limiti reali, senza indicare prodotti specifici. È il completamento tecnologico della raccomandazione di non pubblicare foto con codici QR: gli strumenti aiutano, ma la scelta di che cosa mostrare resta tua.

Come leggere questo elenco

Prima, il meccanismo in poche righe.

Com’è fatto. Un codice QR è una griglia di quadratini bianchi e neri, chiamati moduli. Tre quadrati più grandi negli angoli dicono al lettore dove inizia il codice e come è orientato, anche se lo inquadri storto. Il resto della griglia contiene i dati, codificati in binario (zero e uno, qui chiaro e scuro): più moduli ci sono, più caratteri entrano, fino a qualche migliaio.

Che cosa contiene. Il codice non “sa” nulla: contiene solo il testo che qualcuno ci ha messo. A seconda di chi l’ha generato, può essere:

1. testo semplice — un numero di serie, un messaggio, un codice di ritiro;
2. un link — l’indirizzo di un sito, che il telefono propone di aprire;
3. dati di prenotazione — nome del passeggero, codice di prenotazione, volo, data e posto, come nelle carte d’imbarco;
4. credenziali Wi-Fi — nome della rete e password, scritti in chiaro in una riga del tipo WIFI:T:WPA;S:NomeRete;P:password;;;
5. un codice di abbinamento — un’autorizzazione temporanea che collega un account o un servizio a un nuovo dispositivo, come la versione su computer di un’app di messaggistica o l’attivazione di una SIM digitale.

Perché si legge anche se coperto in parte. Dentro ogni codice c’è una parte ridondante, la correzione degli errori: dati aggiuntivi, calcolati con un metodo matematico, che permettono di ricostruire il contenuto anche quando un pezzo manca, è sporco o è coperto. Esistono quattro livelli: il più basso recupera circa il 7% del codice, il più alto circa il 30%. Per questo molti codici hanno un logo al centro e funzionano lo stesso. Per chi pubblica una foto significa che un angolo coperto, una striscia nascosta, una copertura “a metà” fatta di fretta o una sfocatura che lascia distinguere chiaro e scuro possono lasciare il codice leggibile.

E i codici a barre dei biglietti? Il codice a barre classico, a righe verticali, contiene pochi caratteri, di solito un numero. Carte d’imbarco e biglietti di treni ed eventi usano invece spesso codici bidimensionali (a righe sovrapposte o a quadrati concentrici), parenti stretti del QR: contengono più dati e hanno anch’essi la correzione degli errori. Le carte d’imbarco seguono un formato comune a tutto il settore aereo, leggibile da qualunque lettore.

Statici e dinamici. Un codice statico contiene direttamente i dati: una volta stampato, non si può cambiare né disattivare. Un codice dinamico contiene solo un link breve verso un server, che poi rimanda alla destinazione: chi l’ha creato può cambiarla, disattivarla e contare le scansioni. Nei biglietti, “dinamico” indica spesso anche un codice che cambia ogni pochi secondi nell’app ufficiale.

Le tecnologie sono organizzate in quattro funzioni, le stesse usate nel post su come coprire un codice QR in una foto:

• prevenzione — evitare che un codice leggibile finisca in una foto pubblica;
• rilevazione — accorgersi di un codice sfuggito o di un link sospetto;
• risposta — rendere inutile un codice già esposto;
• governance — mantenere l’ordine nel tempo, in famiglia, in un team o in una piccola attività.

Per ciascuna trovi il rischio che riduce, i vantaggi, i limiti onesti e la complessità d’uso.

1. Tecnologie di prevenzione

Ritaglio e riquadro pieno nell’editor di foto

Le funzioni dell’editor del telefono, o di quello delle storie di un social network, che tagliano l’immagine o disegnano una forma opaca sopra una parte.

• Rischio ridotto: codici e numeri di prenotazione leggibili nelle foto pubblicate.
• Vantaggi: sono già sul telefono; ritaglio e riquadro pieno tolgono l’informazione invece di confonderla.
• Limiti: la sfocatura e la pixelatura (l’effetto a mosaico), spesso proposte accanto, sono meno affidabili; in alcuni strumenti un effetto resta modificabile finché non salvi l’immagine.
• Esempio d’uso: fotografi il biglietto del concerto e copri con un rettangolo nero sia il codice sia il numero stampato sotto.
• Complessità: base.

Codici che cambiano o si attivano a ridosso dell’uso

Alcuni organizzatori e vettori mostrano il biglietto solo nell’app ufficiale, con un codice che si rigenera ogni pochi secondi o che compare poco prima dell’evento.

• Rischio ridotto: biglietti copiati da una foto o da uno screenshot.
• Vantaggi: una foto del codice smette di valere dopo pochi istanti; non devi fare nulla di speciale.
• Limiti: dipende da chi emette il biglietto, non da te; molti biglietti restano un codice fisso in un PDF.
• Esempio d’uso: all’ingresso dello stadio apri l’app e mostri un codice che cambia mentre lo guardi.
• Complessità: base.

Rete ospiti e condivisione del Wi-Fi dallo schermo

Molti router permettono di creare una rete ospiti, separata da quella dei dispositivi di casa; molti telefoni mostrano sullo schermo un codice QR per condividere la rete, senza stamparlo.

• Rischio ridotto: password della rete principale letta dal cartoncino finito sullo sfondo di una foto.
• Vantaggi: chi entra nella rete ospiti non vede i dispositivi di casa; un codice mostrato al momento non resta appeso al frigorifero.
• Limiti: va configurata una volta dal router; alcuni router meno recenti non la offrono. Da dove cominciare lo spiega la risorsa sulla sicurezza del router di casa.
• Esempio d’uso: stampi per gli ospiti il codice della rete ospiti, non quello della rete principale.
• Complessità: intermedia.

2. Tecnologie di rilevazione

Riconoscimento dei codici nelle immagini

Molte gallerie fotografiche e fotocamere riconoscono un codice anche dentro una foto già salvata, e propongono di aprirlo.

• Rischio ridotto: un codice sfuggito a un primo sguardo, sullo sfondo o in un riflesso.
• Vantaggi: diventa un test semplice: se il tuo telefono legge il codice dalla foto che stai per pubblicare, può farlo chiunque.
• Limiti: un test negativo non è una garanzia: altri lettori possono riuscire dove il tuo non è riuscito.
• Esempio d’uso: prima di pubblicare, apri la foto coperta nella galleria e controlli che il telefono non proponga più alcun link o testo.
• Complessità: base.

Anteprima del link prima di aprirlo

Quando inquadri un codice, il telefono mostra di solito l’indirizzo o il nome del sito prima di aprirlo.

• Rischio ridotto: finire su un sito falso da un codice contraffatto o incollato sopra quello vero.
• Vantaggi: ti lascia il tempo di leggere il dominio (la parte principale dell’indirizzo, prima della prima barra) e chiederti se ti aspettavi quello.
• Limiti: i link accorciati nascondono la destinazione finale; un indirizzo che inizia con https indica solo che la connessione è cifrata, non che il sito sia onesto, come spiega la raccomandazione di connettersi solo con HTTPS. I trucchi più diffusi sono raccolti nel post sugli attacchi tramite codici QR.
• Esempio d’uso: il codice sul parchimetro propone un indirizzo che non somiglia a quello del Comune: non lo apri e paghi dall’app o dal sito che conosci.
• Complessità: base.

Notifiche di chi ha emesso il codice

Email, messaggi e notifiche delle app ufficiali quando una prenotazione viene modificata, un check-in completato, un biglietto validato.

• Rischio ridotto: un uso del tuo codice da parte di altri che passa inosservato.
• Vantaggi: arrivano da sole e ti permettono di reagire prima del viaggio o dell’evento.
• Limiti: proprio perché attese, vengono imitate da messaggi falsi; verifica sempre dall’app o dal sito ufficiale. I segnali da riconoscere sono nel post segnali che qualcuno ha usato il tuo codice QR.
• Complessità: base.

3. Tecnologie di risposta

Revoca e riemissione del codice

La possibilità, per chi ha emesso un biglietto, un badge o un codice dinamico, di annullarlo e crearne uno nuovo.

• Rischio ridotto: un codice esposto che resta valido.
• Vantaggi: il vecchio codice smette di funzionare; con i codici dinamici basta un’operazione sul server.
• Limiti: un codice statico con dati in chiaro non si può “richiamare”: nome e prenotazione restano leggibili in ogni copia della foto.
• Esempio d’uso: chiedi all’organizzatore, dai canali ufficiali, di sostituire il biglietto finito in una storia.
• Complessità: variabile.

Cambio delle credenziali e dispositivi collegati

Quando il codice conteneva una chiave, la risposta è cambiare la chiave: la password del Wi-Fi, oppure scollegare i dispositivi abbinati dalla sezione dell’account che li elenca.

• Rischio ridotto: accesso che continua dopo l’esposizione del codice.
• Vantaggi: rende inutile il codice pubblicato, anche nelle copie salvate da altri.
• Limiti: cambiando la password del Wi-Fi vanno ricollegati tutti i dispositivi di casa. La procedura in ordine è nel post su come coprire un codice QR.
• Complessità: base.

4. Tecnologie di governance

Sono rilevanti quando i codici non sono solo tuoi: famiglia, team, associazione, piccola struttura ricettiva.

Codici “a riferimento” invece che “a contenuto”

Chi genera i codici può metterci solo un identificativo, verificato sul proprio server, invece di nome, indirizzo o password.

• Rischio ridotto: dati personali leggibili da chiunque inquadri il codice.
• Vantaggi: applica la minimizzazione dei dati (raccogliere ed esporre solo il necessario); rende possibile la revoca.
• Limiti: richiede un sistema che verifichi i codici; non dipende da chi li riceve.
• Complessità: avanzata.

Regole condivise su foto e codici

Poche indicazioni scritte: niente badge nelle foto dell’ufficio, Wi-Fi fuori dall’inquadratura, permesso prima di pubblicare biglietti altrui.

• Rischio ridotto: comportamenti diversi da una persona all’altra.
• Vantaggi: trasformano un’attenzione individuale in un’abitudine comune.
• Limiti: servono solo se sono semplici e ricordate.
• Complessità: intermedia.

Formazione e consapevolezza

Momenti brevi che spiegano che cosa c’è dentro un codice, non solo di coprirlo.

• Rischio ridotto: coperture fatte a metà o con effetti poco affidabili.
• Vantaggi: chi capisce il perché sceglie da solo il metodo giusto; è il pilastro su cui poggia il Framework Cyber Welfare.
• Limiti: richiede continuità.
• Complessità: base.

Tabella comparativa

Come scegliere

Se sei una persona singola. Ritaglio o riquadro pieno prima di ogni foto con un biglietto, un pacco o un documento, più il test del riconoscimento nella galleria; per i codici altrui, l’anteprima del link. Chi vede le tue foto dipende anche da chi accetti tra i contatti, come spiega la raccomandazione sui social, solo persone che conosci; la posizione salvata nel file è invece un tema a sé, trattato nella raccomandazione sul geotagging delle foto.

Se viaggi spesso o lavori con un badge. Aggiungi l’abitudine di tenere carte d’imbarco e badge fuori da ogni inquadratura, di attivare le notifiche delle compagnie e di trattare i codici di abbinamento come una chiave di casa: non si fotografano, non si inoltrano.

Se gestisci un gruppo o una piccola attività. Una rete ospiti con il suo codice, poche regole condivise sulle foto e, se generi codici tu, dentro solo un riferimento, non dati personali.

Una regola pratica. Nessuna tecnologia elimina il rischio da sola. La combinazione che dà il risultato migliore rispetto allo sforzo è riquadro pieno + test del riconoscimento prima di pubblicare: se il tuo telefono non legge più nulla e il riquadro copre tutto, bordi e numeri compresi, hai fatto la parte che conta.

Collegamento al Framework Cyber Welfare

Livello di riferimento: FL2 — Iniziato. È il livello in cui si passa dal gesto automatico alla prima scelta consapevole: capire il meccanismo basta per trattare ogni codice con la cura giusta.

Conclusione

Sapere come funziona un codice QR toglie un po’ di mistero a un oggetto che usiamo ogni giorno. Dentro c’è soltanto testo: un menu, una prenotazione, una password. La correzione degli errori lo rende robusto, ed è questa robustezza a chiedere, quando lo copriamo, di farlo per intero. Se vuoi capire da dove partire, l’autovalutazione della resilienza digitale ti dà un riferimento.

Azione consigliata. Apri una tua foto recente con un biglietto o un pacco e controlla se la galleria del telefono riconosce il codice. Se lo riconosce, sai già che cosa coprire la prossima volta.

Contenuti collegati

• Non pubblicare foto con codici QR — la raccomandazione di riferimento
• Come coprire un codice QR in una foto — come mettere in pratica queste tecnologie, in ordine
• Attacchi tramite codici QR — gli abusi contro cui queste tecnologie sono progettate
• Segnali che qualcuno ha usato il tuo codice QR — che cosa osservano notifiche e controlli
• Rischi dei codici QR nelle foto — che cosa si mette in gioco con un codice leggibile

Risorse correlate

Approfondimenti brevi della sezione Risorse, per chi vuole fermarsi su un singolo aspetto:

• Sicurezza del router di casa: si comincia da qui
• Come riconoscere il phishing costruito per convincere

Inizia dal primo passo: il Programma “Proteggi la Tua Privacy Digitale” ti accompagna gratuitamente, una raccomandazione alla volta.