Peut-on protéger un QR code par mot de passe ? Oui, mais c'est un portier à la porte, pas une serrure sur la pièce. Un QR code protégé par mot de passe ne contient dans ses carrés qu'un lien court, lisible par tout lecteur de QR code : c'est la porte. Un serveur vérifie le mot de passe avant de laisser passer quiconque, et, une fois à l'intérieur, la pièce (votre page) est une adresse web ordinaire.
Une réponse Quora qui ressort sur Google dit non pour le code lui-même, oui pour sa destination. Pas loin, mais elle oublie la porte entre les deux, celle du mot de passe.
Nous avons testé un générateur : image du code décodée, page du mot de passe lue, rafale de faux mots de passe, page d'arrivée ouverte directement. Vous cherchiez un mot de passe Wi-Fi ? Autre objet, section suivante.
De quel mot de passe de QR code parlez-vous ? Quatre objets, un même nom
Quand nous avons cherché « qr code with password » sur Google, son aperçu IA expliquait comment extraire le mot de passe Wi-Fi d'un QR code. C'est l'un des quatre sens :
- Un code Wi-Fi contient le mot de passe du réseau en clair, dans une courte ligne comme
WIFI:T:WPA;S:mynetwork;P:mypass;;. Nous en avons créé un pour un réseau inventé : un lecteur a affiché son mot de passe, Croissant-2026. Pour en créer un sur Android : Paramètres, votre réseau Wi-Fi, Partager. Pour le lire, scannez-le avec une appli qui affiche le texte brut : le mot de passe suitP:. Quiconque le scanne peut lire le mot de passe, et changer celui du Wi-Fi impose de réimprimer. - Un QR code chiffré brouille un message dans son motif. Pour le lire, il faut la même appli et le même PIN ou mot de passe. L'appareil photo affiche au mieux du texte brouillé, et un nouveau message impose de réimprimer.
- Une connexion par QR code, c'est le code que vous scannez sur l'écran d'un ordinateur avec votre téléphone pour vous connecter, comme sur WhatsApp Web. Elle relie un appareil à un compte : un autre métier.
- Un QR code avec mot de passe est un code dynamique ordinaire dont le lien court demande un mot de passe avant de laisser passer : la suite de cet article.
Comment fonctionne un QR code protégé par mot de passe : ses carrés contiennent un lien court
Un QR code, c'est de l'encre : il ne peut rien demander à personne. Où vit le mot de passe, alors ?
Un code statique porte son contenu dans ses carrés, lisible par tout lecteur : impossible d'y ajouter un mot de passe. Dans notre test, un digicode à quatre chiffres écrit dans un code statique est ressorti tel quel d'un lecteur, tout comme l'adresse web d'un manuel du personnel. Un code dynamique, lui, stocke un lien court : c'est toute la différence entre QR code statique et dynamique.
Un scan ouvre ce lien court, qui mène au serveur du générateur. Avec un mot de passe, le serveur répond par une page qui le demande, et n'envoie le navigateur vers votre page qu'une fois le bon saisi. Cette demande est une page web ordinaire : nul besoin d'appli spéciale, et le lien court tapé dans un navigateur y mène aussi. Le mot de passe n'étant jamais dans les carrés, vous pouvez l'ajouter, le changer ou le retirer sur un code déjà imprimé.
Certains éditeurs vendent cela comme un QR code chiffré. Rien n'est brouillé : les carrés contiennent un lien lisible, et la vérification se fait entre le scan et la page. Le guide d'Uniqode dit lui-même que ce contrôle ne chiffre pas le code, ni ne protège le fichier derrière.
Ce que protège le mot de passe : sans lui, tout le monde reste à la porte
Quiconque ouvre le lien sans le mot de passe n'obtient que la demande, rien au-delà. Cela vaut pour le passant devant votre affiche, celui qui trouve un badge perdu et le collègue qui a le code en photo.
Les inconnus essaient bel et bien. En 2023, le QR code d'une annonce du journal d'une petite ville, apparemment une demande en mariage, ouvrait une page de mot de passe, avec LAMB imprimé sous le texte. Des lecteurs de Reddit ont tenté d'entrer ; l'un a enchaîné mots religieux, variantes de l'indice, mots de passe génériques et formes de « yes ». En vain : un mot destiné à un seul lecteur les a tous laissés dehors.
Devant la demande, sans le mot, on ne peut que deviner. Combien de fois ? Aucune page d'éditeur consultée ne le dit. Uniqode configure les blocages via son support. La documentation de QRCodeKIT invite ses clients à « envisager de limiter le débit », c'est-à-dire à plafonner les essais sur un contrôle que QRCodeKIT héberge lui-même. Linkbreakers dit que son mot de passe « ne peut être ni deviné ni récupéré via les outils du navigateur », sans citer de limite. Le NIST, l'agence américaine des normes, demande aux systèmes de connexion d'autoriser au plus 100 échecs d'affilée sur un même compte. Le générateur testé limite la cadence des tentatives ; les notes de test ci-dessous donnent le chiffre.
Ce que le mot de passe ne protège pas : le motif, la page, le mot
Trois choses échappent au portier. Le motif n'a jamais été secret : quiconque le scanne peut lire le lien court. Un mot de passe n'empêche pas non plus un faux code collé sur le vôtre d'envoyer les gens vers la page d'un autre, l'arnaque classique au QR code. Uniqode range le remplacement par autocollant parmi les limites mêmes de cette protection.
La page est la plus grosse faille. Après le bon mot de passe, le navigateur arrive sur l'adresse de la page, qu'on peut copier, mettre en favori et transférer. Sauf si la page a sa propre serrure, quiconque a cette adresse entre sans mot de passe : nous avons vérifié. Prenez un fichier partagé. Selon l'aide de Google Drive, un fichier partagé avec toute personne ayant le lien s'ouvre sans qu'on se connecte. Pourtant, un tutoriel vidéo qui ressort sur le sujet met justement un tel Google Doc public derrière un mot de passe.
Le mot de passe lui-même est partagé : chaque invité légitime reçoit le même mot, que n'importe lequel peut transmettre. Le guide d'Uniqode tranche : « Distribuez-le à 200 participants d'un événement, et sa confidentialité chute vite. » Envoyé à toute une liste d'invités, un mot de passe arrête les inconnus, pas les amis des invités.
Fiches de paie, résultats médicaux ou dossier client demandent donc une serrure sur la pièce elle-même : un accès par identifiant, ou un partage limité à des personnes désignées.
Avant d'imprimer : choisissez le lieu, le mot de passe et le messager
Trois choix et un avertissement, tous avant que l'encre sèche :
- Choisissez le lieu. Les inconnus essaient les codes imprimés en public : la demande en mariage du journal l'a montré. Sur un support privé, reçu ou carte remise à des connaissances, le papier fait le tri. Un exemple de QRStuff de 2011 imprime le mot de passe sur le reçu.
- Choisissez un mot de passe long. Le NIST demande au moins 15 caractères pour un mot de passe utilisé seul, sans imposer de mélanger les types de caractères. Il exclut aussi les mots de passe courants ou attendus, comme le nom du service : ici, celui de l'événement ou de la marque. Le générateur testé a accepté un mot de passe d'un caractère : la longueur vous revient donc.
- Choisissez le messager. Transmettez le mot à part, jamais à côté d'un code public. Sur le générateur testé, un code n'a qu'un mot de passe : donnez donc un code à chaque public. Une fuite, un changement. Après l'événement, changez le mot de passe, ou retirez-le si la page peut devenir publique : l'impression reste valable. Pour en finir avec un code, voyez si un QR code expire.
- Prévenez les gens. Le Centre canadien pour la cybersécurité invite à se méfier, et à vérifier l'adresse web, quand un scan mène à une demande de mot de passe. France Num, un site du gouvernement français, écrit : « Si URL étrange ou très courte, quitter la notification ». Un vrai code protégé présente les deux signes. Dites-le-leur d'abord : le scan ouvre un lien court, puis une page demande le mot que vous leur avez donné.
Ce que nous avons testé, et ce que le serveur a répondu
Le 27 octobre 2026, nous avons créé des QR codes avec mot de passe sur un générateur. Un script a ouvert chaque lien court comme le navigateur d'un téléphone après un scan, en visiteur anonyme, et lu chaque réponse avant de la suivre. Aucun appareil photo n'a servi : le logiciel Vision d'Apple a lu l'image du code sur un Mac.
- L'image du code téléchargée, une fois décodée, ne contenait que le lien court : ni mot de passe, ni destination.
- Le lien court a ouvert, au lieu de la destination, une page annonçant que le QR était protégé par mot de passe, avec un champ et un bouton pour déverrouiller. Ni l'adresse de destination ni le mot de passe n'y figuraient, pas même dans le code source.
- Un faux mot de passe n'a valu qu'un message indiquant qu'il était erroné et invitant à réessayer. Le bon, tapé en minuscules, a échoué aussi : les majuscules comptent. Accents, espaces et ponctuation sont passés, comme un mot de passe de 64 caractères, le plus long que nous ayons essayé.
- Nous avons tiré une rafale d'essais sur un seul code depuis une même connexion. Dix tentatives par minute, bonnes ou mauvaises, ont obtenu une réponse. La onzième a essuyé un refus pour excès de requêtes, le bon mot de passe aussi, jusqu'à la levée du blocage, en une minute environ. Un navigateur neuf sur cette connexion restait bloqué, mais un autre code s'ouvrait normalement : une foule devant une même affiche, sur un même Wi-Fi, pourrait donc faire attendre la onzième personne. Mesuré sur le générateur testé, au moment de notre test ; une telle limite peut changer avec les réglages du serveur.
- Avec le bon mot de passe, le navigateur a rejoint la destination, sans mot de passe dans l'adresse. Une deuxième visite du même navigateur l'a redemandé. Puis, ouverte directement, l'adresse de la destination s'est chargée sans mot de passe.
- Trois balises de suivi ajoutées à la destination, les balises UTM source, support et campagne, ont franchi le contrôle intactes. Enfin, mot de passe retiré, le même lien court, donc le même code imprimé, menait tout droit à la page.
Mettez un portier sur le code et une serrure sur la pièce
Un mot de passe sur le code convient à un manuel du personnel, aux tarifs réservés aux membres ou au dossier complet d'un bien immobilier. La page derrière doit simplement s'accommoder de quiconque entre.
Le générateur testé, c'est le nôtre : Oh My Code. Le mot de passe s'active dans les réglages avancés d'un code « Site web URL », et les visiteurs doivent alors le saisir avant d'être redirigés. Un mot de passe partagé par code, sans compte visiteur, remplaçable ou supprimable à tout moment sans toucher au code imprimé. Pour la page elle-même, réglez le partage sur votre plateforme de documents.
Postez un portier devant votre prochain QR code, puis choisissez à qui souffler le mot.
FAQ sur la protection par mot de passe
Peut-on ajouter un mot de passe à un QR code déjà imprimé ?
Oui, s'il est dynamique et si votre générateur le permet pour ce type de code. Le mot de passe vit sur le serveur : ajoutez-le, changez-le ou retirez-le sans réimprimer, comme pour un code qui change selon l'heure. Un code statique se remplace.
Un QR code protégé par mot de passe est-il un QR code sécurisé ?
Pas à lui seul : il bloque qui n'a pas le mot, mais ne chiffre rien et n'arrête ni les faux autocollants ni les adresses de page transférées. Donnez aux pages sensibles leur propre accès par identifiant, et veillez sur le compte qui décide où mène le code.
Faudra-t-il retaper le mot de passe à chaque fois ?
Sur le générateur testé, oui : le même navigateur a revu la demande à sa visite suivante. Il faut donc avoir le mot sous la main à chaque scan. QRCodeChimp, à l'inverse, peut mémoriser une saisie pendant une durée fixée.
Et si j'oublie le mot de passe choisi ?
Définissez-en un nouveau : sur le générateur testé, l'écran de modification indique qu'un mot de passe est défini, mais ne l'affiche plus jamais. L'impression ne change pas : il suffit de transmettre le nouveau mot.
Un QR code protégé par mot de passe fonctionne-t-il hors ligne ?
Non : c'est un serveur, pas le téléphone, qui vérifie le mot de passe. Sans connexion qui marche, le téléphone n'atteint ni la demande ni la page derrière.
