Individua la destinazione nascosta dietro Safe Links, URL Defense e altri wrapper (Mimecast: dominio).
Nuovo
Decodificatore di codici QR
Funziona in localeNuovo
Lo strumento è in inglese; questa pagina ne fornisce una spiegazione nella tua lingua.
Usa Decodificatore di codici QR
Cosa fa
Carica, trascina o incolla l'immagine di un codice QR. Il contenuto compare come testo in forma defanged insieme a ciò che fa: un link e il suo host reale, un accesso Wi-Fi, una richiesta di pagamento o un segreto per l'autenticazione a due fattori.
Funziona interamente nel browser: nulla di ciò che inserisci viene caricato online.
Come utilizzare Decodificatore di codici QR
- Ottieni un'immagine del codice. Fai uno screenshot o una foto del codice QR. La pagina non usa mai la fotocamera.
- Caricala. Trascina l'immagine sul riquadro, fai clic sul riquadro per scegliere un file (PNG, JPEG, GIF, WebP, BMP o SVG fino a 20 MB), oppure incolla uno screenshot con Ctrl+V.
- Controlla l'anteprima. L'immagine compare con il codice rilevato evidenziato da un contorno. Un badge indica il tipo di contenuto e il decodificatore che lo ha letto.
- Leggi il contenuto e gli avvisi. Il contenuto viene mostrato in forma defanged, quindi i link non sono cliccabili. Le note rosse e gialle sotto spiegano cosa farebbe il codice.
- Esamina i campi. I campi dividono il contenuto in parti come Host, Network name, Amount o Recipient. Gli indirizzi dei wallet hanno un proprio pulsante Copy.
- Passa al passo successivo. Per un link, usa Send to… per passarlo a Link Unwrapper, Homoglyph Checker o URL Parser senza visitarlo.
Esempio
Link di pagamento del parcheggio con un host nascosto
https://pay-parking.example@198.51.100.24/pay?zone=401Web link read by jsQR (as is)
Payload (defanged)
hxxps://pay-parking[.]example[@]198[.]51[.]100[.]24/pay?zone=401
Copy raw
Text before "@" is not the destination: this link opens 198[.]51[.]100[.]24, not "pay-parking[.]example".
The host is a bare IP address (198[.]51[.]100[.]24), not a domain name.
HOST
198[.]51[.]100[.]24
USER INFO BEFORE @
pay-parking[.]example
SCHEME
https
PATH
/pay
QUERY
?zone=401
Next: use Send to… above. URL Parser splits the link into parts.Load example disegna questo testo come codice QR nella pagina e decodifica l'immagine: l'host reale è l'indirizzo IP 198.51.100.24, e pay-parking.example prima di @ è solo informazione utente, quindi entrambi vengono segnalati come segnali di pericolo.
Cosa verifica
| Segnale | Cosa significa |
|---|---|
| Tipo di contenuto | Link web, rete Wi-Fi, richiesta di pagamento, segreto a due fattori, bozza di e-mail, SMS o telefonata, biglietto da visita, evento di calendario, link a un'app o testo semplice. Il colore del badge segue l'avviso più grave. |
| Host nascosto in un link | Il testo prima di @ non è la destinazione, e un host scritto come indirizzo IP è rosso. È rosso anche un host punycode che mescola alfabeti. |
| Accorciatore o wrapper di posta | I link che passano da bit.ly, qrco.de e servizi simili, o da Safe Links o URL Defense, nascondono l'indirizzo reale. Lo strumento lo segnala e ti indirizza a Link Unwrapper. |
| Hosting gratuito, http, porta, sottodomini profondi | Il semplice http riceve un avviso giallo. Host gratuiti come github.io o pages.dev, una porta non standard e host con cinque o più livelli ricevono note, perché un indirizzo del genere dice poco su chi gestisce la pagina. |
| Segreto a due fattori (rosso) | Un codice otpauth contiene un segreto che genera i tuoi codici monouso, e un codice otpauth-migration contiene un intero export dell'app di autenticazione. Il segreto resta nascosto finché non premi Show secret. |
| Richiesta di pagamento crypto | I link di pagamento Bitcoin, Ethereum, Solana, TRON, TON e altri mostrano indirizzo e importo. Un codice Ethereum che chiama approve, increaseAllowance, setApprovalForAll o permit è rosso, così come una transaction request di Solana Pay. |
| Codici commerciante UPI ed EMV | Scansionare un codice UPI invia denaro dal tuo conto, e un mandato UPI consente addebiti ripetuti. Un codice EMV il cui checksum CRC non corrisponde è stato modificato o danneggiato. |
| Schemi pericolosi | javascript:, data:, file:, ms-msdt:, search-ms: e schemi simili sono rossi. I codici che aprono un'app invece di una pagina web ricevono una nota gialla. |
| Dettagli Wi-Fi | Nome della rete, tipo di sicurezza, presenza di una password e se la rete è nascosta. Le reti aperte ricevono un avviso. |
Altri esempi
Codice QR per una rete Wi-Fi aperta
WIFI:T:nopass;S:Airport Free WiFi;;Rete Wi-Fi. Network name (SSID): Airport Free WiFi, Security: nopass, Password: none, Hidden network: no. Avviso giallo: Open network: traffic is not encrypted at the Wi-Fi level. Una nota spiega che gli aggressori creano reti aperte sosia per intercettare il traffico.
Codice QR con un segreto per l'autenticazione
otpauth://totp/Example:alice@example.com?secret=JBSWY3DPEHPK3PXP&issuer=ExampleSegreto a due fattori (TOTP/HOTP). Il contenuto mostra secret=•••••••• finché non premi Show secret. Campi: Type TOTP, Issuer Example, Account alice[@]example[.]com, Secret present (16 characters, hidden), Algorithm SHA1 (default), Digits 6 (default), Period 30 s, più un avviso rosso a non inviare mai questa immagine a nessuno.
Approvazione di token travestita da pagamento (indirizzi di test EIP-55)
ethereum:0xfB6916095ca1df60bB79Ce92cE3Ea74c37c5d359@1/approve?address=0x5aAeb6053F3E94C9b9A09f33669435E7Ef1BeAed&uint256=115792089237316195423570985008687907853269984665640564039457584007913129639935Richiesta di pagamento Ethereum. Campi: Network Ethereum, Contract 0xfB6916095ca1df60bB79Ce92cE3Ea74c37c5d359, Chain ID 1, Function approve, Address parameter (lo spender) e Token amount (unità grezze), qui il massimo di 78 cifre. Avviso rosso: This asks your wallet to call approve: it gives 0x5aAeb6053F3E94C9b9A09f33669435E7Ef1BeAed permission to move your tokens. Wallet drainers use exactly this. Segue una nota gialla: confronta l'intero indirizzo.
Domande frequenti
Cosa mostra il decodificatore per un codice QR?
Il testo decodificato, in forma defanged in modo che non sia cliccabile, e il suo tipo: un link web (host, punycode, host IP, informazioni utente prima di @, accorciatori di link e wrapper), una rete Wi-Fi, una bozza di e-mail, telefonata o SMS, una richiesta di pagamento crypto, UPI o EMV, un segreto a due fattori otpauth, un biglietto da visita o un evento di calendario. Ogni tipo riceve gli avvisi pertinenti, ad esempio che un codice otpauth contiene un segreto 2FA.
Perché un'immagine non viene decodificata?
Il codice potrebbe essere troppo piccolo, sfocato, troncato ai bordi o coperto da riflessi; di solito è utile ritagliare l'immagine in modo da includere solo il codice con il bordo bianco. Il decodificatore prova innanzitutto a utilizzare il rilevatore di codici a barre integrato nel browser, se presente, quindi applica jsQR all'immagine (ridimensionata a 1.600 pixel sul lato più lungo), una soglia in bianco e nero, l’aggiunta di un bordo bianco e, per le immagini con il lato più lungo fino a 800 pixel, un ingrandimento di 2x.
L'immagine viene caricata?
No. L'immagine viene decodificata nel tuo browser con la libreria jsQR inclusa e non viene mai inviata altrove. La fotocamera non viene usata, quindi scatta una foto o fai uno screenshot e caricalo o incollalo.
E se l'immagine contiene più di un codice QR?
Se il tuo browser ha un rilevatore di codici a barre integrato, ogni codice trovato viene elencato come QR code 1 of N, ciascuno con i propri avvisi. La soluzione di riserva jsQR legge un codice per immagine, quindi ritaglia l'immagine sul codice che ti interessa.
Perché la password Wi-Fi o il segreto a due fattori sono nascosti?
Perché non compaiano sullo schermo o in uno screenshot del risultato. Show secret li rivela nel riquadro del contenuto, e Copy raw copia sempre il testo completo.
Posso trascinare il link a un'immagine di un altro sito?
No. La pagina legge solo file immagine e immagini incollate e non scarica nulla. Salva prima l'immagine, oppure copia l'immagine stessa e incollala. Funziona anche un testo data:image in base64 incollato.