هل تتجسس عليك مولدات رمز QR؟ كيف تتحقق في 30 ثانية

إنشاء رمز QR يبدو بريئاً: تملأ نموذجاً وتحصل على صورة. ما لا تراه هو ما يحدث للبيانات التي أدخلتها — هل تبقى في متصفحك أم تنتقل إلى خادم المزود.

للـ WiFi، vCard، الدفعات، وأي بيانات شخصية، هذا الفرق مهم.

الإجابة السريعة

• مولدات QR عبر الإنترنت يمكنها تتبع شيئين مختلفين: البيانات التي تدخلها (كلمة مرور، جهة اتصال، رابط) ومن يمسح الرمز لاحقاً.
• تتبع البيانات المدخلة يعتمد على ما إذا كان الإنشاء من جانب الخادم (البيانات تنتقل لخادم) أو محلياً (كل شيء يحدث في متصفحك).
• تتبع عمليات المسح ممكن فقط مع رموز QR الديناميكية: يشير الرمز إلى رابط المزود الذي يسجّل كل زيارة.
• يمكنك التحقق في 30 ثانية بـ DevTools في متصفحك (تبويب Network) أثناء إنشاء الرمز.
• إن كنت تدخل بيانات حساسة (WiFi، vCard، دفعات)، استخدم مولدات محلية، بلا تسجيل، ومفتوحة المصدر إن أمكن.

أنواع التتبع في مولدات رموز QR

ثلاث طبقات مختلفة:

1. تتبع البيانات التي تدخلها

حين تملأ النموذج (SSID، كلمة المرور، جهة اتصال، رابط)، هذه المعلومات يمكن أن:

• تبقى في متصفحك ولا تُرسل لأي مكان (إنشاء محلي).
• تنتقل لخادم المزود لبناء الصورة وإعادتها (جانب الخادم). قد تستقر في السجلات، التحليلات، أو قواعد البيانات.

معظم المولدات عبر الإنترنت تعمل من جانب الخادم بشكل افتراضي لأنه الأسهل تقنياً. هذا لا يعني أن المزود خبيث، لكنه يعني أن بياناتك تمر عبر بنيتهم التحتية.

2. تتبع المستخدم المنشئ للرمز

كأي موقع ويب، قد يحتوي المولد على:

• تحليلات (Google Analytics، Plausible، Matomo).
• كوكيز خارجية وبكسلات إعلانية (Meta، TikTok، Google Ads).
• بصمة المتصفح للتعرف عليك بلا كوكيز.
• حساب إلزامي يربط كل رمز تنشئه بهويتك.

هذا مستقل عن الإنشاء نفسه، لكنه جزء من الباقة.

3. تتبع من يمسح الرمز

ينطبق فقط على رموز QR الديناميكية: يشير الرمز إلى رابط قصير لدى المزود (qr.xx/abc123) يعيد التوجيه للوجهة الحقيقية. كل إعادة توجيه تُسجَّل مع:

• وقت المسح الدقيق.
• IP المستخدم (الموقع التقريبي).
• نوع الجهاز، نظام التشغيل، المتصفح.
• المرجع إن وجد.

في رمز QR الديناميكي، تتبع المسح ليس عرضياً — بل هو سبب وجود المنتج.

كيف تكشف أن مولدك يتتبعك (بلا برمجة)

ثلاث دقائق بأي متصفح حديث:

1. افتح المولد الذي تخطط لاستخدامه.
2. اضغط F12 (أو انقر بالزر الأيمن → فحص) واذهب لتبويب Network.
3. اضغط زر التسجيل الأحمر / احتفظ بالتبويب مفتوحاً وامسح السجل (زر ⌀).
4. املأ نموذج QR بأي بيانات واضغط "إنشاء".
5. انظر إلى الطلبات التي تظهر في القائمة.

ما تبحث عنه:

• إن لم تظهر طلبات جديدة أثناء الإنشاء: الرمز يُبنى 100% في متصفحك. محلي. ✅
• إن ظهر طلب POST لرابط المزود فور الضغط على إنشاء، مع حقولك (SSID، كلمة المرور...) في الحمولة: بياناتك تنتقل للخادم. جانب الخادم. ❌ للبيانات الحساسة
• إن كانت الاستجابة صورة QR (PNG أو SVG) ينتجها الخادم: هذا يؤكد أن الخادم يبني الرمز.

تحقق أيضاً من تحميل الصفحة لنصوص Google Analytics أو Meta Pixel أو متتبعات أخرى (ستجد طلبات لـ google-analytics.com، googletagmanager.com، connect.facebook.net...).

علامات التحذير الواضحة

بلا DevTools، مؤشرات سريعة:

• يتطلبون تسجيل دخول أو حساباً لإنشاء رمز QR أساسي.
• لديهم خطة PRO مع تتبع مسح مفصل: إن كان هذا نموذجهم التجاري، التتبع في جين المنتج.
• رمز QR المحمّل يحمل رابطهم بدلاً من رابطك (qr.xx/abc123 بدلاً من نطاقك.com): رمز ديناميكي، يُتتبع تلقائياً.
• سياسة الخصوصية تذكر مشاركة البيانات مع أطراف ثالثة أو شركاء تسويقيين أو استخدامها للإعلانات.
• لا ينشرون الكود المصدري والأداة مجانية بلا نموذج تجاري واضح: شخص ما يدفع ثمنها، عادةً ببياناتك.

كيف تتحقق أن المولد محلي

قائمة تحقق سريعة:

• يعمل بلا إنترنت: افصل WiFi، أعد تحميل الصفحة، وحاول الإنشاء. إن نجح، فهو محلي. إن فشل في التحميل أو لم يسمح بالإنشاء، فهو يعتمد على الخادم.
• لا طلبات شبكة عند الإنشاء (قابل للتحقق بـ DevTools كما سبق).
• لا حساب مطلوب، لا بريد إلكتروني.
• الكود المصدري قابل للتدقيق (مفتوح المصدر أو JavaScript غير مضغوط).
• وجهة الرمز هي تماماً ما تكتبه، لا رابط مختصر لدى المزود.

إن توفرت الشروط الخمسة، لا يمكن للمولد تتبعك أو تتبع من يمسح الرمز.

لماذا يهم هذا أكثر للـ WiFi، vCard، والدفعات

لرابط عام (موقع عملك، PDF عام)، "رؤية" المولد لرابطك لا تضيف خطراً: كان سيصبح عاماً على أي حال.

لكن ثلاثة أنواع من رموز QR التتبع فيها حاسم:

• WiFi: كلمة مرور شبكتك. إن انتقلت لخادم المزود، صارت خارج سيطرتك.
• vCard: هاتف شخصي، بريد إلكتروني، عنوان. بيانات شخصية محمية بنظام حماية البيانات الشخصية (PDPL في السعودية، PDPPL في الإمارات).
• الدفعات / العملات الرقمية: محفظة، IBAN، بيانات مصرفية. أعلى مستوى من الحساسية.

لهذه الحالات، استخدام مولد محلي ليس توجساً — بل نظافة أساسية.

المفتوح المصدر مقابل المملوك

كون المولد مفتوح المصدر لا يضمن بحد ذاته خصوصية أكبر، لكنه يتيح:

• تدقيق الكود والتحقق من غياب أي تتبع خفي.
• تأكيد المنطق المحلي دون الاعتماد على كلام المزود.
• الاستضافة الذاتية إن أردت تحكماً كاملاً.

المولد المملوك يمكن أن يكون بنفس القدر من الخصوصية، لكنه يتطلب الثقة بما يدّعيه المزود. بلا كود قابل للتدقيق، لا سبيل للتحقق.

عملياً: مفتوح المصدر + بلا حساب + بلا شبكة أثناء الإنشاء = أعلى معيار خصوصية معقول.

الخلاصة

تقريباً كل مولد QR عبر الإنترنت يعالج بياناتك على خادمه. هذا مقبول لرابط عام، لكنه محفوف بالمخاطر للـ WiFi وvCard والدفعات. للتحقق في 30 ثانية، افتح DevTools، اذهب لـ Network، وتحقق هل يرسل متصفحك أي طلبات عند إنشاء الرمز. إن لم يفعل، فهو محلي ومحتواك لا يغادر جهازك.

QRcito ينشئ كل رمز QR كلياً في متصفحك، بلا حساب، بلا شبكة أثناء الإنشاء، وبلا متتبعات خارجية. يمكنك التحقق بفتح DevTools قبل الضغط على إنشاء.

الأسئلة الشائعة

ماذا يعني "محلي" في مولد QR؟ أن JavaScript التي تبني صورة QR تعمل داخل متصفحك. البيانات التي تدخلها لا تُرسل لأي خادم. الإنشاء محلي، فوري، وقادر على العمل بلا إنترنت.

هل من القانوني لمولد QR تخزين بياناتي؟ إن أعلنت سياسة خصوصيتهم ذلك وقبلت بها، نعم. المشكلة أن كثيراً من السياسات مبهمة أو لا تغطي بيانات QR تحديداً. عند الشك، افترض أنهم يخزنون شيئاً واختر أداة أخرى إن كانت بياناتك حساسة.

هل يمكن لرمز QR الثابت تتبع من يمسحه؟ لا. رمز QR الثابت لا يمر عبر أي خادم: المعلومات تنتقل مباشرة من الرمز للقارئ. فقط رموز QR الديناميكية (ذات رابط إعادة توجيه وسيط) يمكنها تتبع المسح.

كيف تنطبق أنظمة حماية البيانات على مولدات QR؟ إن أدخلت بيانات شخصية (اسم، بريد، هاتف في vCard) في أداة تعمل من جانب الخادم، المزود مسؤول عن معالجة البيانات وفق الأنظمة المعمول بها. لتقليل المخاطر، الحل البسيط استخدام مولدات محلية.

لماذا يستطيع QRcito تقديم كل شيء مجاناً بلا تتبع؟ لأن إنشاء رموز QR عملية خفيفة لا تتطلب بنية تحتية مكلفة. المعالجة المحلية تعني لا تكاليف خادم لكل مستخدم؛ وبلا تتبع أو حسابات، لا منتج للبيع. الموقع يعمل بتكلفة منخفضة جداً بلا حاجة لتحقيق الدخل من المستخدمين.