I generatori di QR code ti tracciano? Come verificarlo in 30 secondi

Creare un QR code sembra innocuo: compili un form, ottieni un'immagine. Quello che non vedi è cosa succede ai dati che hai inserito — se restano nel browser o viaggiano verso il server del fornitore.

Per WiFi, vCard, pagamenti e qualsiasi dato personale, la differenza conta.

Risposta rapida

• I generatori QR online possono tracciare due cose distinte: i dati che inserisci (password, contatto, URL) e chi scansiona il QR in seguito.
• Il tracking dei dati inseriti dipende dal fatto che la generazione sia lato server (i dati viaggiano al server) o lato client (tutto nel browser).
• Il tracking delle scansioni è possibile solo con QR dinamici: il QR punta a un URL del fornitore che registra ogni visita.
• Puoi verificarlo in 30 secondi con i DevTools del browser (scheda Network) mentre generi il QR.
• Se inserisci dati sensibili (WiFi, vCard, pagamenti), usa generatori lato client, senza registrazione, preferibilmente open source.

Che tipi di tracking esistono in un generatore di QR

Tre livelli distinti:

1. Tracking dei dati che inserisci

Quando compili il form (SSID, password, contatto, URL), quell'informazione può:

• Restare nel browser e non essere mai inviata da nessuna parte (generazione lato client).
• Viaggiare al server del fornitore per costruire l'immagine e restituirla (generazione lato server). Può poi finire nei log, nelle analytics o nei database.

La maggior parte dei generatori online è lato server di default, perché è l'implementazione più semplice. Non significa che il fornitore sia malevolo, ma significa che i tuoi dati passano dalla sua infrastruttura.

2. Tracking dell'utente che genera il QR

Come qualsiasi sito, il generatore può avere:

• Analytics (Google Analytics, Plausible, Matomo, ecc.).
• Cookie di terze parti e pixel pubblicitari (Meta, TikTok, Google Ads).
• Fingerprinting del browser per identificarti senza cookie.
• Account obbligatorio che lega ogni QR che generi alla tua identità.

Indipendente dalla generazione del QR, ma fa parte del pacchetto.

3. Tracking di chi scansiona il QR

Si applica solo ai QR dinamici: il codice punta a un URL breve del fornitore (qr.xx/abc123) che reindirizza alla destinazione reale. Ogni redirect viene registrato con:

• Orario esatto della scansione.
• IP dell'utente (quindi posizione approssimativa).
• Tipo di dispositivo, OS, browser.
• Referer se presente.

In un QR dinamico, il tracking delle scansioni non è accidentale — è la ragione d'essere del prodotto.

Come rilevare se il tuo generatore ti traccia (senza programmare)

Tre minuti con un browser moderno:

1. Apri il generatore che vuoi usare.
2. Premi F12 (o tasto destro → Ispeziona) e vai alla scheda Network.
3. Premi il pulsante rosso di registrazione / mantieni la scheda aperta e svuotala (pulsante ⌀).
4. Compila il form del QR con dati qualsiasi e premi "genera".
5. Guarda le richieste che appaiono nell'elenco.

Cosa cercare:

• Se non appare alcuna nuova richiesta durante la generazione: il QR viene costruito al 100% nel browser. Lato client. ✅
• Se appare una richiesta POST a un URL del fornitore proprio quando premi genera, con i tuoi campi (SSID, password, ecc.) nel payload: i tuoi dati viaggiano al server. Lato server. ❌ per dati sensibili
• Se la risposta è l'immagine del QR (PNG o SVG) generata dal backend: conferma che il server sta costruendo il codice.

Controlla anche se la pagina carica Google Analytics, Meta Pixel o altri script di tracker (vedrai richieste a google-analytics.com, googletagmanager.com, connect.facebook.net, ecc.).

Segnali di allarme evidenti

Senza DevTools, alcuni indicatori rapidi:

• Richiedono registrazione o account per generare un QR di base.
• Hanno un piano "PRO" con tracking dettagliato delle scansioni: se è il loro business model, il tracking è nel DNA del prodotto.
• Il QR scaricato ha il loro URL invece del tuo (qr.xx/abc123 invece di tuodominio.it): è un QR dinamico, tracciato automaticamente.
• L'informativa privacy menziona condivisione dati con terzi, partner marketing o uso pubblicitario.
• Non pubblicano il codice sorgente e lo strumento è gratis senza un business model chiaro: qualcuno sta pagando, di solito con i tuoi dati.

Come verificare che un generatore sia lato client

Checklist rapida:

• Funziona offline: disconnetti il WiFi, ricarica la pagina e prova a generare. Se funziona, è lato client. Se non carica o non ti fa generare, dipende dal server.
• Nessuna richiesta di rete durante la generazione (verificabile con DevTools come sopra).
• Nessun account richiesto, nessuna email.
• Il codice sorgente è ispezionabile (open source o JavaScript non offuscato).
• La destinazione del QR è esattamente quella che digiti, non un URL breve del fornitore.

Se tutte e cinque valgono, il generatore non può tracciare te né chi scansiona il codice.

Perché conta di più per WiFi, vCard e pagamenti

Per un URL pubblico (il sito della tua attività, un PDF pubblico), il fatto che il generatore "veda" il tuo URL non aggiunge rischio: sarebbe stato pubblico comunque.

Ma ci sono tre tipi di QR dove il tracking è critico:

• WiFi: la password della tua rete. Se viaggia al server del fornitore, esce dal tuo controllo.
• vCard: telefono, email, indirizzo personali. Dati personali coperti dal GDPR.
• Pagamenti / Bitcoin: wallet, IBAN, dati bancari. Il livello di sensibilità più alto.

Per questi casi, usare un generatore lato client non è paranoia — è igiene di base.

Open source vs proprietario

Il fatto che un generatore sia open source non garantisce di per sé più privacy, ma ti permette di:

• Auditare il codice e verificare che non ci sia tracking nascosto.
• Confermare la logica lato client senza fidarti della parola del fornitore.
• Auto-ospitarlo se vuoi il controllo totale.

Un generatore proprietario può essere altrettanto privato, ma richiede fidarsi di quello che dichiara il fornitore. Senza codice auditabile, non c'è modo di verificare.

In pratica: open source + nessun account + nessuna rete durante la generazione = lo standard di privacy più alto ragionevolmente possibile.

Conclusione

Quasi tutti i generatori di QR online elaborano i tuoi dati sul loro server. Va bene per un URL pubblico, ma è rischioso per WiFi, vCard o pagamenti. Per verificarlo in 30 secondi, apri DevTools, vai su Network e controlla se il browser invia richieste quando generi il QR. Se non ne invia, è lato client e il tuo contenuto non lascia mai il dispositivo.

QRcito genera ogni QR interamente nel tuo browser, senza account, senza rete durante la generazione e senza tracker di terze parti. Puoi verificarlo aprendo DevTools prima di premere genera.

FAQ

Cosa significa "lato client" in un generatore di QR? Che il JavaScript che costruisce l'immagine del QR gira nel tuo browser. I dati inseriti non vengono mai inviati ad alcun server. La generazione è locale, istantanea e funziona offline.

È legale per un generatore di QR conservare i miei dati? Se la loro informativa privacy lo dichiara e tu l'accetti, sì. Il problema è che molte informative sono vaghe o non coprono i dati specifici del QR. In dubbio, assumi che conservino qualcosa e scegli un altro strumento se i tuoi dati sono sensibili.

Un QR statico può tracciare chi lo scansiona? No. Un QR statico non passa da alcun server: l'informazione va direttamente dal codice al lettore. Solo i QR dinamici (con un URL di redirect intermedio) possono tracciare le scansioni.

Come si applica il GDPR ai generatori di QR? Se inserisci dati personali (nome, email, telefono in una vCard) in uno strumento lato server con sede UE o che serve utenti europei, il fornitore è responsabile del trattamento ai sensi del GDPR. Per minimizzare rischio e obblighi, la strada semplice è usare generatori lato client.

Perché QRcito può offrire tutto gratis senza tracking? Perché generare QR code è un processo leggero che non richiede infrastruttura costosa. Essere lato client significa nessun costo server per utente; senza tracking o account, non c'è prodotto da vendere. Il sito gira a costo molto basso, senza bisogno di monetizzare gli utenti.