كود QR هو حاوية. ما بداخله يمكن أن يكون دفع، سجل التطعيم، رخصة قيادة، إيمس إلكترونية، تسجيل دخول باستخدام مفتاح، توصيل منزل ذكي، كلها مُحكَّمة بمعايير دولية، مع نموذج تهديد خاص. هذا هو المرجع الرسمي لكل معيار يتم اكتشافه من قبلك، وما بداخله عند مسحه، وما نعرضه بدقة مقابل ما نُخفيه.
كل QR الذي قمت بمسحه للدفع لبائع في السنوات الخمس الأخيرة يعمل على تغليف TLV من EMVCo، لكن محتواه محدد بالدولة. نحدد النظام المحدد، نفكّر الحقول الخاصة بالبائع التي تحتاج التحقق منها قبل الدفع، ونتحقق من مجموع التحقق الذي لا يمكن تزويره من قبل هجوم استبدال الملصقات.
EMVCo MPM / CPM 💳
المعيار الأساسي لكل دفع QR عبر الهاتف المحمول عالميًا. تُستخدم تُرقيم Tag-Length-Value لنقل اسم المERCHANT، المدينة، الدولة، العملة، المبلغ، معلومات حساب المُستلم، وchecksum CRC-16/CCITT-FALSE.
نعرض: اسم المERCHANT، المدينة، الدولة، العملة ISO 4217 (قائمة كاملة، 169 رمز)، فئة MCC، المبلغ، ديناميكي مقابل ثابت، مؤشر чаقة، مجالات فرعية إضافية (مُسمّى المرجع، رقم الفاتورة، مُسمّى العميل، مُسمّى المُعدّل، الغرض).
درجة الخطر: CRC غير صحيح → مشبوه (تم تغيير أو تدمير الـ QR، وهو الإشارة الأكثر موثوقية في تبادل الملصقات).
نظام الدفع الفوري من البنك المركزي البرازيلي. قيادي عالمي بحجم المعاملات. نوعان: ثابت (QR يمكنك إعادة استخدامه) وдинاميكي (QR وحيد يحتوي على معرّف المعاملة المدمج).
ISO 20022 SPC v2.2، ليس EMVCo. يحلّ محل فاتورة الدفع السويسرية الحمراء/البُرتقالية. 33 مجالاً مفصلاً يغطي المالك، المالك النهائي، الدائن النهائي، نوع المرجع (QRR / SCOR / NON)، معلومات الفاتورة، وإجراءات بديلة.
نحن نعرض: رقم IBAN المالك، عنوان المالك الكامل، الدائن النهائي، المبلغ، العملة، نوع المرجع المُصيغ، المرجع المُهيكل، الرسالة غير المهيكلة، ورابط إجراء بديل لـ eBill.
إذن ضريبي مُوقَّع رقميًا، إلزامي في كل معاملة تجارية في المملكة. مُرمَّز بتنسيق TLV مع خمسة علامات مطلوبة (المُباع، رقم التسجيل الضريبي، توقيت، المبلغ الإجمالي، مبلغ الضريبة) بالإضافة إلى توقيع ECDSA.
نعرض: اسم البائع، رقم تسجيل الضريبة، توقيت ISO 8601، المبلغ الإجمالي للفاتورة، مبلغ الضريبة.
وغيرها الكثير: نحدد مخططات الدفع الوطنية لـ 54 دولة، PromptPay (تايلاند)، PayNow (سنغافورة)، DuitNow (ماليزيا)، QRIS (إندونيسيا)، Bizum (إسبانيا)، Swish (السويد)، MB WAY (البرتغال)، BLIK (البولندي)، Wero (الاتحاد الأوروبي)، وعشرات أخرى مغطاة في قاعدة المُحلّل.
شهادات الصحة
شهادات التطعيم، الوصفات الطبية، نتائج المختبرات، وشهادات السفر. مُوقعة رقميًا من قبل سلطات الصحة الوطنية. نحدد الشهادة ونعرض المُصدر + نوعها، لكننا نرفض بوعي تشفير اسم المريض، تاريخ الولادة، أو التاريخ الطبي. تطبيق محفظتك هو المكان الصحيح لعرض هذه البيانات.
SMART Health Cards 🩺
الرمز المكون من أرقام يخفيه JWS ويدل على ملف JSON مضغوط بتنسيق DEFLATE مع موارد FHIR. يستخدمه محفظة آبل، الشبكة الموثوقة المشتركة، الولايات الأمريكية، المقاطعات الكندية، وعدد من سلاسل الصيدليات لتسجيلات التطعيم والتحاليل المختبرية.
نحن نعرض: عنوان الموقع، توقيت ISO للنشر، نوع الشهادة (كوفيد19 / التطعيم / المختبر / إلخ)، إصدار FHIR، عدد الموارد + أنواعها.
نحن لا نفكّد: اسم المريض، تاريخ الميلاد، وتاريخ التطعيم/الاختبار، وبدانات موارد FHIR الفردية. مغلق للتجربة في مجموعتنا المُحلّلة.
EU Digital COVID Certificate (HC1) 🇪🇺
HC1: يبدأ بمفتاح يشفر سلسلة من base45 → DEFLATE → COSE_Sign1 → CBOR → CWT تنتهي ببيانات HCERT المعروفة في الاتحاد الأوروبي. لا يزال مستخدمًا في بعض الدول الأعضاء لوثائق السفر غير المرتبطة بوباء كوفيد-19 بعد انتهاء الأزمة.
نحن نعرض: دولة المُصدر (ISO 3166-1)، توقيت المُصدر (issued-not-before)، توقيت الانتهاء، إصدار المخطط، نوع الشهادة (التطعيم / الاختبار / التعافي)، المرض المستهدف (SNOMED-CT، “كوفيد-19” معروض، وليس الكود 840539006)، دولة التطعيم / الاختبار، منظمة المُصدر، عدد الجرع / الجرعات الإجمالية، نوع الاختبار، نتيجة الاختبار.
نحن لا نفك: اسم المريض، تاريخ الولادة، تواريخ التطعيم، رقم الشهادة الفريدة (UVCI). محدود بالاختبار.
وثائق الهوية
رخص القيادة، الهويات المحمولة، ومحفظات الهوية الرقمية. الشريط الشريطي على ظهر رخصة قيادة في الولايات المتحدة يحتوي على كل الحقول الموجودة على الوجهة. يُرسل رابط QR لرخصة القيادة المحمولة إشارة اتصال لاتصال المُستَلم عبر NFC / BLE لقراءة البيانات.
AAMVA driver license 🪪
الرمز الشرياني PDF417 الموجود في الخلف من رخص القيادة لكل أمريكي وكندي. تنسيق عنصر الفرع (subfile-element) وفقًا للملاحق D.12.5 من معيار تصميم بطاقة AAMVA.
نعرض (~17 حقل): الاسم الأول/الوسطى/الأخير، تاريخ الميلاد المُشفر بتنسيق ISO، الجنس، الطول، لون العينين، رقم الرخصة (مُخفي)، فئة الرخصة، القيود، التصاريح، تاريخ الانتهاء، تاريخ الإصدار، العنوان الكامل، الدولة، رمز المُبرِّي للحاجز، رمز المحاربين، الحد الأدنى للعمر أقل من 21.
مُستشعر بشكل افتراضي: رقم الرخصة + تاريخ الميلاد يتم عرضه كحقول مُخفيّة عند الاتصال، بحيث لا يصبح التقاط صورة للرخصة مصدرًا لتسريب الهوية. تحذير الخصوصية يشير إلى أن الأماكن التي تُسْكَن فيها (المطاعم والبارات) تُستلم جميع البيانات، وليس فقط العمر.
الmdoc: QR لرخصة القيادة المحمولة الخاصة بـ iOS / Android تظهر عند تقديمها لمرءِّي. CBOR DeviceEngagement مع منشئ مُعدّل، مفتاح العمومي المؤقت للمسنّد، وقائمة طرق الاتصال التي يمكن لمرءِّي استخدامها للاتصال.
نعرض: نسخة البروتوكول، منشئ المفتاح (P-256 ECDH-ES + A256KW هو المطلوب اليوم)، طرق الاتصال المدعومة (NFC / BLE / Wi-Fi Aware)، اسم المضيف (عند وجوده).
لا نفكّر: مفتاح العمومي المؤقت للمسنّد (نعرض فقط طوله). تمرّ معلومات mDL الفعلية عبر القناة المتفق عليها بعد اتصال المرءِّي، ولا عبر هذا المسح.
المُعرفات المُوزعة، did:web، did:key، did:ion، did:ebsi، وغيرها من الأساليب.
نعرض: طريقة DID، مُعرّف خاص بالطريقة، مُعلمة الخدمة، مرجع نسبي، قطعة التحقق.
التحقق من الهوية وключи المرور
ممرات تسجيل الدخول عبر QR التي تحمي (أو تُهدد) كل الحسابات التي تمتلكها. نُحدد كل نوع ونُحذّر بصوت عالٍ عندما يطلب QR إكمال تسجيل دخول شخص آخر بدلًا من تسجيلك الخاص.
FIDO CTAP 2.2 hybrid 🗝️
QR مفتاح المرور عبر الأجهزة الذي يُعرضه جهازك عند تسجيل الدخول باستخدام مفتاح المرور من هاتفك. خريطة CBOR مُشفّرة بالأساس10 مع مفتاح عام الشريك، سر QR، إشارة العملية، مجال خادم الأنبوب، الوقت، وعلامة مساعدة الحالة.
نحن نعرض: التشغيل (make-credential / get-assertion / discoverable)، مجال الخادم الأنابيب (مثل cable.ua5v.com)، توقيت ISO، يدعم مساعدة الحالة، طول مفتاح pubkey، طول سر QR.
تحذير صارم: مسح هذا QR يكمل تسجيل الدخول الذي بدأه شخص آخر على جهاز مختلف. إذا لم تبدأ تسجيل الدخول باستخدام مفتاح المرور بنفسك، رفض، فستكون توقع شخص أنشأ هذا QR لحسابك.
QRs لطلب كلمة المرور المؤقتة (OTP) وفقاً لـ RFC 4226 / RFC 6238. URI otpauth:// الذي يظهره بنكك أو تطبيق العمل عند تسجيل مصادقة.
نحن نعرض: المُصدر، الحساب، الخوارزمية (SHA1 / SHA256 / SHA512)، الأرقام (6 / 8)، الفترة (TOTP) أو العدّ (HOTP)، ورابط رمز المُصدر.
مُحاط بحماية افتراضية: السر Base32 يعرض كـ 'اضغط لرؤية'. نتحقق أيضًا من السر Base32 ونُذّير بصوت عالٍ عند وجود خطأ، وتطبيقات المصادقة تقبل أسرار غير صحيحة بصمتٍ ثم تُنتج رموزًا لا تُتحقق.
QR لتصدير كتلة Google Authenticator. يحمل كل سر المصادقة الثنائية في المُصادقة، مجموعة protobuf مع N مدخلات OtpParameters.
نعرض (إذًا كل مدخل): المُصدر، الحساب، نوع (HOTP / TOTP)، خوارزمية، أرقام، مؤشر، بالإضافة إلى نسخة / بيانات المجموعة. تُسرد الكشف "المنح في هذه الحزمة: ACME / alice@acme؛ GitHub / bob@github؛ ..." بحيث يمكن للمستخدم الذي هو في منتصف المُغادرة أن يُراجِع قبل الاستيراد.
لا نفكّر: بايتات البذرة السرية الفعلية. يُتحقق بواسطة نصوص مراقبة لا يجب أن تظهر أبدًا في أي نتيجة.
تحذير صارم: فئة التهديد هي من المحتمل أنها خطيرة إلا إذا كان المستخدم في حقيقة الأمر منتصف الانتقال بين أجهزته الخاصة.
الرسالة النصية البسيطة التي توقعها محفظتك لتأكيد سيطرتك على عنوان محفظة معين لموقع.
نحن نعرض: اسم النطاق، عنوان المحفظة، رقم سلسلة البلوكشين، القيمة العشوائية، ووقت الانتهاء.
تحذير: قراءة الموقع والبيان بعناية، يمكن ل Sit malicious استخدام رسالة SIWE الموقعة لخداعك على ذلك النطاق.
السفر و التذاكر
IATA boarding pass (Resolution 792) ✈️
الرمز الشرياني QR / Aztec / PDF417 على تذاكر السفر الجوي. عرض رأس ثابت (60 حرف) بالإضافة إلى بيانات ملزمة بطول 37 حرف لكل قطعة.
نعرض (بالقطع): كود الناقل + رقم الرحلة (بدون صفر)، المسار (من → إلى)، التاريخ (اليوم Julian → التاريخ المعياري مع تقدم السنة تلقائيًا)، المقعد، فئة المقصورة، رقم التسلسل، الحالة (السفر / الوصول إلى المكتب / تجاوز الأمن / إلخ). تذاكر متعددة القطع تحصل على مسبوقات صفوف لكل قطعة.
مُستشعر بشكل افتراضي: رمز الحجز / مرجع الحجز يتم عرضه كحقول مُخفيّة، الاسم الكامل بالإضافة إلى رمز الحجز كافي لوصول المعلومة على أغلب مواقع الشركات الجوية. لا تنشر صور تذاكر السفر علنًا.
The QR you scan to install a phone plan. Format: LPA:1$<SM-DP+>$<AC-Token>[$<SM-DP+ OID>][$<CC required>].
نعرض: SM-DP+ FQDN (خادم المُزود الذي سيتحدث مع هاتفك)، كود التفعيل، علامة تفعيل الكود.
تحذير: يمكن للملف المُثبت eSIM اعتراض رسائل SMS، بما في ذلك كُودات 2FA عبر SMS. تحقق من توافق SM-DP+ مع مزودك الحقيقي (Airalo، Saily، Truphone، Google Fi، إلخ) مع قائمة المسموح بها قبل التثبيت.
رمز مُضغوط ثنائي من نوع MT:-prefixed من الجمعية العالمية للمعايير. توصيل منزل ذكي بين مصنعين، يعمل في أبل هوم، جوجل هوم، أمازون أليكسا، سامسونج سمارت ثينجز.
نعرض: رقم المصنّع، رقم المنتج، مميز، كلمة مرور إعداد 8 أرقام (مُخفي)، عملية التثبيت، أعلام قدرات الاكتشاف (Soft-AP / BLE / الشبكة IP الموجودة)، نسخة المواصفة.
رابط إعداد ملحق HAP من شركة أبل. يعود تاريخه إلى قبل Matter؛ لا يزال مُوزَّعًا على العديد من الأجهزة التي لا تدعم Matter بعد.
Wi-Fi Easy Connect (DPP) 📡
بروتوكول تعيين الجهاز من قبل اتحاد Wi-Fi، وهو الاستبدال الحديث لـ WPS. يستخدم في موجهات عام 2025 لتسجيل الجهاز عبر QR.
Bluetooth Auracast (BAU v1.0) 🎧
نظام QR من Bluetooth SIG للاذاعة عبر LE Audio. يُحدد UUID الخدمة 184F كـ Auracast، نعرض اسم البث (تم فك تشفيره باستخدام base64) وحالة التشفير.
العملات المشفرة وتقنية Lightning
Bitcoin (BIP-21) ₿
الURI القياسي لدفع البيتكوين. نعرض العنوان، المبلغ (مع وحدة BTC/sat)، التسمية، الرسالة، نقطة نهاية PayJoin (pj=)، URL طلب الدفع (r=) وعلميات الطلب (req-*)، ونقطة نهاية Lightning الاحتياطية.
Ethereum (EIP-681) ⟠
URI طلب دفع Ethereum مع اختيار السلسلة. نفكّر بين المستلم والعقد، ID السلسلة مع اسم إنساني (Ethereum mainnet، Optimism، Polygon، Base، Arbitrum، BNB Chain، Gnosis، Avalanche، Sepolia)، القيمة (wei → ETH/Gwei بصيغة جميلة)، اسم دالة الطلب، وحُجّة نقل ERC-20.
تحذير: دعوة العقد ليست نفس إرسال بسيط، يعتمد المُنهالون على عدم لاحظة الفرق من المستخدمين.
WalletConnect (ERC-1328) 🔗
URI المُزود بـ dApp↔wallet. نعرض الإصدار (v2 هو الحالي؛ v1 هو منتهي الصلاحية وضعيف)، الموضوع، بروتوكول النقل، مفتاح الجلسة المتماثل (مُخفي-مُستشعر).
Solana Pay ◎
URI طلب نقل Solana Foundation. نعرض المستفيد، المبلغ، مintage تطبيق SPL، العلامة، المرجع، الرسالة، والرسالة الإضافية.
Lightning Network (BOLT-12, LNURL) ⚡
عرض BOLT-12 (lno1…) هو طلبات دفع لينيتنغ قابلة لإعادة الاستخدام. LNURL (lnurl1…) تشفّر نقطة النهاية HTTPS بتنسيق bech32 بحيث يُطلب من محفظتك لجلب فاتورة، سحب، فتح قناة، أو التحقق.
Cashu ecash 🪙
تذكرة مالية مُستندية. تختلف عن كل شكل آخر من العملات المشفرة لأن الرمز الشرياني هو المال نفسه، أي شخص يمكنه الإنفاق بمجرد التقاطه.
مُستشعر بشكل افتراضي: السلسلة المُخفيّة؛ تحذير النتيجة يُحذّر بصوت عالٍ أن الرمز الشرياني يحتوي على قيمة غير مُنفَّذة.
nsec سري: مفتاح خاص Nostr في QR يعني أن هوية الممسّد تم التقاطها. نشير إليه كتسريب مُؤسّس.
الصناعي والتنظيمي
GS1 Digital Link 📦
المعيار الذي سيحل محل الشفرات الخطية لمنتجات المستهلك. تُشفّر مفاتيح التطبيق في مسار الرابط (URL) تُشفّر GTIN، رقم المجموعة / المجموعة، تاريخ الإنتاج / الصلاحية، الرقم التسلسلي، وغيرها.
نحن نعرض: GTIN (01)، مجموعة / رقم المجموعة (10)، تاريخ الإنتاج (11)، تاريخ الصلاحية (15)، تاريخ انتهاء الصلاحية (17)، رقم تسلسلي (21)، ومؤشرات إضافية (AIs) باسم الحقول.
تُجبر قوانين الاتحاد الأوروبي كل منتج تجاري على حمل وثيقة رقمية (الاستدامة، الأصل، معلومات الإصلاح) بدءًا من عام 2027. تُبنى هذه الوثيقة على روابط GS1 Digital Link التي تُحلل إلى صفحات وثيقة المنتج.
تُفكّر الـ QR نفسها اليوم عبر مُحلّل روابط GS1 Digital Link؛ والمضمون الذي تُنشره الوثيقة خارج رابط URL يتم نشره من قبل كل مُصنّع.
ملف إعدادات WireGuard VPN بتنسيق INI. نعرض عنوان واجهة، DNS، cổng nghe، نقطة النهاية، IP المسموح بها، مُدة البقاء المستمرة، عدد إضافي للزملاء.
مُعَرَّفَة كمُحَسَّسَة من الأساس: مفتاح واجهة الخاصة ومسح مفتاح التوزيع تظهر عند النقر. تحذير عند مُسموح بها IP هو 0.0.0.0/0 (الاتصال الكامل، كل بايت من حركة المرور عبر خادم شخص آخر).
شهادات X.509 مُطَوَّرة بتنسيق PEM وسلسلة JWT صريحة. نمشي بتنسيق DER للشهادة لاستخراج CN/O المُستلم، CN المُصدر، NotBefore/NotAfter، وطول مفتاح المفتاح العام. نُشير إلى شهادات منتهية الصلاحية.
سرية JWT: نعرض alg + typ من العلامة لكن نحن لا نفك أدعاءات جسم JWT أبدًا، قد تحتوي على أسماء الحسابات أو نطاقات الوصول أو أسرار أخرى لا تندرج تحت نتائج المسح.
PGP key block 🔑
كتلة مفتوحة OpenPGP للключ العام / الخاص. نعرض التنسيق فقط، مواد المفتاح مُخفي. كتل المفتاح الخاص تحصل على تحذير "لا تشارك هذا QR".
رمزياتنا المفكّدة (الرمز البصري نفسه)
الرمزية هي *الحاوية*، الشكل الذي تتكون منه النقاط والمربعات. المعايير أعلاه هي *المحتوى*، ما بداخله. ماسحنا يقرأ كل رمزية مفتوحة القياس ويُمرّر النص المفكّد إلى المُحلّل المناسب أعلاه.
QR Code (ISO/IEC 18004) ⬛
النموذج 1 (الموافق لعام 1994)، النموذج 2 (المعيار العالمي الحالي)، QR الصغير (المكونات الصغيرة)، وQR الصغير المستطيل (rMQR، ISO/IEC 23941:2022، الملصقات الضيقة مثل أنابيب الاختبار).
Aztec Code (ISO/IEC 24778) ▣
رمز المصفوفة المستخدم على خطوط Eurostar وSBB وغالبًا على تذاكر السفر في أوروبا.
رمز مصفوفة كثيف الصيغة الصغيرة. يُستخدم من قبل GS1 التجزئة، DSCSA الصيدلة، MIL-STD-130 الدفاعي، ATA Spec 2000 الطيران، وISBT 128 تسمية المنتجات الدموية.
EAN-13، EAN-8، UPC-A، UPC-E، Code 128، Code 39، Code 93، Codabar، ITF، الرموز الشريطية الخطية التي تراها في كل مكتب التسوق وعلي كل طابع الشحن.
لماذا هذا مهم
سلامة QR لا تعود إلى سلامة رابطه، بل إلى سلامة المعيار الذي يحدد ما داخله. QR الدفع خطير لأن شخص ما استبدل اللافتة؛ QR مفتاح الدخول خطير لأن شخص ما يريد الدخول بصفتك؛ QR سجل التطعيم خطير بسبب من يحمل الماسح الذي يقرأه. نُل كل واحد بشكل منفصل، ضد نموذج التهديد الخاص به، باستخدام فك الشفرة على مستوى الحقول بدلًا من التخمين.
كل مُحلِّل أعلاه مفتوح عن ما يعرضه وما يخفيه عمدًا، بحيث يمكنك التحقق من ادعاءاته بقراءة نتيجة القضاء، وليس بالاعتماد على علبة سوداء.