What's actually inside a boarding-pass barcode?

Per IATA Resolution 792, every boarding pass barcode encodes the passenger's full name (20 chars), the operating carrier's booking reference (PNR, 7 chars), departure airport (3 chars), arrival airport (3 chars), carrier code, flight number, Julian day of the flight, compartment class, seat number, check-in sequence number, and passenger status. Frequent-flyer numbers and additional itinerary segments are included in the conditional section.

Why is it risky to post my boarding pass online?

The combination of your full name plus the 7-character PNR is enough to log into the airline's 'Manage my booking' flow on most carriers. From there, an attacker can change your seat, redirect your frequent-flyer mileage, see your other upcoming trips, see your contact details, and build a targeted phishing email that name-drops your real itinerary. Several documented incidents involve passengers losing miles or having identity-theft attempts after posting boarding-pass photos to social media.

What symbology does my boarding pass use?

Most carriers worldwide use a 2-D QR or Aztec code. Some European carriers (Eurostar, SBB) use Aztec. A handful still issue PDF417 boarding passes. The content format is the same, IATA Resolution 792's fixed-width text, only the visual encoding differs.

Can my boarding pass be scanned by someone walking past me at the gate?

Yes. Phone cameras can decode the barcode from several feet away in good lighting. Anyone behind you in the boarding line who points their phone at your screen captures the same data the gate scanner reads. Cover the barcode with your hand or angle the screen toward your body until the gate agent is ready to scan it.

Standards · Carte d’embarquement à code-barres IATA

Que contient le code-barres d’une carte d’embarquement ?

Presque tout ce qu’une compagnie aérienne sait de votre trajet. Le code-barres 2D (QR, Aztec, PDF417) sur votre carte d’embarquement encode votre nom, le PNR, le vol, le siège, la classe et des données optionnelles de la compagnie. Voici la décomposition de chaque champ.

Vérifiez votre carte d’embarquement → Tous les standards →

Quel est le format

The standard is IATA Resolution 792, maintained by the International Air Transport Association as part of the Passenger Services Conference Recommended Practices. It defines a fixed-width text encoding that fits inside a 2-D barcode and contains everything the gate agent's scanner needs to confirm your booking.

Le support est flexible en termes de symbologie ; la plupart des transporteurs utilisent aujourd’hui des QR codes, les aéroports européens utilisent souvent le PDF417.

La partie obligatoire de chaque carte d’embarquement fait exactement 60 caractères : un en-tête de 2 caractères, 20 caractères pour le nom, et 37 caractères par segment.

La disposition complète des champs

En-tête (2 caractères)

Code de format « M » + nombre de segments (1–4). Un billet aller-simple a 1 segment ; un vol avec escale en a 2. Ces 2 octets permettent au scanner de savoir combien de blocs par segment il doit lire.

Nom du passager (20 caractères)

« NOM/PRÉNOM », justifié à gauche, complété par des espaces. Les noms longs sont tronqués à 20 caractères, ce qui peut poser un problème lors de la correspondance de noms pour la vérification d’identité.

Indicateur de billet électronique (1 caractère)

« E » pour un billet électronique (toutes les cartes modernes) ou « » pour un billet papier (pratiquement disparu, mais le champ est toujours présent).

Par segment (37 caractères chacun)

PNR / référence de réservation (7 caractères), la référence de votre billet.
Aéroports de départ / arrivée (3 caractères chacun), codes IATA à trois lettres.
Transporteur (3 caractères, justifié à gauche), code IATA de la compagnie opératrice.
Numéro de vol (5 caractères, complété de zéros).
Date du vol (3 caractères), jour julien de l’année (ex. : « 250 » = 250e jour).
Compartiment (1 caractère), Y / W / J / F / etc. (classe de réservation).
Siège (4 caractères, complété de zéros).
Numéro de séquence (5 caractères, complété de zéros), votre ordre d’enregistrement.
Statut passager (1 caractère), 1 = bagages requis, 2 = accès salon, 3 = standby, etc.
Longueur conditionnelle (2 caractères hex), octets de données conditionnelles après l’en-tête de segment.

Section conditionnelle (variable)

Après chaque segment, une section optionnelle contenant les données spécifiques à la compagnie aérienne : numéro de fidélité, code de base tarifaire, franchise bagages, données de sécurité propres à la compagnie, et quelques champs moins courants. Le numéro de fidélité est l'élément le plus sensible : c'est un identifiant durable qui relie chaque vol que vous avez effectué à un seul compte.

Section de sécurité (variable, optionnelle)

Certains transporteurs ajoutent une signature pour que la carte puisse être vérifiée hors ligne à la porte d’embarquement. Le contenu varie ; notre scanner indique la présence ou l’absence de la section.

Pourquoi publier une photo de sa carte d’embarquement est risqué

La combinaison nom du passager + PNR (la référence de réservation à 7 caractères) suffit sur la plupart des sites de compagnies aériennes pour qu’un attaquant puisse :

Modifier votre attribution de siège, ou vous retirer du vol.
Annuler une surclasse gratuite ou vous retirer de la liste d’attente.
Consulter vos coordonnées, notamment le téléphone et l’e-mail associés à la réservation.
Redébiter vos miles Frequent Flyer (sur certaines compagnies, avec des étapes supplémentaires).
Voir vos autres réservations sur la même compagnie (sur certaines compagnies).
Construire un e-mail de phishing ciblé, « Bonjour [votre nom], votre vol United 123 SFO → JFK est annulé… »

Plusieurs compagnies ont répondu à des incidents passés en ajoutant une vérification multi-facteur pour certaines actions, mais la protection reste variable selon les transporteurs.

L’attaque de redébit de miles a été documentée à plusieurs reprises. Les passagers qui publient des photos de cartes d’embarquement sur les réseaux sociaux sont les cibles les plus fréquentes.

Ce que notre scanner affiche, et comment le PNR est masqué

Visible par défaut

Nom du passager (prénom nom), code transporteur + numéro de vol (sans zéros, ex. : « AA123 »), aéroports de départ et d’arrivée, siège, date du vol, classe de réservation, et indicateur de billet électronique.

Sensible (appuyer pour révéler)

Le PNR est masqué derrière le même composant « appuyer pour révéler » que nous utilisons pour les mots de passe et les clés API. Il n’est pas transmis à des tiers.

Vérifier votre propre carte d’embarquement

Trois raisons légitimes pour lesquelles on scanne sa propre carte :

Confirmer que les données sont correctes après une réémission. Les compagnies réémettent parfois des cartes avec un siège différent, et le code-barres n’est pas toujours mis à jour en même temps.
Vérifier la surclasse ou le statut que l’agent à la porte vous a communiqué en scannant vous-même le code-barres.
Récupérer un PNR égaré quand vous n’avez plus accès à la confirmation de réservation.

Le scanner s’exécute dans votre navigateur ; seul le texte décodé parvient à notre serveur (pas l’image). Le PNR est masqué par défaut dans le verdict.

Connexe

Essayez sur votre carte d’embarquement

Photographiez le code-barres (ou utilisez la caméra sur la page du scanner) et déposez-le. Le verdict affiche chaque champ décodé, avec le PNR masqué par défaut.

Ouvrir le scanner →