What's actually inside a boarding-pass barcode?

Per IATA Resolution 792, every boarding pass barcode encodes the passenger's full name (20 chars), the operating carrier's booking reference (PNR, 7 chars), departure airport (3 chars), arrival airport (3 chars), carrier code, flight number, Julian day of the flight, compartment class, seat number, check-in sequence number, and passenger status. Frequent-flyer numbers and additional itinerary segments are included in the conditional section.

Why is it risky to post my boarding pass online?

The combination of your full name plus the 7-character PNR is enough to log into the airline's 'Manage my booking' flow on most carriers. From there, an attacker can change your seat, redirect your frequent-flyer mileage, see your other upcoming trips, see your contact details, and build a targeted phishing email that name-drops your real itinerary. Several documented incidents involve passengers losing miles or having identity-theft attempts after posting boarding-pass photos to social media.

What symbology does my boarding pass use?

Most carriers worldwide use a 2-D QR or Aztec code. Some European carriers (Eurostar, SBB) use Aztec. A handful still issue PDF417 boarding passes. The content format is the same, IATA Resolution 792's fixed-width text, only the visual encoding differs.

Can my boarding pass be scanned by someone walking past me at the gate?

Yes. Phone cameras can decode the barcode from several feet away in good lighting. Anyone behind you in the boarding line who points their phone at your screen captures the same data the gate scanner reads. Cover the barcode with your hand or angle the screen toward your body until the gate agent is ready to scan it.

Padrões · Cartão de Embarque com Código de Barras IATA

O que está codificado no código de barras de um cartão de embarque?

Quase tudo que uma companhia aérea sabe sobre sua viagem. O código de barras 2D (QR, Aztec ou PDF417) do seu cartão de embarque contém seu nome completo, a referência de reserva de seis ou sete caracteres, a companhia e número do voo, rota, data de partida, assento, classe, sequência de check-in e qualquer número de passageiro frequente cadastrado. Juntos, seu nome e essa referência de reserva são suficientes para acessar o site da companhia e sua reserva — por isso uma foto de um cartão de embarque postada publicamente é um risco real de segurança.

Verificar seu cartão de embarque → Todos os padrões →

Qual é o formato

The standard is IATA Resolution 792, maintained by the International Air Transport Association as part of the Passenger Services Conference Recommended Practices. It defines a fixed-width text encoding that fits inside a 2-D barcode and contains everything the gate agent's scanner needs to confirm your booking.

O contêiner é flexível em simbologia — a maioria das companhias usa QR codes hoje, ferrovias de alta velocidade europeias e a SBB usam Aztec, e algumas companhias legadas ainda emitem PDF417. O TEXTO codificado é idêntico nas três; apenas a codificação visual difere. Nosso scanner lê as três simbologias e aplica o mesmo decodificador ao texto resultante.

A parte obrigatória de todo cartão de embarque tem exatamente 60 caracteres: um cabeçalho de 2 caracteres (código de formato "M" + contagem de segmentos), seguido de 20 caracteres do nome do passageiro, 1 caractere de indicador de bilhete eletrônico e 37 caracteres de dados do segmento. Conexões multissegmento acrescentam mais 37 caracteres por segmento. A seção condicional (após os 60 obrigatórios) normalmente traz o número de passageiro frequente, base tarifária, origem do check-in (web / quiosque / agente) e quaisquer dados de segurança incluídos pela companhia.

O layout completo dos campos

Cabeçalho (2 caracteres)

Código de formato "M" + número de segmentos (1-4). Um bilhete multissegmento, por ex. GRU → JFK → LHR, tem contagem de segmentos 2 e carrega dois registros de segmento consecutivos.

Nome do passageiro (20 caracteres)

"SOBRENOME/NOME" alinhado à esquerda, preenchido com espaços. Nomes longos são truncados; o nome exibido no passe é sempre a fonte de verdade.

Indicador de bilhete eletrônico (1 caractere)

"E" para bilhete eletrônico (todos os passes modernos) ou " " para bilhete em papel (praticamente nunca visto).

Por segmento (37 caracteres cada)

PNR / localizador de reserva (7 caracteres), a referência de reserva.
Aeroportos de origem / destino (3 caracteres cada), códigos IATA de três letras.
Companhia aérea (3 caracteres, alinhado à esquerda), código IATA da operadora.
Número do voo (5 caracteres, preenchido com zeros).
Data do voo (3 caracteres), dia Juliano do ano (ex.: "250" = dia 250 = 7 de setembro).
Compartimento (1 caractere), Y / W / J / F / etc. (classe de reserva).
Assento (4 caracteres, preenchido com zeros).
Número de sequência (5 caracteres, preenchido com zeros), sua ordem de check-in.
Status do passageiro (1 caractere), 1=bagagem obrigatória, 2=acesso ao lounge, 3=passagem pela segurança, F=embarcado, G=check-in no portão, etc.
Comprimento condicional (2 caracteres hexadecimais), bytes de dados condicionais após este segmento.

Seção condicional (variável)

Após cada segmento, uma seção opcional com dados extras da companhia aérea: número de passageiro frequente, código de tarifa, franquia de bagagem, dados de segurança da companhia e alguns campos menos comuns. O número de passageiro frequente é o item mais sensível — é um identificador duradouro que vincula todos os voos realizados a uma única conta.

Seção de segurança (variável, opcional)

Algumas companhias incluem uma assinatura para que o passe possa ser verificado offline na portão. Poucas aplicam isso. A presença da assinatura não altera o conteúdo do corpo.

Por que postar uma foto do cartão de embarque é arriscado

A combinação de nome do passageiro + PNR (a referência de reserva de 7 caracteres) funciona como uma senha na maioria das companhias aéreas. As consultas em "Gerenciar minha reserva" aceitam esses dois campos como prova de identidade. Com eles, um atacante pode:

Alterar sua atribuição de assento ou tirá-lo do voo.
Cancelar um upgrade gratuito ou retirá-lo da lista de espera de upgrade.
Ver seus dados de contato, incluindo o telefone e o e-mail na reserva.
Redirecionar milhas de passageiro frequente (em algumas companhias, com etapas extras).
Ver suas outras reservas na mesma companhia aérea (em algumas companhias).
Criar um e-mail de phishing direcionado — "Olá [seu nome], seu voo United 123 GRU → JFK em 7 de set foi remarcado, clique aqui para confirmar" — citando detalhes reais do itinerário. O destinatário tem muito mais probabilidade de clicar do que em um e-mail genérico de phishing.

Algumas companhias responderam a incidentes anteriores adicionando autenticação multifator ao fluxo de gerenciamento de reservas. Muitas não o fizeram.

O ataque de redirecionamento de milhas foi documentado várias vezes. Passageiros que postaram fotos do cartão de embarque no Twitter ou Instagram perderam upgrades, tiveram reservas alteradas e foram alvo de phishing com detalhes do itinerário em questão de horas.

O que nosso scanner exibe e como o PNR é mascarado

Visível por padrão

Nome do passageiro (nome e sobrenome), companhia + número do voo (sem zeros à esquerda, ex.: "AA123"), rota (GRU → JFK), data em formato ISO (dia juliano expandido com avanço inteligente de ano), assento (sem zeros, ex.: "12A"), classe de compartimento, número de sequência, status (com rótulo legível: "Embarcado", "Acesso ao lounge", etc.). Passes multissegmento recebem rótulos de linha por segmento.

Sensível (toque para revelar)

O PNR é mascarado pelo mesmo componente de toque para revelar que usamos para senhas e segredos 2FA. Uma captura de tela do resultado sem tocar no botão de revelação não expõe a referência de reserva. O número de passageiro frequente, quando presente na seção condicional, não é extraído pelo analisador do servidor — é um identificador estável que vincula múltiplas viagens, e exibi-lo na página de resultado comprometeria a postura de privacidade.

Verificando seu próprio cartão de embarque

Três motivos legítimos para escanear o próprio cartão:

Confirmar se os dados estão corretos após reemissão. Companhias às vezes digitam errado o assento ou o número do voo.
Verificar o upgrade ou o status que o agente no portão informou — o byte de status do passageiro é a fonte de verdade.
Recuperar um PNR extraviado quando você não tem mais o e-mail de confirmação da reserva, mas ainda tem uma captura de tela do passe.

O scanner roda no seu navegador; apenas o texto decodificado chega ao nosso servidor (não a imagem). O resultado mascara o PNR por padrão. Se você fizer uma captura do resultado para seus registros, o PNR permanece mascarado a menos que você o revele explicitamente antes da captura.

Relacionados

Experimente no seu cartão de embarque

Fotografe o código de barras (ou use a câmera na página do scanner) e envie. O resultado mostra cada segmento do seu itinerário com o PNR mascarado.

Abrir scanner →