La dernière diapositive

La conférence se termine. Quelques personnes s'approchent de l'estrade, téléphone à la main. On échange des politesses, puis vient le moment pénible. Épeler une adresse email dans le brouhaha. Chercher un profil LinkedIn parmi douze homonymes. Tendre une carte de visite qui finira au fond d'une poche de veste. J'ai vécu cette scène à chaque exposé pendant des années.

qr4prez est né de cette scène. C'est un petit outil web. On remplit un formulaire une fois. En retour, on reçoit un QR code à poser sur sa dernière diapositive. Un QR code, c'est ce damier noir et blanc que l'appareil photo d'un téléphone sait lire. Le public le scanne. La fiche contact s'ajoute aussitôt au carnet d'adresses, avec la photo, le titre et les liens. Une page privée compte ensuite les scans : combien, quand, depuis quelle ville.

L'outil est en ligne à deraison.ai/qr4prez. Il est gratuit, en français et en anglais, sans compte à créer.

Motivation

La carte de visite en papier a deux défauts. Le premier est connu : elle est pratique, mais elle se perd. Le second m'agaçait davantage : elle ne donne plus jamais de nouvelles. A-t-elle servi ? Quelqu'un l'a-t-il retrouvée trois semaines plus tard ? A-t-elle survécu au lavage de la veste ? On ne le saura jamais.

La version numérique existe depuis longtemps : la vCard. C'est un petit fichier texte que tous les téléphones savent lire. Il contient le nom, le téléphone, l'email, l'employeur, et même la photo. Le QR code sert de pont : l'appareil photo le transforme en lien, le lien ouvre la vCard. Ni l'un ni l'autre n'est nouveau. Ce qui manquait, c'était un outil qui fasse les deux comme je le voulais.

Je voulais trois choses. Le public n'a qu'une chose à faire. Pas d'application à installer. Pas de formulaire à remplir. Juste l'appareil photo. Pour moi, savoir si cette dernière diapositive sert à quelque chose. Et je voulais garder les données chez moi. Cela veut dire gérer le serveur. Je l'accepte. Tout tient sur mon ordinateur, celui qui reste allumé pour distribuer mes pages. Aucune entreprise extérieure ne récupère les contacts de mon public. Pas de cookie, pas de traceur, ces petits mouchards qui reconnaissent un visiteur d'un site à l'autre.

Aucun outil ne faisait les trois. Les générateurs de QR codes en ligne se comptent par dizaines. Ils gardent vos données chez eux, réclament un compte, glissent un abonnement. Aucun ne vous dit ce que devient le QR code une fois la salle vidée. Les applications d'échange de cartes de visite, elles, obligent les deux personnes à l'installer. qr4prez fait le contraire. Vous l'hébergez. Il ne demande pas de compte. Vous êtes seul à voir les statistiques de scan. Le code est dans le domaine public. N'importe qui peut l'installer sur son serveur et le modifier.

C'est un outil fini, pas une maquette de week-end. L'interface existe en français et en anglais. Un courriel récapitulatif part après la création, donc les trois liens ne sont pas perdus si l'on ferme l'onglet. Une protection arrête les robots qui envoient des rafales de requêtes. Les icônes et les balises de partage sont complètes, donc l'aperçu reste propre quand le lien circule dans une messagerie. Le journal du serveur est tenu avec soin. Entre un prototype et un outil qu'on ose montrer, la différence tient à cette pile de détails invisibles.

Comment ça marche

Tout commence par un formulaire : nom, fonction, email, téléphone, une photo carrée. Remplir un formulaire est ennuyeux. Les champs vides proposent donc chaque fois une personnalité différente. Marie Curie, Grace Hopper, Nina Simone, Alan Turing… Ce ne sont que des exemples, affichés en gris. Ils ne sont jamais envoyés à votre place.

C'est la photo qui m'a donné le plus de mal. Les photos sont presque toujours des fichiers JPEG, le format des appareils et des téléphones. Un fichier JPEG peut contenir, à côté de l'image, un petit commentaire technique ajouté par le logiciel qui l'a traitée. Certaines versions d'iOS, le système des iPhone, n'aiment pas ce commentaire. Dans ce cas elles effacent toute la photo de la fiche contact, sans afficher la moindre erreur. Le contact arrive, sans visage. qr4prez redécode donc la photo, la redimensionne en 400 × 400 et la réenregistre proprement. Il efface ensuite le commentaire fautif, octet par octet. Personne ne verra jamais ce travail. C'est le but.

Chaque fiche reçoit ensuite une adresse impossible à deviner. Pour la fabriquer, on utilise une fonction de hachage. C'est une machine à empreintes : on lui donne un texte, elle rend une suite de caractères toujours de la même longueur. Changez une seule lettre du texte : l'empreinte change du tout au tout. qr4prez lui donne le prénom, le nom et l'heure exacte de l'envoi. La machine utilisée s'appelle SHA-256 ; elle est publique et éprouvée depuis longtemps. L'outil garde les 16 premiers caractères de l'empreinte. Chacun de ces caractères est un chiffre de 0 à 9 ou une lettre de a à f, soit seize possibilités. Seize possibilités par caractère, sur seize caractères : le nombre d'adresses possibles s'écrit

Dix-huit milliards de milliards. Il reste quand même un risque. Il porte un joli nom : le paradoxe des anniversaires. Dans un groupe de vingt-trois personnes, il y a une chance sur deux que deux d'entre elles soient nées le même jour. C'est beaucoup plus que ce qu'on imagine. De la même façon, deux fiches pourraient tomber sur la même adresse. Pour \(n\) fiches, ce risque ne dépasse jamais

Avec un million de fiches, cela fait environ trois chances sur cent millions. Et l'adresse elle-même ne contient aucune information personnelle : ni le nom ni la date n'y apparaissent, seulement l'empreinte.

Pour le public, l'effort est minimal. Le téléphone scanne le QR code, ouvre l'adresse de la fiche, le serveur envoie la vCard et note le passage.

D'où viennent les scans : la géolocalisation

C'est la partie qui surprend le plus les gens, alors disons précisément ce qui se passe. Aucun téléphone n'envoie sa position GPS quand il scanne un QR code ; ce serait d'ailleurs impossible sans votre accord explicite. Ce que le serveur reçoit, c'est une adresse IP (Internet Protocol). Tout appareil connecté en a une pendant sa connexion, pour qu'on sache où lui renvoyer les réponses. Cette adresse ne dit rien de votre appartement, et encore moins de vous. En revanche elle en dit long sur votre opérateur : les fournisseurs d'accès publient quelles plages d'adresses ils utilisent dans quelle région. Des annuaires recoupent ces déclarations et répondent, pour une adresse donnée, un pays, une ville probable et les coordonnées du centre de cette ville.

Soyons honnête sur la précision. Un GPS de téléphone vous situe à quelques mètres. Une adresse IP vous situe dans une ville, et se trompe souvent. Sur un téléphone en 4G, la connexion ressort parfois chez l'opérateur, à deux cents kilomètres de là. Dans une entreprise, tout le monde apparaît au siège. Un VPN va plus loin encore. Le Virtual Private Network est un tunnel. Il fait ressortir votre connexion ailleurs. Le scan part donc dans un autre pays. La carte dit donc d'où vient le public, en gros. Ce n'est pas un carnet d'adresses. C'est largement assez pour ce qu'on lui demande : savoir si la conférence de Lyon a laissé des traces, ou si un exposé circulait encore à l'étranger trois semaines plus tard.

La page de statistiques rassemble tout cela. Vous seul y avez accès. On y trouve quatre compteurs et une carte du monde, où les scans proches se regroupent en pastilles numérotées. Vient ensuite un classement des villes, puis le détail de chaque passage : l'heure locale, l'appareil, le système, le navigateur et l'opérateur.

Reste la vraie question : jusqu'où mesurer sans devenir indiscret ? Il y a trois garde-fous. Les scans de la première minute sont ignorés, parce que c'est vous qui testez votre propre QR code, pas un contact. Un avertissement sous la carte rappelle que les points sont des centres-villes approximatifs. Enfin, les adresses IP récentes sont coupées à l'affichage. On les appelle IPv6. Elles font 128 chiffres binaires. Seuls les 48 premiers restent visibles. Le nombre d'adresses que ce début recouvre vaut

La ligne affichée désigne donc un opérateur et une région, jamais une personne. Une page de statistiques n'a pas besoin de plus pour dire qu'un scan est venu de Lyon.

Conclusion

Mes exposés se terminent maintenant par un QR code. La file d'attente de fin de conférence existe toujours, heureusement : on y parle du fond, des objections, des idées. Mais échanger ses coordonnées prend deux secondes, et plus personne n'écorche une adresse email.

Si vous donnez des conférences, des cours ou des soutenances, essayez : deraison.ai/qr4prez. Remplissez le formulaire une fois. Posez le QR code sur votre dernière diapositive. Puis regardez les scans dessiner la carte de votre audience.