La dernière diapositive

La conférence se termine. Quelques personnes s'approchent de l'estrade, téléphone à la main. On échange des politesses, puis vient le moment délicat : épeler une adresse email dans le brouhaha, chercher un profil LinkedIn parmi douze homonymes, tendre une carte de visite qui finira au fond d'une poche de veste. J'ai vécu cette scène à chaque exposé pendant des années.

qr4prez est né de cette scène. C'est un petit outil web : on remplit un formulaire une fois, on obtient un QR code, ce damier noir et blanc que l'appareil photo sait déchiffrer, à poser sur sa dernière diapositive. Le public le scanne avec l'appareil photo du téléphone, et la fiche contact s'ajoute directement dans le carnet d'adresses, avec la photo, le titre et les liens. En prime, une page privée compte les scans : combien, quand, depuis quelle ville.

L'outil vit à deraison.ai/qr4prez. Il est gratuit, bilingue, sans compte à créer.

Motivation

La carte de visite papier a deux défauts. Le premier est connu : elle se perd. Le second m'agaçait davantage, d'autant qu'il ne se corrige pas : elle ne raconte rien. Une fois distribuée, on ne saurait dire si elle a servi, si quelqu'un l'a retrouvée trois semaines plus tard, si elle a survécu au lavage de la veste.

La solution numérique existe depuis longtemps : la vCard, un fichier texte normalisé que tous les téléphones savent lire. Il contient le nom, le téléphone, l'email, l'employeur, jusqu'à la photo. Le QR code fait le pont : l'appareil photo transforme le damier en lien, le lien ouvre la vCard. Rien de neuf dans chacune des deux briques prise à part ; ce qui manquait, c'était un assemblage qui me convienne.

Je voulais trois choses. Une seule action pour le public : pas d'application à installer, pas de formulaire à remplir de son côté, juste l'appareil photo. Un retour d'information pour moi : savoir si cette dernière diapositive sert à quelque chose. Enfin, la maîtrise des données : tout est hébergé sur mon serveur, l'ordinateur allumé en permanence qui distribue mes pages. Aucun service tiers ne collectionne les contacts de mon public ; ni cookie ni traceur, ces mouchards qui reconnaissent un visiteur de site en site.

Or cette combinaison n'existait pas, tant s'en faut. Les générateurs de QR codes en ligne se comptent par dizaines, mais ils gardent vos données chez eux, réclament un compte, glissent un abonnement ; aucun ne vous dit ce que devient le QR une fois la salle vidée. Les applications d'échange de cartes de visite, elles, imposent leur application aux deux bouts. qr4prez prend le contre-pied : auto-hébergé, sans compte, avec des statistiques de scan privées, versé au domaine public. N'importe qui peut l'installer sur son propre serveur et se l'approprier.

Et c'est un outil fini, pas une maquette de week-end : interface bilingue ; courriel récapitulatif après création (les trois liens survivent à l'onglet fermé) ; protection contre les rafales de requêtes automatisées ; favicons et balises de partage complets (l'aperçu propre quand le lien circule dans une messagerie) ; journal de bord soigné côté serveur. La différence entre un prototype et un outil qu'on ose montrer tient dans cette accumulation de détails invisibles.

Comment ça marche

Tout commence par un formulaire : nom, fonction, email, téléphone, une photo carrée. Pour rendre l'attente moins administrative, les champs vides suggèrent chaque fois une personnalité différente : Marie Curie, Grace Hopper, Nina Simone, Alan Turing… Cela dit, ces suggestions restent des exemples grisés ; elles ne sont jamais soumises à votre place.

La photo m'a offert la leçon d'humilité du projet. Certaines versions d'iOS, le système des iPhone, suppriment silencieusement la photo entière d'une vCard quand le fichier JPEG, le format habituel des photos, contient un commentaire technique laissé par le logiciel qui a préparé l'image sur le serveur. Aucun message d'erreur : le contact arrive, sans visage. La photo est donc décodée, redimensionnée en 400 × 400, réencodée proprement, puis le commentaire fautif est retiré octet par octet du fichier final. Personne ne verra jamais ce travail : c'est exactement le but.

Chaque fiche reçoit ensuite une adresse impossible à deviner. L'idée repose sur une fonction de hachage, une moulinette mathématique qui transforme n'importe quel texte en une empreinte de taille fixe, imprévisible au point que changer une lettre du texte bouleverse toute l'empreinte. qr4prez hache le prénom, le nom et l'instant de la soumission avec SHA-256, l'une d'elles, publiée et éprouvée de longue date. Il garde ensuite les 16 premiers caractères de l'empreinte, écrits en hexadécimal, l'alphabet à seize signes des informaticiens (les chiffres de 0 à 9 puis les lettres de a à f). Chaque signe répond à quatre questions par oui ou non, quatre bits ; seize signes en cumulent 64. Soixante-quatre choix à deux issues chacun, cela fait un nombre d'adresses qui s'écrit :

Dix-huit milliards de milliards. Le risque à surveiller porte un joli nom, le paradoxe des anniversaires : dans un groupe, deux personnes partagent un anniversaire bien plus souvent qu'on ne l'imagine ; de même, deux fiches pourraient recevoir la même adresse. La probabilité qu'une collision survienne parmi \(n\) fiches ne dépasse jamais :

Avec un million de fiches, cela donne environ \(2{,}7 \times 10^{-8}\) : trois chances sur cent millions. L'adresse, elle, ne contient aucune information personnelle : ni nom ni date n'y figurent en clair, seule l'empreinte y survit.

Côté public, l'effort reste minimal. Le téléphone scanne le QR, ouvre l'adresse de la fiche, le serveur sert la vCard puis note le passage.

D'où viennent les scans : la géolocalisation

C'est la partie qui surprend le plus mes interlocuteurs, alors il faut dire exactement de quoi il s'agit. Aucun téléphone ne transmet sa position GPS en scannant un QR ; ce serait d'ailleurs impossible sans autorisation explicite. Ce que le serveur reçoit, c'est l'adresse numérique que tout appareil connecté porte le temps de sa connexion, pour qu'on sache où lui renvoyer les réponses : l'adresse IP (Internet Protocol). Cette adresse ne dit rien de l'appartement, encore moins de la personne, mais beaucoup de l'opérateur : les fournisseurs d'accès déclarent publiquement quelles plages d'adresses ils exploitent dans quelle région. Des services d'annuaire recoupent ces déclarations et répondent, pour une adresse donnée, un pays, une ville probable et les coordonnées du centre de cette ville.

La précision qui en résulte mérite une comparaison honnête. Un GPS de téléphone situe à quelques mètres ; la géolocalisation par adresse IP situe une ville, avec des ratés réguliers. Un abonné mobile peut sortir sur le point de raccordement de son opérateur, à deux cents kilomètres de là. Un réseau d'entreprise ramène tout le monde au siège. Et un réseau privé virtuel (Virtual Private Network ou VPN), ce tunnel qui fait déboucher la connexion ailleurs, expédie carrément le scan dans un autre pays. La carte raconte donc une géographie d'audience, à ceci près qu'elle ne vaut pas carnet d'adresses. C'est amplement suffisant pour ce qu'on lui demande : dire si la conférence de Lyon a laissé des traces ou si un exposé a continué de circuler à l'étranger trois semaines plus tard.

La page de statistiques, accessible au seul propriétaire de la fiche, assemble tout cela : quatre compteurs, une carte mondiale où les scans proches se regroupent en pastilles numérotées, un classement des villes, puis le détail de chaque passage avec l'heure locale, l'appareil, le système, le navigateur et l'opérateur.

Reste la question qui décide de tout : jusqu'où mesurer sans devenir indiscret ? Trois garde-fous répondent. Les scans survenant dans la minute qui suit la création sont ignorés, parce que c'est vous qui vérifiez votre propre QR, pas un contact. Un avertissement sous la carte rappelle que les points sont des centres-villes approximatifs. Et les adresses IP de nouvelle génération (IPv6), quatre fois plus longues que les anciennes (128 bits au lieu de 32), sont tronquées à l'affichage : seuls les 48 premiers bits restent visibles. Le nombre d'adresses que ce début d'adresse recouvre vaut :

Autant dire que la ligne affichée désigne un opérateur et une région, jamais un abonné. Une page de statistiques n'a pas besoin de plus pour raconter qu'un scan est venu de Lyon.

Conclusion

Mes exposés se terminent désormais par un QR code. La file de fin de conférence existe toujours, heureusement : on y parle du fond, des objections, des idées. L'échange de coordonnées, lui, prend deux secondes et n'écorche plus aucune adresse email.

Si vous donnez des conférences, des cours ou des soutenances, essayez : deraison.ai/qr4prez. Remplissez le formulaire une fois, posez le QR sur votre dernière diapositive, puis regardez, après coup, les scans dessiner la carte de votre audience.