Lector de códigos QR desde imagen

Comprueba qué contiene el QR de una foto y adónde lleva antes de abrirlo

El escáner de códigos QR en imágenes busca los códigos QR de una foto o captura de pantalla guardada y muestra el texto que contienen. No hace falta apuntar otro dispositivo a un QR que ya está en tu pantalla, y si una foto tiene varios códigos, la herramienta los encuentra todos y numera cada uno. Si es una dirección web, la tarjeta de lectura indica el sitio al que conecta de verdad. Si es Wi-Fi, muestra el nombre de la red y la contraseña, y en los códigos de contacto, de verificación en dos pasos o de pago separa el contenido por campos.

La foto no se sube a ningún servidor: se lee solo dentro de este navegador. Las direcciones nunca se abren solas, de modo que puedes revisar el contenido y el destino y después copiar o abrir solo lo que necesites.

¿Cuándo resulta útil?

Los QR se diseñaron para leerse con una cámara, pero a menudo el código ya está dentro de una pantalla o de una foto.

• Un QR en el mismo móvil: el código de un evento recibido por mensajería, el de una entrada adjunta a un correo o el que aparece dentro de una app no se pueden escanear con la cámara de ese mismo móvil. Guarda una captura y elígela aquí.
• Un QR en la pantalla del ordenador: si el código está en una web o en un documento, captura la pantalla y pégala con Ctrl+V (⌘+V en Mac).
• Ver la contraseña de una Wi-Fi: los móviles Android pueden compartir la red Wi-Fi conectada como código QR. Captura esa pantalla y léela aquí para ver la contraseña que debes escribir en otro dispositivo.
• Comprobar la dirección antes de abrirla: permite ver si el código de un cartel, una carta o un aviso de aparcamiento lleva de verdad a la entidad que dice ser. El INCIBE alertó en 2023 de correos de phishing que piden escanear un código QR con el móvil.
• Revisar antes de imprimir: sirve para contrastar un QR que has creado con la dirección o el texto previstos, o para verificar de una vez todos los códigos de un cartel.

Cómo usar el escáner

1. Pulsa Elegir foto o arrastra una foto al área de trabajo. Una imagen copiada se inserta con Ctrl+V (⌘+V) o con el botón Pegar.
2. La lectura empieza en cuanto eliges la foto. Una línea de escaneo recorre la imagen y cada QR encontrado recibe un contorno y un número.
3. Pulsa una ficha numerada en la parte superior de la tarjeta de lectura (o un contorno sobre la foto) para elegir el código que quieres leer.
4. Revisa el desglose por tipo y el Texto original del QR. En una dirección web, mira primero la línea destacada «Lleva a» y los puntos señalados.
5. Usa, si hace falta, copiar el texto, guardar TXT, copiar la contraseña o guardar el .vcf. Una dirección se abre en una pestaña nueva solo si pulsas su botón de abrir.

La foto que se ve al principio es un ejemplo hecho con una tarjeta imaginaria de una cafetería; al elegir una foto real, se sustituye. Borrar vacía la foto y los resultados, pero el original de tu dispositivo y lo que ya hayas copiado siguen igual.

Qué hay dentro de un QR y qué muestra esta herramienta

Un código QR es solo un contenedor de texto. Tipos como «Wi-Fi» o «contacto» se deciden por cómo empieza ese texto. La herramienta reconoce los patrones siguientes y los separa por campos; lo que no reconoce se muestra tal cual.

Los formatos de Wi-Fi y de contacto siguen las convenciones que documenta la biblioteca de lectura ZXing. En una cadena Wi-Fi, los caracteres \ ; , " : se escriben precedidos de una barra invertida, y la herramienta las quita para mostrar el nombre y la contraseña reales.

Mira «Lleva a» antes de abrir una dirección

En una dirección web, lo que decide a qué sitio te conectas de verdad es el final del nombre del host. Lo que va delante lo puede elegir libremente el titular del sitio, así que un nombre conocido al principio no demuestra nada si el final es distinto. La tarjeta de lectura destaca ese final como «Lleva a» y añade un signo de exclamación cuando algo merece una segunda mirada.

• Direcciones con @: en el formato de dirección, lo que va antes de @ es un nombre de usuario, y el navegador se conecta a lo que sigue a @. La herramienta no pone botón de abrir en estas direcciones.
• Finales como gob.es o com.es: los finales en los que cualquiera puede registrar un nombre (sufijos públicos) se cuentan junto con una etiqueta más para formar «Lleva a». Solo se incluye una parte de uso común de la Public Suffix List, así que un final poco frecuente puede mostrarse solo con las dos últimas etiquetas. Los alojamientos compartidos en los que cualquiera obtiene un subdominio, como github.io o azurewebsites.net, se tratan igual, de modo que también se muestra el nombre que va delante.
• Enlaces acortados: con bit.ly, tinyurl.com y servicios similares, el destino final aparece solo después de abrirlos. Esta herramienta no visita ninguna dirección por adelantado, por lo que no puede mostrar adónde acaba un enlace acortado.
• No es un veredicto de seguridad: que no haya ninguna señal no significa que la dirección sea segura. Los sitios que imitan a otros también pueden usar https, así que compara el final con la dirección que publica la propia entidad.

El INCIBE publicó el 8 de agosto de 2023 un aviso sobre una nueva campaña de correos fraudulentos de tipo phishing que destaca por el uso de códigos QR: el mensaje incita a escanear el código con el móvil y la persona acaba en una página web fraudulenta muy parecida a la de inicio de sesión de los servicios de Microsoft. Si llega un correo así, recomienda eliminarlo de inmediato. El Centro de Quejas de Delitos en Internet del FBI (IC3) señaló en enero de 2022 que los ciberdelincuentes manipulan códigos QR digitales y físicos para sustituir los legítimos por otros maliciosos, y aconsejó comprobar que un código físico no lleve una pegatina encima.

Ver la contraseña en un QR de Wi-Fi

El texto original de un QR de Wi-Fi tiene este aspecto: WIFI:T:WPA;S:Roberin Guest;P:latte-2026;;. T es el tipo de seguridad (WPA o WEP, o nopass si no hay contraseña), S es el nombre de la red, P es la contraseña y H:true indica una red oculta cuyo nombre no aparece en la lista. El orden de los campos puede variar. El QR de la derecha de la foto de ejemplo es esta cadena, y la tarjeta de lectura muestra el nombre de red «Roberin Guest», la seguridad WPA/WPA2 y la contraseña oculta.

En un móvil Android, al abrir la red Wi-Fi en Ajustes y compartirla, aparece un código QR que permite a otro dispositivo unirse a la misma red (según la Ayuda de Android; los nombres de los menús varían según el dispositivo). Captura esa pantalla y léela aquí para ver la contraseña que tienes que escribir en un portátil o en un dispositivo que no lee QR. La contraseña aparece oculta y solo se muestra al pulsar Mostrar.

El QR de verificación en dos pasos es la propia clave secreta

El QR que aparece al vincular por primera vez una app de autenticación contiene una dirección con esta forma: otpauth://totp/Servicio:cuenta?secret=…&issuer=Servicio. Según el formato de URI de claves de Google Authenticator, secret es un valor obligatorio con la clave secreta en Base32. Quien tenga esa clave puede generar los mismos códigos de seis dígitos, por lo que la herramienta oculta la clave y muestra un aviso de exposición.

Aunque solo estés comprobando una copia de seguridad, no subas la captura a una app de mensajería ni a una carpeta compartida en la nube. Si crees que la clave se ha filtrado, desactiva la verificación en dos pasos en ese servicio y vuelve a registrarla con un QR nuevo.

En un QR de pago, comprueba el nombre del comercio

Muchos países usan para los pagos en tienda el formato «Merchant-Presented Mode» (el comercio presenta el código) definido por EMVCo. El QRIS de Indonesia y el JPQR unificado de Japón también se basan en él. El texto original es una secuencia de un identificador de dos cifras, una longitud de dos cifras y un valor, y esta herramienta descodifica los identificadores siguientes.

• 59 nombre del comercio · 60 ciudad · 58 país: valores para comparar con el comercio que muestra tu app de pago.
• 54 importe · 53 moneda: si no hay importe, lo escribes al pagar.
• 01 tipo de QR: 11 es estático (fijo en el comercio) y 12 es dinámico (se genera para cada pago).
• 63 suma de control (CRC): debe coincidir con el valor calculado a partir del contenido anterior. Si no coincide, el contenido se ha alterado o el QR está mal generado.

Los QR de pago que no están en formato EMV (enlaces o formatos propios de una app) aparecen en esta herramienta como dirección web o como texto. En cualquier caso, la herramienta no realiza ningún pago y no puede confirmar que el comercio o el importe sean auténticos. El FBI también desaconseja pagar en un sitio al que se llega desde un QR y recomienda escribir a mano una dirección conocida y de confianza.

Cuando el texto se ve ilegible

DENSO WAVE explica que un QR puede almacenar como bytes datos de cualquier código de caracteres y que quien lo lee debe procesarlos con el mismo código de caracteres. Por eso, un código creado con un generador antiguo en Shift_JIS o EUC-KR se ve ilegible o vacío si se lee solo como UTF-8. La herramienta decide la codificación en este orden.

1. Si el QR incluye una indicación de codificación (ECI), se usa esa codificación.
2. Si no, se prueba primero UTF-8 y después Latin-1 (Windows-1252). Shift_JIS y EUC-KR no se adivinan: las eliges tú.
3. Un QR que solo contiene letras y cifras se lee igual con cualquier codificación, así que no se indica ninguna.

Si la elección automática es errónea y el texto se ve raro, pulsa otra codificación en «¿Texto ilegible? Cambia la codificación», debajo de la tarjeta de lectura. El modo Kanji japonés se descodifica con la tabla Shift_JIS.

Tamaño del QR (versión) y capacidad

Los QR existen en versiones de la 1 a la 40, y cada versión añade cuatro módulos (cuadraditos) por lado. La versión y el número de módulos que aparecen en «Tamaño» en la tarjeta de lectura son los valores de esta tabla.

La versión 40, la mayor, con el nivel de corrección de errores más bajo (L) admite hasta 7.089 cifras, 4.296 caracteres alfanuméricos (mayúsculas y cifras), 2.953 bytes o 1.817 caracteres kanji. En UTF-8, las letras con acento, como la é o la ñ, ocupan 2 bytes, por lo que un texto con muchas de ellas cabe en menos caracteres que uno sin acentos. Cuanto más largo es el contenido, más densos son los módulos y más difícil resulta leerlo en una foto pequeña.

Qué revisar cuando no se encuentra ningún QR

DENSO WAVE indica un margen en blanco de cuatro módulos por todos los lados de un QR. Un módulo es cada cuadradito del código, y sin ese margen resulta difícil distinguir el borde del código del dibujo que lo rodea.

• Recortado al ras: no recortes una captura pegada al borde del código; deja el espacio en blanco alrededor.
• Desenfoque y reflejos: la imagen original o una captura de pantalla se lee mejor que una foto con luz esparcida.
• Un QR pequeño: si el código es diminuto dentro de una foto grande, recórtalo con su margen y vuelve a subirlo. La herramienta busca primero con el lado largo a 1.280 px; si no encuentra nada, una foto grande se busca de nuevo a un máximo de 2.560 px (sin superar su tamaño original), y una foto cuyo lado largo mide 1.280 px o menos se amplía de 2 a 4 veces para una búsqueda más.
• Tapado o decorado: un logotipo, una pegatina o muchas arrugas encima pueden superar lo que la corrección de errores consigue restaurar.
• QR invertidos: también se encuentran los códigos con módulos claros sobre fondo oscuro, que se marcan como «Colores: Invertido».

«No encontrado» solo significa que no se pudo leer ningún QR de la foto. No quiere decir que el código haya caducado ni que esté vacío.

La foto se lee solo dentro del navegador

Como describe la guía de la File API de MDN, una página web puede leer directamente en el dispositivo un archivo que el usuario ha elegido, y esta herramienta lee las fotos únicamente así. La foto elegida se dibuja en pantalla, sus píxeles se pasan a un Web Worker dentro del navegador para buscar los QR, y ni la foto ni los resultados se guardan en ningún sitio ni se ponen en la barra de direcciones. El motor de lectura es la biblioteca de código abierto jsQR 1.4.0, incluida sin cambios en este sitio.

Esto no significa que la propia página, sus archivos de script y los anuncios no generen tráfico de red. Si has comprobado algo delicado, como una contraseña de Wi-Fi o un código de verificación en dos pasos, pulsa Borrar y cierra la ventana en un ordenador compartido.

Errores frecuentes

• Esperar el texto impreso bajo el código: leer un QR no es reconocimiento óptico de caracteres (OCR), así que los rótulos o números impresos junto al código no aparecen en el resultado.
• Fiarse de una dirección porque contiene el nombre de una entidad: un nombre al principio no demuestra nada si el final es distinto.
• Dar por válido un cupón o una entrada porque se ha leído: leer el texto original no permite saber si un cupón sigue siendo utilizable o si una entrada sigue vigente; eso solo lo sabe el sistema de quien lo emitió.
• Pegar la dirección de una imagen: Pegar admite datos de imagen, de modo que pegar el texto de la dirección de una imagen no lee nada. Copia la propia imagen o guárdala como archivo y elígela.
• Cambiar solo la extensión del archivo: renombrar un HEIC como .jpg no cambia su formato, así que puede no abrirse. Exporta un JPG desde tu app de fotos o usa una captura de pantalla.

Límites y precauciones

• Una foto cada vez, de hasta 20 MB y 32 megapíxeles. Se encuentran como máximo 12 QR por foto, y la lectura se detiene si un tamaño tarda más de 20 segundos.
• Solo se leen códigos QR. No se leen códigos de barras de rayas, Micro QR ni otros códigos 2D como Data Matrix, y tampoco se unen los códigos de estructura concatenada repartidos en varios QR.
• No hay captura con cámara, ni historial de lecturas, ni carga de imágenes desde direcciones externas. Un PDF debe convertirse en una captura de pantalla, y el HEIC solo lo leen los navegadores que pueden abrirlo.
• «Lleva a» se calcula a partir de una parte de la Public Suffix List; la herramienta no comprueba si un sitio es seguro ni adónde acaba finalmente un enlace acortado.
• Las etiquetas de tipo son indicaciones basadas en la forma del texto original; la herramienta no puede saber si una contraseña de Wi-Fi sigue vigente ni si un QR de pago pertenece al comercio real.

Fecha de referencia Las especificaciones de QR, las convenciones de formato y los avisos oficiales se comprobaron el 20-10-2026.

Fuentes

• 01DENSO WAVE: cómo hacer que un QR se lea bien (en inglés)Un QR necesita un margen de cuatro módulos por todos los lados
• 02DENSO WAVE: versiones del código QR (en inglés)De la versión 1 (21×21) a la 40 (177×177), cuatro módulos más por lado en cada versión
• 03DENSO WAVE: normas del código QR (en inglés)Máximo de 7.089 cifras, 4.296 alfanuméricos, 2.953 bytes y 1.817 kanji
• 04DENSO WAVE: preguntas frecuentes (en inglés)Se puede guardar cualquier código de caracteres como bytes, y quien lee debe procesar el mismo código de caracteres
• 05ZXing: Barcode Contents (en inglés)Formatos WIFI, MECARD, SMSTO, geo, tel y mailto; escape de símbolos en Wi-Fi
• 06Google Authenticator: Key Uri Format (en inglés)otpauth://TYPE/LABEL?PARAMETERS; secret es un valor Base32 obligatorio
• 07INCIBE: nueva campaña de phishing utilizando códigos QR (2023-08-08)Correos fraudulentos que incitan a escanear un código QR con el móvil y llevan a una página falsa de inicio de sesión de Microsoft
• 08FBI IC3: manipulación de códigos QR (2022-01-18, en inglés)Los delincuentes manipulan QR digitales y físicos para sustituir los legítimos por otros maliciosos
• 09Ayuda de Android: conectarse a redes Wi-Fi en un dispositivo AndroidAl compartir la Wi-Fi desde Ajustes se obtiene un código QR que otro dispositivo puede escanear para unirse
• 10EMVCo: especificaciones de pago con código QR (en inglés)Merchant-Presented Mode v1.1: 59 nombre del comercio, 54 importe, 01 estático 11 o dinámico 12, 63 CRC (polinomio 1021, valor inicial FFFF)
• 11Bank Indonesia: nota de prensa sobre QRIS (2019-08-17, en indonesio)QRIS usa el estándar internacional de EMVCo
• 12Payments Japan: guía JPQR MPM 3.0 (en japonés)La disposición de datos del QR estático unificado sigue la especificación EMV (MPM)
• 13Public Suffix ListLista de finales (sufijos públicos) bajo los que cualquiera puede registrar un nombre
• 14MDN: usar archivos desde aplicaciones webCómo lee una página web un archivo local elegido por el usuario
• 15WHATWG: Encoding Standard (en inglés)Etiquetas EUC-KR, Shift_JIS y windows-1252 (Latin-1) que leen los navegadores
• 16jsQRMotor de lectura, Apache-2.0, se usa la versión 1.4.0

Preguntas frecuentes

Herramientas que se usan junto a esta