Mis à jour le 23 septembre 2026.
Un carré noir et blanc apparaît pendant une finale diffusée en direct, quelques secondes à peine, et des milliers de joueurs sortent leur téléphone. Le système fonctionne bien, mais presque personne ne sait ce qu’il fait réellement, ce qui rend le procédé aussi commode pour l’éditeur que pour ceux qui l’imitent.
Un code QR n’est pas une récompense. C’est un lien, encodé sous forme graphique, et tout dépend de l’adresse qu’il contient. Comprendre ce point unique permet de vérifier n’importe quel code avant de le scanner, sans connaissance technique.
En bref
- Un code QR ne contient qu’un lien : c’est ce lien qui agit, pas le carré.
- Les codes officiels renvoient vers un lien profond qui ouvre le jeu et déclenche la réclamation.
- Le jeu ne dispose pas de scanner intégré : la lecture se fait avec l’appareil photo, hors de l’application.
- Les codes légitimes sont diffusés par les canaux officiels : tournois, diffusions en direct, comptes vérifiés.
- Un code qui conduit vers un formulaire de connexion est une tentative de vol de compte.
- Un lien d’ami et un code de récompense ne servent pas à la même chose et ne se partagent pas de la même façon.
Que contient exactement un code QR ?
Une chaîne de caractères, le plus souvent une adresse internet, encodée sous forme de motif lisible par une caméra. Rien d’autre.
Le carré n’exécute rien par lui-même. C’est le téléphone qui lit l’adresse, puis décide quoi en faire : ouvrir un navigateur, ou transmettre la demande à une application capable de la traiter. Ce second cas s’appelle un lien profond, et c’est celui qu’utilisent les codes de récompense d’un jeu.
Concrètement, chaque code officiel contient un lien qui redirige vers le jeu et permet de réclamer la récompense. Le téléphone reconnaît que l’adresse appartient à l’application installée, l’ouvre, et lui transmet le paramètre correspondant à la récompense.
Ce mécanisme explique une contrainte pratique déroutante : il faut quitter le jeu avant de scanner. La lecture se fait depuis l’appareil photo ou une application de lecture, à l’extérieur de l’application, pour que le système d’exploitation puisse rediriger vers elle. Le jeu ne dispose pas de scanner intégré.
Comment vérifier un code avant de le scanner ?
En affichant le lien sans l’ouvrir, ce que tous les téléphones récents permettent.
La plupart des appareils photo affichent une notification contenant le début de l’adresse détectée avant d’ouvrir quoi que ce soit. Il suffit de lire cette adresse. Trois éléments doivent être examinés dans l’ordre.
Le nom de domaine d’abord, c’est-à-dire ce qui se trouve juste avant le premier symbole barre oblique après les deux barres initiales. C’est la seule partie qui identifie réellement le destinataire. Un domaine inconnu, mal orthographié ou composé de plusieurs mots collés doit faire renoncer.
Le type d’ouverture ensuite. Un lien officiel ouvre l’application. Un lien qui ouvre le navigateur sur une page demandant de se connecter n’est pas un mécanisme de récompense.
La provenance enfin. Un code affiché pendant une diffusion officielle, sur un compte vérifié de l’éditeur ou lors d’un tournoi organisé par lui n’a pas le même statut qu’un code partagé dans un commentaire ou envoyé en message privé.
| Signal observé | Interprétation | Décision |
|---|---|---|
| Le lien ouvre directement le jeu | Lien profond légitime | Poursuivre |
| Le lien ouvre une page de connexion | Tentative de vol d’identifiants | Fermer immédiatement |
| Domaine inconnu ou mal orthographié | Imitation | Ne pas scanner |
| Code reçu en message privé | Origine non vérifiable | Demander la source officielle |
| Enchaînement de vérifications humaines | Contenu-appât monétisé | Abandonner |
| Promesse de monnaie gratuite | Aucun mécanisme officiel de ce type | Signaler |
Pourquoi les codes de récompense sont-ils si éphémères ?
Parce qu’ils servent un objectif ponctuel : récompenser une audience présente à un moment donné.
Un code affiché pendant une finale mondiale vise les spectateurs de cette finale. Le laisser actif indéfiniment reviendrait à distribuer la récompense à tout le monde, ce qui lui ferait perdre sa fonction. La durée de validité est donc courte par construction, et souvent limitée à une réclamation par compte.
Trois limitations se cumulent fréquemment. Une fenêtre temporelle, parfois de quelques heures. Un plafond de réclamations, atteint très vite lorsque le code circule. Et une restriction par compte, qui interdit de réclamer deux fois.
C’est ce qui explique le sentiment d’arriver toujours trop tard. Ce n’est pas un dysfonctionnement mais le fonctionnement prévu, et il obéit à la même logique que celle décrite dans notre article sur l’expiration rapide des codes de jeu.
Quelle différence avec un lien d’ami ?
Le lien d’ami ne donne aucune récompense : il sert à ajouter un joueur à sa liste, et il fonctionne indéfiniment.
Le mécanisme est identique dans son principe, un lien encodé ou partagé sous forme de texte, mais l’action déclenchée est différente : au lieu de créditer un objet, elle ouvre une demande d’ajout dans le jeu.
Deux conséquences pratiques en découlent. Partager son lien d’ami publiquement n’expose pas le compte : il ne permet à personne de s’y connecter. Mais il expose à des sollicitations, et un joueur ajouté peut ensuite envoyer des messages, ce qui constitue le premier maillon de beaucoup de tentatives d’arnaque.
La règle raisonnable consiste donc à partager son lien d’ami dans des espaces communautaires prévus pour cela, et à ne pas le diffuser sur un profil public accessible à n’importe qui, en particulier pour un compte de mineur.
Qu’est-ce qui rend le procédé attractif pour les arnaqueurs ?
Le fait qu’un code QR soit illisible par l’œil humain. Personne ne peut distinguer un carré légitime d’un carré malveillant en le regardant, ce qui supprime la vérification visuelle que l’on ferait spontanément sur un lien écrit.
Le schéma le plus courant reproduit l’apparence d’une annonce officielle : logo du jeu, promesse de récompense, urgence affichée, et un code à scanner. La page atteinte imite ensuite l’interface de connexion et demande les identifiants du compte.
Une variante plus rare et plus dangereuse existe : faire scanner un code qui autorise un appareil tiers à accéder au compte. La victime croit réclamer une récompense et valide en réalité la connexion de quelqu’un d’autre. La parade est la même dans les deux cas : ne jamais scanner un code reçu d’un inconnu, et ne jamais valider une demande de connexion que l’on n’a pas soi-même initiée.
Ces mécanismes sont documentés par les plateformes de jeu elles-mêmes, qui rappellent qu’aucune offre ne distribue gratuitement de monnaie virtuelle. Nous détaillons ce point dans notre article sur les codes de jeu et les listes qui circulent.
Comment protéger un compte utilisé par un enfant ?
Par trois réglages, faits une fois, et une règle simple à énoncer.
Activer l’authentification à deux facteurs sur le compte rattaché au jeu, ce qui rend un mot de passe volé insuffisant. Rattacher le compte à une adresse de messagerie contrôlée par un adulte, ce qui permet de repérer les tentatives de réinitialisation. Et bloquer les achats intégrés au niveau du téléphone ou de la console, indépendamment du jeu.
La règle à énoncer tient en une phrase : on ne scanne jamais un code envoyé par quelqu’un, seulement un code affiché par le jeu ou par un canal officiel. Elle est facile à retenir et couvre la quasi-totalité des situations.
Reste le réflexe le plus utile : réagir sans reproche si l’enfant signale avoir scanné quelque chose de douteux. Un compte compromis se récupère souvent dans les premières heures, beaucoup moins facilement après plusieurs jours de silence.
Questions fréquentes
Faut-il scanner depuis le jeu ou depuis l’appareil photo ?
Depuis l’appareil photo, en ayant quitté le jeu. Le jeu ne dispose pas de scanner intégré, et le lien doit passer par le système d’exploitation pour être redirigé vers l’application.
Un code déjà utilisé par un ami fonctionne-t-il encore ?
Cela dépend des limitations attachées à la campagne : fenêtre temporelle, plafond de réclamations, restriction par compte. Un code de diffusion en direct est le plus souvent épuisé ou périmé quelques heures après.
Peut-on générer soi-même un code de récompense ?
Non. Les codes de récompense sont créés par l’éditeur et rattachés à ses serveurs. Les générateurs proposés en ligne ne produisent rien d’exploitable et servent uniquement à collecter des données.
Le partage d’un lien d’ami présente-t-il un risque ?
Il ne permet pas d’accéder au compte, mais il ouvre la porte aux messages d’inconnus. C’est un risque d’exposition, pas un risque technique, et il concerne surtout les comptes de mineurs.
Que faire après avoir scanné un code douteux ?
Ne rien saisir sur la page atteinte, la fermer, puis changer le mot de passe du compte depuis l’application officielle. Vérifier ensuite les appareils connectés et activer l’authentification à deux facteurs si ce n’est pas déjà fait.
Sources
- Documentation sur le fonctionnement des codes QR de Clash Royale et l’absence de scanner intégré au jeu : guides spécialisés
- Supercell, communication officielle sur la protection des comptes et l’identifiant de jeu : supercell.com
Cet article décrit un mécanisme technique général. Ne saisissez jamais vos identifiants sur une page atteinte depuis un code QR, quelle que soit son apparence.