Kod QR WiFi: jak go zrobić i nie pomylić WPA2 z WPA3

Kod QR WiFi to kod, który telefon gościa skanuje aparatem i od razu proponuje połączenie z siecią — bez przepisywania hasła z kartki. Zrobisz go w generatorze kodów QR bez zakładania konta. O dwóch rzeczach wiele poradników milczy. Pierwsza: pole „zabezpieczenie” powinno pasować do trybu routera, bo inaczej kod zeskanuje się poprawnie, a telefon może się nie połączyć. Druga: hasło w kodzie nie jest zaszyfrowane i przeczyta je każdy, kto zeskanuje kod albo zrobi zdjęcie naklejki. Dlatego kod do druku robi się dla sieci gości, nie dla sieci, w której pracują Twoje komputery.

Kod QR WiFi: co jest w środku i co robi z nim telefon

W kodzie Wi-Fi zapisany jest zwykły tekst w ustalonym formacie: WIFI:T:WPA;S:nazwa-sieci;P:hasło;;. Format opisał projekt ZXing, autor popularnej biblioteki do czytania kodów: pole T to rodzaj zabezpieczenia, S to nazwa sieci, P to hasło, a opcjonalne H oznacza sieć ukrytą (ZXing, Barcode Contents). Znaki, które w tym formacie coś znaczą — średnik, dwukropek, przecinek, cudzysłów i ukośnik wsteczny — trzeba poprzedzić ukośnikiem. Nasz generator robi to sam, więc w polu hasła wpisujesz je normalnie.

Ten format długo był standardem tylko z praktyki. Dziś ma oparcie w specyfikacji: Wi-Fi Alliance, organizacja certyfikująca urządzenia Wi-Fi, zarejestrowała w IANA (na razie tymczasowo) schemat wifi i opisała go jako zgodny wstecz z formatem używanym przez popularne urządzenia, z jawną obsługą zabezpieczeń wprowadzonych w WPA3 (IANA, schemat URI wifi). Rejestracja podaje też cel wprost: wspólny format do przekazywania danych sieci w kodzie QR.

Na Androidzie kod czyta sam system. Moduł Wi-Fi w kodzie źródłowym Androida ma parser, który rozpoznaje pola T, S, P i H i zamienia je na konfigurację sieci (AOSP, WifiUriParser). Aparat albo skaner w ustawieniach Wi-Fi pokazuje wtedy propozycję połączenia z nazwą sieci.

Na iPhonie sprawa jest mniej udokumentowana. W opisie formatu ZXing przy kodach Wi-Fi stoi „iOS 11+”, czyli obsługa od iOS 11. Za to oficjalny poradnik Apple o skanowaniu kodów aparatem wymienia strony, aplikacje, kupony i bilety, a o sieciach Wi-Fi nie wspomina (Apple, Skanowanie kodu QR). Dlatego zanim powiesisz kartkę, sprawdź wydruk także na iPhonie.

WPA2 czy WPA3: co wybrać w polu „zabezpieczenie”

Pole T mówi telefonowi, jakiego zabezpieczenia ma się spodziewać. Kod źródłowy Androida pokazuje, co system robi z każdą wartością. T:WPA tworzy konfigurację WPA2 z hasłem (PSK). T:SAE tworzy konfigurację WPA3-Personal. T:nopass oznacza sieć bez hasła — otwartą albo szyfrowaną bez hasła w trybie OWE. T:WEP to stare zabezpieczenie, którego nie powinien używać żaden współczesny router (AOSP, WifiUriParser).

Wiele routerów z WPA3 pracuje w trybie mieszanym (przejściowym) WPA2/WPA3, żeby starsze urządzenia też mogły się połączyć. Dla takiej sieci wybierasz WPA i tak samo postępuje sam Android: kiedy udostępniasz z telefonu sieć w trybie przejściowym WPA2/WPA3, system wpisuje do kodu T:WPA. W kodzie ustawień jest przy tym komentarz, że taki kod jest zgodny z większą liczbą urządzeń (AOSP, WifiDppUtils). Dla sieci tylko-WPA3 ten sam kod wpisuje T:SAE.

Kłopot może się zacząć przy routerze ustawionym wyłącznie na WPA3. Część poradników radzi wpisywać T:WPA dla każdej sieci WPA2 albo WPA3. Parser Androida zapisze wtedy sieć jako WPA2 z hasłem, ale na tym się nie kończy: przy zapisie sieci moduł Wi-Fi dokłada do każdej sieci WPA2 profil WPA3 (SAE). To mechanizm automatycznego przejścia z WPA2 na WPA3 — w kodzie Androida domyślnie włączony, choć producent telefonu może go wyłączyć (AOSP, WifiConfigurationUtil). Nowszy telefon z Androidem i obsługą WPA3 połączy się więc najpewniej także z kodu T:WPA. Starszy telefon, telefon z wyłączonym mechanizmem albo inny system — niekoniecznie, a jak iPhone traktuje pole T, Apple nie opisuje. Nie testowaliśmy tego na urządzeniach, dlatego piszemy ostrożnie. Pewne jest jedno: dla sieci tylko-WPA3 właściwa wartość to SAE, a T:WPA to wartość, która zadziała tylko na części telefonów.

Nasz generator ma w polu zabezpieczeń cztery opcje: „WPA / WPA2”, „WPA3”, „WEP” i „Sieć otwarta”. Opcja „WPA3” wpisuje do kodu T:SAE — tę samą wartość, której używa Android. Wybierz ją tylko wtedy, gdy router działa wyłącznie w WPA3. Dla trybu mieszanego WPA2/WPA3 zostań przy „WPA / WPA2”: taki kod połączy zarówno nowe, jak i starsze telefony.

Jak sprawdzić tryb routera: zaloguj się do panelu routera i znajdź ustawienia sieci bezprzewodowej, zwykle w zakładce „Zabezpieczenia” albo „Security”. Nazwy menu różnią się u każdego producenta, ale tryb jest opisany zwykle wprost: WPA2-Personal, WPA2/WPA3-Personal albo WPA3-Personal. Przy okazji sprawdź długość hasła. Android przyjmuje hasło WPA2 o długości od 8 do 63 znaków albo dokładnie 64 znaki szesnastkowe; dla WPA3 od 1 do 128 znaków (AOSP, WifiConfigController2). Nasz generator stosuje te same granice: przy „WPA / WPA2” przyjmuje hasło od 8 do 63 znaków, przy „WPA3” od 1 do 128, a nazwę sieci do 32 bajtów (polska litera zajmuje 2 bajty). Hasło spoza zakresu zatrzyma z komunikatem, zamiast narysować kod, który się zeskanuje, ale nie połączy.

Dwa rodzaje sieci zostają poza zasięgiem kodu z generatora. Pierwszy to sieci firmowe z logowaniem na konto (WPA2-Enterprise albo WPA3-Enterprise, czyli 802.1X), w których każdy pracownik ma własny login. Format ZXing przewiduje dla nich dodatkowe pola — metodę uwierzytelniania i tożsamość — ale nasz generator ich nie obsługuje, a taką siecią i tak zarządza zwykle dział IT (ZXing, Barcode Contents). Drugi to Wi-Fi Easy Connect: kody DPP: drukowane na samych urządzeniach, na przykład na routerze albo drukarce, które służą do dołączenia urządzenia do sieci. Android je rozpoznaje, ale to nie jest kod z hasłem dla gości i nie trzeba go generować samemu.

Jak wygenerować kod QR do Wi-Fi — krok po kroku

Kod do sieci gości zrobisz w kilka minut, bez konta:

1. Otwórz generator kodów QR i wybierz typ „WiFi”.
2. Wpisz nazwę sieci (SSID) dokładnie tak, jak w routerze. Wielkość liter ma znaczenie: „Kawiarnia-Goscie” i „kawiarnia-goscie” to dla telefonu dwie różne sieci.
3. Wybierz zabezpieczenie i wpisz hasło. Dla routera w trybie WPA2 albo mieszanym WPA2/WPA3 — „WPA / WPA2”. Dla routera tylko-WPA3 — „WPA3”. Dla sieci bez hasła — „Sieć otwarta”; pole hasła wtedy znika.
4. Zaznacz „Sieć ukryta” tylko wtedy, gdy sieć naprawdę nie rozgłasza nazwy. To pole dodaje do kodu H:true. Jeśli zaznaczysz je przy zwykłej sieci, niczego nie zyskasz, a kod trochę zgęstnieje.
5. Kliknij „Pobierz PNG”. Plik do druku ma 1000 pikseli szerokości; podgląd na stronie jest mniejszy, więc nie drukuj zrzutu ekranu.

Kod z generatora bez konta zawsze ma logo DVN Links w środku i podpis dvnlinks.pl pod spodem, dlatego generator koduje go z najwyższym poziomem korekcji błędów (H) — logo zakrywa część kodu, a poziom H pozwala ją odtworzyć. Ile logo kod zniesie i dlaczego, opisujemy w tekście Kod QR z logo. Kodu możesz używać za darmo, także w lokalu firmy, pod warunkiem że nie usuwasz logo ani podpisu.

Jedna rzecz, o którą warto zapytać przy każdym generatorze: gdzie powstaje kod. U nas rysuje go serwer — dane sieci, razem z hasłem, trafiają do naszego API tylko po to, żeby narysować obraz, i nie są zapisywane. Kod generator może też wysłać na Twój e-mail; wtedy zapisujemy adres e-mail i typ kodu, ale nie treść kodu ani hasło.

Przed wydrukiem całej serii zeskanuj kod dwoma telefonami: jednym z Androidem i iPhone'em. Jeśli połączenie się nie uda, najpierw sprawdź nazwę sieci i tryb zabezpieczeń.

Kod Wi-Fi z telefonu: Android i iPhone bez generatora

Android potrafi sam pokazać kod do sieci, z którą jest połączony. W ustawieniach Wi-Fi wybierasz sieć i opcję udostępniania; telefon wyświetla kod, a drugie urządzenie skanuje go i dołącza do tej samej sieci. Pomoc Androida zaznacza, że część kroków działa dopiero od Androida 12 (Pomoc Androida, Łączenie z sieciami Wi-Fi).

Kod z Androida ma jedną przewagę nad każdym generatorem: system zna tryb sieci, więc sam wpisuje właściwe pole T — WPA dla trybu mieszanego i SAE dla sieci tylko-WPA3. To wygodne, gdy nie wiesz, w jakim trybie pracuje router, i nie masz dostępu do jego panelu.

Telefon wystarczy, kiedy gość stoi obok: pokazujesz ekran, gość skanuje, gotowe. Generator wygrywa, kiedy kod ma wisieć na stałe — na ladzie, na karcie przy stoliku, w pokoju na wynajem — bo dostajesz plik do druku i nie musisz trzymać telefonu połączonego z siecią gości. Na iPhonie kod do zapisanej sieci pokazuje aplikacja Hasła: w zakładce Wi-Fi wybierasz sieć i stukasz „Pokaż kod QR sieci”, a inne osoby skanują go, żeby przyłączyć się do sieci (Apple, Znajdowanie hasła do Wi-Fi i udostępnianie go na iPhonie). Jakie pole T iPhone wpisuje do takiego kodu, Apple nie podaje.

Telefon nie łączy się po zeskanowaniu: co sprawdzić

Jeśli telefon odczytuje kod i proponuje połączenie, ale połączenie się nie udaje, wina prawie zawsze leży w danych w kodzie, a nie w samym kodzie. Sprawdź kolejno:

• Nazwę sieci. Wielkość liter, spacje na końcu, myślnik zamiast podkreślnika — telefon szuka sieci o dokładnie takiej nazwie, jaka jest w kodzie. Nazwę najlepiej skopiować z panelu routera.
• Hasło. Te same pułapki co przy nazwie, do tego znaki, które trzeba poprzedzić ukośnikiem. Generator robi to sam, ale jeśli składałeś tekst kodu ręcznie albo w innym narzędziu, sprawdź średniki i dwukropki w haśle.
• Tryb zabezpieczeń. Dla routera tylko-WPA3 kod z T:WPA może nie połączyć, zwłaszcza starszego telefonu — zrób kod z opcją „WPA3” (T:SAE) albo przełącz router w tryb mieszany.
• Pole sieci ukrytej. Jeśli zaznaczyłeś je przy zwykłej sieci albo odwrotnie, telefon może szukać sieci w niewłaściwy sposób.
• Zasięg. Kod przy wejściu do lokalu nie pomoże, jeśli sieć gości nie sięga do drzwi. Sprawdź, czy telefon w ogóle widzi sieć na liście.

Jeśli telefon nie odczytuje kodu wcale — aparat nie pokazuje żadnej propozycji — problem leży w wydruku: za małym kodzie, odbiciach światła albo przyciętej białej ramce. Te przyczyny opisujemy w tekście o skanowaniu, do którego linkujemy w sekcji o rozmiarze. A gdzie w ogóle jest skaner w aparacie iPhone'a i Androida, pokazuje poradnik jak zeskanować kod QR.

Hasło w kodzie jest jawne: sieć dla gości i zmiana hasła

Kod QR niczego nie szyfruje. Każda aplikacja do skanowania kodów pokaże treść kodu Wi-Fi jako tekst, z hasłem włącznie, a zdjęcie naklejki zrobione przez kogokolwiek przy ladzie to po prostu zdjęcie hasła. Kod nie jest więc mniej bezpieczny od kartki z hasłem — jest dokładnie tak samo bezpieczny.

Z tego wynika najważniejsza rada w tym tekście: kod do druku rób dla sieci gości, nie dla sieci głównej. Niemiecki federalny urząd bezpieczeństwa informacji BSI zaleca w poradach dla użytkowników sieci domowych i publicznych, żeby dla urządzeń gości, tam gdzie to możliwe, założyć osobną sieć gościnną (BSI, porady dotyczące sieci WLAN). Sieć gości jest oddzielona od Twoich komputerów, drukarki i kas, więc nawet jeśli hasło trafi do obcych, nie dają oni dostępu do Twoich urządzeń. Większość routerów ma tę funkcję w ustawieniach Wi-Fi pod nazwą „sieć gościnna” albo „guest network”. BSI przypomina przy tym, żeby zmienić domyślne hasła routera — kod do sieci gości nie pomoże, jeśli panel administracyjny ma hasło z naklejki producenta.

Zmiana hasła oznacza nowy kod i nowy wydruk. Kod Wi-Fi jest zawsze statyczny: hasło siedzi w samym kodzie, nie ma adresu, przez który dałoby się go przekierować, i nie ma jak policzyć skanów. Część serwisów oferuje „dynamiczny kod Wi-Fi”, ale to w rzeczywistości kod z linkiem do strony z nazwą sieci i hasłem — gość i tak musi je przepisać albo skopiować, więc znika cała wygoda kodu.

Jak to uwzględnić w praktyce: zastanów się, jak często zmieniasz hasło do sieci gości, i dobierz do tego nośnik. Przy zmianie co kilka miesięcy lepiej sprawdzi się wymienna karta w stojaku albo ramce niż naklejka przyklejona do lady. Sam wybór długości hasła nie jest problemem dla kodu — BSI zaleca dla sieci Wi-Fi hasło z co najmniej 20 przypadkowych znaków, a jak pokazujemy niżej, takie hasło prawie nie zwiększa kodu.

Ukrycie nazwy sieci nie zastępuje zabezpieczenia. Microsoft opisuje to wprost: sieć, która nie rozgłasza nazwy, nadal da się wykryć, bo urządzenia, które ją znają, wysyłają jej nazwę w zapytaniach — i odradza takie sieci (Microsoft, Non-broadcast Wireless Networks>)). Ten tekst z lat 2005–2007 dotyczy starszych wersji Windows, ale zasada się nie zmieniła. Dla gości ukryta sieć to tylko dodatkowe pole w kodzie i więcej kłopotu przy łączeniu.

Jak duży wydrukować kod Wi-Fi

Kod Wi-Fi jest mały, bo zawiera mało tekstu. Policzyliśmy siedem wariantów dla sieci o nazwie „Kawiarnia-Goscie” tą samą biblioteką, której używa generator: od sieci otwartej po najdłuższe hasło WPA2. Na poziomie H, którego używa generator bez konta, kod ma od 33×33 do 53×53 modułów, a minimalny nadruk wynosi od 2 do 2,5 cm. Bez logo, na poziomie M, kody są jeszcze rzadsze: od 29×29 do 41×41 modułów.

Najważniejszy wniosek z wykresu: nawet najdłuższe hasło WPA2 daje kod rzadszy niż długi link z parametrami UTM, który przy tym samym poziomie korekcji ma 61×61 modułów. Spotykana w poradnikach rada, że kod Wi-Fi musi mieć „minimum 5 cm”, nie wynika z treści kodu — nie znaleźliśmy dla niej żadnego źródła. Hasło 20-znakowe, które zaleca BSI, daje ten sam minimalny nadruk co hasło 12-znakowe.

To, że kod mieści się w 2,5 cm, nie znaczy, że tyle powinien mieć na wydruku. Minimalny nadruk mówi tylko, przy jakim rozmiarze moduł kodu nie spada poniżej progu, który drukarka i aparat jeszcze rozróżnią. Prawdziwy rozmiar wyznacza odległość: kod na karcie przy stoliku skanuje się z odległości wyciągniętej ręki, kod na plakacie przy wejściu — z kilku metrów. Wzór na rozmiar dla danej odległości i inne przyczyny, przez które kod się nie skanuje, opisujemy w tekście Nie mogę zeskanować kodu QR.

Gdzie postawić kod i co napisać obok

Obok kodu zawsze wydrukuj też nazwę sieci i hasło tekstem. Laptop czy czytnik e-booków zwykle nie zeskanuje kodu, a część gości ma telefon, który nie połączy się z kodu. Tekst obok kodu to dla nich jedyna droga do sieci — i nie zmniejsza bezpieczeństwa, bo hasło i tak jest w kodzie.

Wystarczy jedno zdanie instrukcji, na przykład „Zeskanuj aparatem telefonu, żeby połączyć się z Wi-Fi”. Dobre miejsca to lada przy kasie, karta na stoliku, recepcja i pokój w mieszkaniu na wynajem — wszędzie tam, gdzie gość pyta o hasło. Jeśli na jednym stoliku stoi kod do Wi-Fi i kod do menu albo opinii, zrób dwa osobne kody z czytelnymi podpisami. Jeden kod nie może jednocześnie łączyć z siecią i otwierać strony, a gość musi od razu wiedzieć, który skanuje. Jak przygotować kod do opinii, opisujemy w tekście Link do opinii Google, a kod do menu — w tekście QR menu dla restauracji.

Inne typy kodów, ich treść i różnicę między kodem statycznym a kodem na krótkim linku opisujemy w przewodniku Jak zrobić kod QR.

Najczęstsze pytania

Czy kod QR Wi-Fi wygasa?

Nie. Kod działa tak długo, jak długo nie zmienisz hasła ani nazwy sieci. Po każdej takiej zmianie potrzebny jest nowy kod i nowy wydruk.

Czy da się sprawdzić, ile osób zeskanowało kod Wi-Fi?

Nie. Kod Wi-Fi nie zawiera żadnego adresu, przez który dałoby się policzyć skany — telefon odczytuje dane sieci prosto z kodu. Licznik skanów mają tylko kody prowadzące przez krótki link do strony.

Czy kod Wi-Fi działa na iPhonie?

Według projektu ZXing iOS obsługuje kody Wi-Fi od wersji 11, a sam iPhone potrafi pokazać kod sieci w aplikacji Hasła. Apple nie opisuje jednak kodów Wi-Fi w poradniku o skanowaniu aparatem, dlatego zawsze sprawdź wydruk także na iPhonie.

Co zrobić po zmianie hasła do Wi-Fi?

Wygeneruj nowy kod z nowym hasłem i wymień wydruk. Starego kodu nie da się zaktualizować, bo hasło jest zapisane w nim samym.

Czy kod QR Wi-Fi jest bezpieczny?

Jest tak samo bezpieczny jak kartka z hasłem: każdy, kto go zeskanuje, pozna hasło. Dlatego kod do druku rób dla osobnej sieci gości, oddzielonej od Twoich urządzeń.

Czy mogę zrobić jeden kod do Wi-Fi i do menu?

Nie. Kod QR zawiera jedną treść: dane sieci albo adres strony. Jeśli gość ma się połączyć z siecią i zobaczyć menu, potrzebne są dwa kody z czytelnymi podpisami.

Czy kod zadziała przy sieci firmowej z logowaniem na konto?

Kod z naszego generatora — nie. Sieci WPA2-Enterprise i WPA3-Enterprise wymagają osobnego loginu dla każdej osoby, a generator obsługuje tylko sieci z jednym wspólnym hasłem albo bez hasła.