QR Kod Nedir, Nasıl Çalışır? Karelerin Anlamı, Kapasitesi ve Güvenli Kullanım Rehberi

Restoran menüsünü açarken, Wi-Fi ağına bağlanırken, uçak biniş kartını gösterirken ya da bir arkadaşınıza para gönderirken muhtemelen her gün en az bir kez bir karekod okutuyorsunuz. Peki QR kod nedir, o siyah beyaz karelerin içinde ne saklanıyor ve telefonunuz onu nasıl bu kadar hızlı çözüyor? Bu rehberde QR kodun bir araba fabrikasında nasıl doğduğunu, her bir karenin ne işe yaradığını, bir kodun ne kadar veri taşıyabildiğini, Türkiye'deki TR Karekod sistemini ve giderek yaygınlaşan QR dolandırıcılıklarından nasıl korunacağınızı adım adım anlatıyoruz.

QR kod nedir ve nereden çıktı?

QR, İngilizce "Quick Response" yani "hızlı yanıt" ifadesinin kısaltması. Kodu, Toyota'nın parça tedarikçisi Denso'nun o zamanki bir bölümü olan Denso Wave geliştirdi ve 1994'te duyurdu. Amaç tamamen endüstriyeldi: otomobil fabrikalarında parça kutularının üzerindeki barkodlar her biri yaklaşık 20 karakter taşıyabiliyordu. Bu yüzden işçiler tek bir kutu için birden fazla barkod okutmak zorunda kalıyor ve üretim yavaşlıyordu. Denso, daha fazla bilgi taşıyan ve çok daha hızlı okunabilen bir kod istiyordu.

Projeyi Denso mühendisi Masahiro Hara yönetti. Denso'nun kendi anlatımına göre geliştirme ekibi yalnızca iki kişiden oluşuyordu. Hara'nın anlattığına göre ilham, oynamayı sevdiği Go adlı masa oyununun siyah beyaz taşlarla dolu ızgarasından geldi: tek bir çizgi yerine iki boyutlu bir desen çok daha fazla bilgi taşıyabilirdi. Asıl zorluk ise okuyucunun kodu fabrikanın karmaşası içinde, her açıdan ve anında bulmasıydı. Ekip gazeteleri, dergileri ve karton kutuları taradı ve basılı malzemede neredeyse hiç rastlanmayan bir siyah-beyaz oranı buldu: 1:1:3:1:1. Bu oran, bugün her QR kodun üç köşesinde gördüğünüz büyük karelerin temeli oldu.

QR kod 2000 yılında ISO/IEC 18004 adıyla uluslararası standart hâline geldi. Denso Wave patentleri ve "QR Code" ticari markasını elinde tutuyor; ancak standartlara uyulduğu sürece herkesin lisans ücreti ödemeden QR kod kullanmasına izin veriyor. QR kodun dünyanın her yerine yayılmasında bu kararın payı büyük.

QR kodun barkoddan farkı ne?

Marketteki ürünlerin üzerindeki klasik barkodlar tek boyutlu: bilgi yalnızca yatay çizgilerin kalınlıklarında saklanıyor ve okuyucunun kodu belirli bir yönde taraması gerekiyor. QR kod ise iki boyutlu; bilgi hem yatayda hem dikeyde dizilmiş karelerde tutuluyor. Bu sayede bir barkodun taşıyabildiği bir düzine kadar karaktere karşılık binlerce karakter taşıyabiliyor, her yönden okunabiliyor ve hata düzeltme sayesinde bir kısmı kirlense ya da yırtılsa bile çalışmaya devam edebiliyor.

Ancak QR kodun yaygınlaşması hiç de kolay olmadı. Japonya'da 2000'lerin başında kameralı telefonlarla hızla benimsendi ama dünyanın geri kalanında uzun yıllar "pazarlama hilesi" olarak görüldü. Çünkü kod okutmak için ayrı bir uygulama indirmek gerekiyordu ve çoğu kişi bununla uğraşmadı. Asıl kırılma noktası 2017'de geldi: Apple, iOS 11 ile QR okumayı doğrudan iPhone'un kamera uygulamasına ekledi, Android tarafı da kısa sürede aynı yolu izledi. Ardından gelen pandemi, temassız menüler, giriş kontrolleri ve aşı sertifikalarıyla QR kodu herkesin cebine soktu.

QR koddaki kareler ne anlama geliyor?

Bir QR kod, "modül" adı verilen küçük karelerden oluşur ve her modül tek bir bit bilgiyi temsil eder: koyu kare 1, açık kare 0 demektir. Ancak bu karelerin hepsi sizin verinizi taşımaz. Kodun önemli bir bölümü yalnızca okuyucunun onu bulmasına, hizalamasına ve nasıl okuyacağını anlamasına yardım eder:

• Konum (bulucu) kareleri: Üç köşedeki büyük kareler. 1:1:3:1:1 oranı sayesinde okuyucu bunları anında tanır. Üç tane olmaları, kodun hangi yöne döndüğünün anlaşılmasını sağlar; bu yüzden QR kodu ters tutsanız bile okunur.
• Zamanlama çizgileri: Konum karelerini birbirine bağlayan, siyah beyaz dönüşümlü kesik çizgiler. Okuyucuya tek bir modülün ne kadar büyük olduğunu gösterir.
• Hizalama kareleri: Daha küçük kareler. Kod kavisli bir yüzeye basıldığında ya da eğik açıyla fotoğraflandığında oluşan bozulmayı düzeltir. En küçük kodlarda bulunmaz.
• Format ve sürüm bilgisi: Kodun hangi hata düzeltme seviyesiyle ve hangi maskeyle üretildiğini kaydeden şeritler. Bu bilgi, kaybolmasın diye iki kez yazılır.
• Sessiz alan: Kodun çevresindeki boş kenar. En az dört modül genişliğinde olması gerekir; QR kodu başka grafiklerin dibine yapıştırıldığında okunamamasının en yaygın nedeni budur.

Geri kalan her şey veri ve hata düzeltme bilgisidir. Veri, sağ alt köşeden başlayarak kodun içinde yukarı aşağı zikzak çizerek yerleştirilir. Kod tamamlanmadan önce üreteç sekiz farklı "maske" deseninden birini uygular. Maskeler bazı modülleri tersine çevirerek büyük düz siyah ya da beyaz alanları ve yanlışlıkla konum karesine benzeyebilecek şekilleri ortadan kaldırır. Üreteç sekiz maskeyi de dener ve okunması en kolay sonucu vereni seçer.

Hata düzeltme: QR kod neden yırtılsa da okunur?

QR kodun dayanıklılığı, Reed-Solomon hata düzeltme kodlarından geliyor. Bu, çizik CD'lerin çalmaya devam etmesini ve uzak uzay araçlarının Dünya'ya veri gönderebilmesini sağlayan matematikle aynı. QR kodlarda dört hata düzeltme seviyesi var: L seviyesi verinin yaklaşık yüzde 7'sini, M yüzde 15'ini, Q yüzde 25'ini, H ise yüzde 30'unu kurtarabiliyor.

Bunun bir bedeli var: hata düzeltme seviyesi yükseldikçe aynı veriyi saklamak için daha fazla kare gerekiyor ve kod büyüyor. Ama bu özellik, QR kodların ortasına logo konabilmesini de sağlıyor. Okuyucu logoyu bir hasar olarak görüyor ve eksik kısmı hata düzeltme kodlarıyla tamamlıyor. Aşağıdaki örneği en yüksek seviye olan H ile ürettik ve ortasına sitemizin simgesini yerleştirdik; kod bu hâliyle de sorunsuz okunuyor.

Bir QR kod ne kadar veri taşıyabilir?

QR kodların "sürüm" adı verilen 40 farklı boyutu var. En küçüğü olan sürüm 1, 21x21 kareden oluşuyor. Her sürüm bir kenara dört kare ekliyor ve en büyüğü olan sürüm 40, 177x177 kareye ulaşıyor. En düşük hata düzeltme seviyesinde sürüm 1 yalnızca 41 rakam ya da 17 bayt taşıyabiliyor. Sürüm 40 ise 7.089 rakam, 4.296 alfanümerik karakter ya da 2.953 bayt veri saklayabiliyor. En yüksek hata düzeltme seviyesinde bu kapasite 1.273 bayta düşüyor.

Mümkün olduğunca fazla veriyi sığdırmak için QR kodlar farklı kodlama modları kullanabiliyor, hatta aynı kodun içinde modlar arasında geçiş yapabiliyor:

• Sayısal mod: Her üç rakam için 10 bit. Yalnızca rakamlardan oluşan veriler için en verimli yol.
• Alfanümerik mod: Her iki karakter için 11 bit; ancak küçük harf desteklemiyor.
• Bayt modu: Karakter başına 8 bit. Web adreslerinin çoğu ve Türkçe karakterler içeren metinler bu modla kodlanıyor.
• Kanji modu: Japonca karakterler için karakter başına 13 bit.

Teknik bir ipucu: alan adları büyük-küçük harf duyarlı olmadığı için tamamı büyük harfle yazılmış bir adres çoğu zaman daha verimli olan alfanümerik moda sığar ve daha küçük, daha kolay okunan bir kod ortaya çıkar. Ancak adresin alan adından sonraki kısmı çoğu sitede büyük-küçük harf duyarlıdır; bu yöntemi denerken dikkatli olmak gerekir.

QR ailesinin diğer üyeleri

Klasik QR kodun yanında Denso Wave'in geliştirdiği başka türler de var. Micro QR tek bir konum karesi kullanıyor ve 35 rakama kadar veri taşıyabiliyor; çok küçük alanlar için tasarlandı. iQR Code, aynı alana normal QR koddan yaklaşık yüzde 80 daha fazla veri sığdırıyor. Frame QR kodun ortasında resim için boş bir alan bırakıyor. SQRC ise hem herkese açık hem de yalnızca yetkili okuyucuların çözebildiği gizli veri taşıyabiliyor. En yeni üye olan dikdörtgen Micro QR (rMQR), kutu kenarları, kablo etiketleri ve deney tüpleri gibi uzun ve dar yüzeyler için tasarlandı. Endüstriyel okuyucular bu türleri destekliyor ama telefon kameraların çoğu henüz okuyamıyor.

Telefon bir QR kodu okuduğunda ne olur?

Teknik olarak bir QR kod yalnızca bir metin kabı. Kodu yararlı kılan, telefonunuzun o metinle ne yapacağına karar vermesi ve yıllar içinde bunun için oluşmuş ortak kurallar. Kod bir web adresi içeriyorsa tarayıcı açılıyor. "WIFI:T:WPA;S:ağ adı;P:şifre;;" biçiminde bir metin içeriyorsa telefon o ağa bağlanmayı öneriyor. Kartvizit bilgileri, telefon numaraları, hazır yazılmış e-posta ve SMS'ler ya da harita koordinatları da aynı şekilde saklanabiliyor.

QR kodlar giderek cihazlar arasında bir köprü olarak da kullanılıyor. İki aşamalı doğrulamayı kurarken doğrulayıcı uygulamaya okuttuğunuz kod, ortak bir gizli anahtar taşıyor. Operatörler eSIM profillerini çoğunlukla QR kodla teslim ediyor; iPhone 17 ile Avrupa'da eSIM'e geçiş gibi gelişmeler bu kullanımı daha da yaygınlaştırıyor. Matter standardındaki akıllı ev cihazları kurulum için kutudaki QR kodu kullanıyor. WhatsApp ve Signal gibi mesajlaşma uygulamaları masaüstü sürümlerini telefona QR kodla bağlıyor.

Geçiş anahtarları (passkey) da QR koda dayanıyor. Telefonunuzda kayıtlı bir geçiş anahtarıyla dizüstü bilgisayarda oturum açarken tarayıcı bir QR kod gösteriyor. Bu kodu okuttuğunuzda iki cihaz arasında şifreli bir bağlantı kuruluyor ve Bluetooth üzerinden telefonun gerçekten yakında olduğu doğrulanıyor. Böylece uzaktaki bir saldırganın kodu başka bir yerden iletmesi engelleniyor ve özel anahtar telefonunuzdan hiç çıkmıyor. Microsoft'un SMS kodlarını bırakıp passkey'e geçmesi de bu yöntemin ne kadar yaygınlaşacağını gösteriyor.

Ödemelerde QR kod ve Türkiye'de TR Karekod

Dünyanın pek çok yerinde QR kod artık varsayılan ödeme yöntemi. Çin'de Alipay ve WeChat Pay, restoran hesabından sokak yemeğine kadar her şeyi satıcının QR kodunu okutarak ödemeyi alışkanlık hâline getirdi. Hindistan'da neredeyse her dükkânda bir QR etiketi bulunuyor ve ülkenin UPI ödeme ağı ayda milyarlarca işlem gerçekleştiriyor. Brezilya'nın Pix sistemi de aynı modeli izliyor. Satıcı açısından cazibe ortada: basılı bir etiket, kart terminaline göre neredeyse hiçbir şeye mal olmuyor.

Türkiye'de ise bankalar ve ödeme kuruluşları arasında ortak bir karekod standardı oluşturmak için Merkez Bankası "TR Karekod" adlı düzenlemeyi hazırladı. Ödeme hizmetlerinde TR Karekodun üretilmesi ve kullanılmasına ilişkin yönetmelik 21 Ağustos 2020'de Resmî Gazete'de yayımlanarak yürürlüğe girdi. Böylece bir bankanın uygulamasıyla üretilen karekodun başka bir bankanın uygulamasıyla da okunabilmesinin önü açıldı. Anlık ödeme sistemi FAST ile birlikte kişiden kişiye karekodla para gönderme altyapısının 2021 sonuna kadar hazır olması istendi.

Sırada market kasaları var. GS1 standart kuruluşunun "Sunrise 2027" girişimi, perakende kasa sistemlerinin 2027 sonuna kadar iki boyutlu kodları okuyabilir hâle gelmesini hedefliyor. Bu sistemde ürün numarası (GTIN) bir web adresinin içine gömülüyor: kasa bu numarayı okuyup ürünü hesaba eklerken, müşterinin telefonu aynı kodu sıradan bir bağlantı olarak görüyor ve içerik, alerjen ya da geri çağırma bilgisine ulaşabiliyor. Avrupa Birliği'nin pil düzenlemesi de Şubat 2027'den itibaren Birlik'te satılan her pilin üzerinde QR kod bulunmasını zorunlu tutuyor.

QR kod güvenli mi? Quishing tehlikesi

Genel olarak QR kodlar güvenli. Bir kod sadece veriden ibaret ve tek başına telefonunuza virüs bulaştıramaz. Tehlike, kodun sizi nereye götürdüğünde yatıyor: çoğunlukla şifrelerinizi çalmak için hazırlanmış sahte bir oturum açma sayfası. Bu saldırı türü o kadar yaygınlaştı ki kendine bir isim bile buldu: "quishing", yani QR kodla kimlik avı.

Saldırganların QR kodu sevmesinin üç nedeni var. QR kod bir bağlantı değil bir görsel olduğu için e-posta filtrelerinin bir kısmından kaçabiliyor. Okutulduğunda kurbanı şirketin korunan bilgisayarından kişisel telefonuna taşıyor. Normal bir bağlantının üzerine gelip adresi görebilirsiniz; QR kodda bu mümkün değil. Gerçek dünyada da dolandırıcılar otopark ödeme makinelerindeki, elektrikli araç şarj istasyonlarındaki ya da restoran masalarındaki kodların üzerine kendi etiketlerini yapıştırıyor. Bazı saldırılar ise meşru özellikleri kötüye kullanıyor: Google'ın tehdit istihbaratı ekibi 2025'te, Signal kullanıcılarına grup daveti ya da güvenlik uyarısı gibi gösterilen sahte QR kodlarla hesaplarını saldırganın cihazına bağlattıran bir kampanyayı belgeledi. Bu yöntemle saldırgan, şifrelemeyi kırmadan her yeni mesajın bir kopyasını alabiliyordu.

Kendinizi korumak için birkaç basit alışkanlık yeterli:

• Kamera uygulamasının QR kodu okuduğunda gösterdiği adres önizlemesine mutlaka bakın; kısaltılmış bağlantılara ve gerçeğine çok benzeyen alan adlarına karşı dikkatli olun.
• E-posta ve SMS ile gelen, oturum açmanızı, şifre sıfırlamanızı ya da ödeme yapmanızı isteyen QR kodlara ekstra şüpheyle yaklaşın. Sahte e-postalarla yapılan kimlik avı saldırıları artık sıklıkla QR kod da içeriyor.
• Otopark makinesi ve şarj istasyonu gibi kamuya açık cihazlarda, orijinal kodun üzerine yapıştırılmış etiket olup olmadığını kontrol edin; mümkünse işletmenin resmî uygulamasını kullanın.
• Cihaz bağlama kodlarını yalnızca kendi ekranınızda kendiniz oluşturduysanız okutun.

QR kod nasıl oluşturulur?

Basit bir QR kod oluşturmak için çoğu zaman bir web sitesine bile ihtiyacınız yok. Chrome ve Edge'de bir sayfaya sağ tıklayıp o sayfa için QR kod oluşturabilirsiniz. iPhone'da Şifreler uygulaması kayıtlı Wi-Fi ağları için QR kod gösterebiliyor; Android de Android 10'dan beri Wi-Fi ayarlarında aynı özelliği sunuyor. Böylece misafirlerinize Wi-Fi şifrenizi söylemek yerine kodu okutabilirsiniz.

Bir QR kod oluşturucu siteye başvurmadan önce statik ve dinamik kod arasındaki farkı bilmekte fayda var. Statik kod, hedef adresi doğrudan desenin içinde saklıyor ve o adres var olduğu sürece çalışmaya devam ediyor. Dinamik kod ise oluşturucu firmanın sunucusundaki kısa bir yönlendirme bağlantısını saklıyor. Bu, kod basıldıktan sonra hedefi değiştirmeye ve kaç kez okutulduğunu görmeye imkân tanıyor. Ancak dinamik kodlar yalnızca firma yönlendirmeyi sürdürdüğü sürece çalışıyor. "Ücretsiz" görünen pek çok oluşturucu, deneme süresi bittiğinde kodları devre dışı bırakıyor.

Statik kodlar da sonsuza kadar güvenli değil: yönlendirdikleri alan adının süresi dolarsa başka biri o adresi satın alabilir. Bir zamanlar Almanya'da bir ketçap şişesindeki QR kodun bu şekilde yetişkin içerikli bir siteye yönlendirmesi en bilinen örneklerden biri. Basılacak kodlar için en güvenli yol, kendi kontrolünüzdeki bir alan adına giden statik bir kod kullanmak.

Küçük kareler, büyük gelecek

QR kodlar bugün her zamankinden daha yetenekli. Meraklılar tek bir sürüm 40 kodun içine Yılan oyununu sığdırdı. Viyana Teknik Üniversitesi'ndeki araştırmacılar ise yalnızca elektron mikroskobuyla okunabilen dünyanın en küçük QR kodunu seramik bir filmin üzerine kazıdı. Asıl önemli gelişme ise QR kodun bir altyapıya dönüşmesi: market kasaları, Avrupa'daki pil pasaportları ve ayda milyarlarca işlem yapan ödeme ağları artık bu küçük karelere dayanıyor. Bu yüzden eski tavsiye her zamankinden daha geçerli: QR kod, fiziksel dünyayı dijital dünyaya bağlamanın son derece akıllıca bir yolu. Sadece okutmadan önce sizi nereye götürdüğüne bakın.