Imagen: ilustración editorial generada con IA; escena ficticia, sin lugares, negocios ni códigos reales.
Para comprobar el QR de la carta de un restaurante, mira primero el soporte, previsualiza el enlace si tu lector lo permite y confirma el destino con el personal si algo no encaja. Después, distingue lo que quieres hacer: ver precios, pedir y pagar son tres acciones diferentes. Un código en una mesa no demuestra por sí solo quién gestiona la página que abrirá.
Imagina que llegas con hambre, apuntas el móvil y aparece un formulario antes de la carta. No necesitas resolverlo deprisa. La pregunta útil es «¿esto forma parte de vuestra carta?». Esta guía ayuda a decidir cuándo continuar, cuándo pedir otra opción y qué hacer si ya has compartido datos, sin convertir cada menú digital en una alarma.
La comprobación que cabe en una conversación
- Mira el soporte. Una pegatina superpuesta, un borde levantado o un diseño distinto merece una consulta; tampoco prueba por sí solo una estafa.
- Lee el destino antes de tocar. Si el lector muestra una dirección, busca el nombre del sitio, no solo el logotipo que aparece después.
- Pregunta por un enlace que no reconozcas. El restaurante puede usar un proveedor externo legítimo. Pide al personal que confirme ese proveedor o que te facilite la carta.
- Detente ante una acción inesperada. Instalar una aplicación, introducir una contraseña o autorizar un pago no es lo mismo que consultar un plato.
La FTC explica que un QR puede ocultar un enlace a una página suplantada y recomienda inspeccionar la dirección. El dibujo cuadrado no incorpora una garantía de identidad.
Cómo leer una dirección sin ser especialista
En una dirección sencilla, busca el nombre del servidor antes de la primera barra después de https://. Si aparece @, no tomes lo que va delante como nombre del sitio: cafeejemplo.example@otro.example termina en otro servidor. Una dirección confusa merece una consulta al local. Los ejemplos usan el dominio reservado .example que recoge IANA; son ficticios.
| Ejemplo ficticio | Qué conviene observar |
|---|---|
carta.cafeejemplo.example/menu |
«carta» es un subdominio de cafeejemplo.example. |
cafeejemplo.otroservicio.example/menu |
El sitio está dentro de otroservicio.example; incluir el nombre del café al principio no demuestra que sea suyo. |
menucorto.example/abc |
Un enlace abreviado no deja ver el destino final. Puedes pedir al personal la dirección completa. |
Un dominio diferente puede ser un proveedor de menús, una plataforma de reservas o una web falsa. La dirección sirve para formular una buena pregunta, no para emitir un veredicto automático. Si el navegador termina en otro sitio tras una redirección, revisa de nuevo dónde estás antes de escribir nada.
El equipo de seguridad de Chrome distingue HTTPS de la confianza en una web: una conexión cifrada no acredita al negocio. Por eso un candado, un diseño bonito o un logotipo familiar no bastan. La misma costumbre de contrastar el origen resulta útil en nuestras pautas para verificar respuestas de búsquedas con IA.
La cámara no funciona igual en todos los teléfonos
Apple describe abrir el enlace tocándolo tras encuadrar el QR. En los dispositivos compatibles, Cámara de Google también muestra un banner que se toca para continuar. Otros lectores pueden actuar de forma distinta. Usa la vista previa cuando exista; si tu lector abre directamente una página, comprueba la dirección y no interactúes con una solicitud que no entiendas.
Si la carta pide email, teléfono o tarjeta
En su respuesta de consumo sobre registros antes de ver la carta, la Comunidad de Madrid indica que precios y carta deben poder consultarse sin obligar a facilitar datos personales. Su otra explicación sobre cartas QR señala que debe existir un formato alternativo accesible. Son orientaciones oficiales de ese ámbito: no hace falta entregar tu teléfono para salir de dudas.
Puedes decir «solo quiero ver los precios; ¿me dais la carta o una lista visible?». Si después decides usar un sistema de pedidos o pago, verifica con el local el proveedor, el importe y la acción que estás autorizando. Un servicio de pago legítimo puede pedir datos para esa operación; eso no convierte en legítimo cualquier formulario que aparezca al escanear.
Qué hacer si ya has abierto el enlace
| Lo que ocurrió | Siguiente paso |
|---|---|
| Solo abriste una página extraña | Ciérrala, evita descargas o permisos y explica al personal qué viste. No concluyas que el teléfono está infectado solo por haber abierto una web. |
| Introdujiste una contraseña | Accede al servicio desde su vía oficial, cambia la contraseña afectada y revisa la seguridad de la cuenta. |
| Diste datos de tarjeta o viste un cargo inesperado | Contacta cuanto antes con tu banco por un canal oficial y conserva URL, capturas y datos del incidente. |
El itinerario de INCIBE para víctimas de fraude distingue contraseñas, dispositivo y banco, y recoge la ayuda del 017. No sigas usando el enlace sospechoso para «solucionar» el problema.
Si aceptaste una instalación, permisos o una verificación por SMS inesperados, conserva lo ocurrido y pide orientación al servicio de asesoramiento 017. Consulta al operador por servicios telefónicos o cargos desconocidos y al banco si afectan a tu tarjeta; no des por hecho qué has autorizado.
Dos dudas frecuentes
¿Una pegatina significa que el QR es falso?
No. Puede ser una actualización legítima. Confirma con el local una superposición extraña y evita quitar o manipular el soporte. La apariencia aporta una pista; la confirmación del destino aporta otra.
¿Debo descargar un lector nuevo para ver una carta?
Prueba primero la cámara que ya tiene tu móvil. Si no funciona, pide la dirección oficial o la carta alternativa. No instales una aplicación a partir de una petición inesperada del menú.
Fuentes consultadas el 7 de octubre de 2026. Comprueba en las fuentes oficiales los detalles que dependen de la fecha, del pedido o del modelo.
