QR-коды для контроля доступа: как это работает и где применяется

Летом 2021 года Москва запустила один из крупнейших в стране экспериментов по массовой проверке QR-кодов: рестораны и кафе были обязаны пускать гостей только по коду о вакцинации, а власти обещали распространить систему и на другие сферы. За несколько недель миллионы москвичей научились предъявлять на входе не паспорт и не карту, а телефон с QR-кодом — и это стало массовой репетицией технологии, которую сегодня используют для повседневного контроля доступа: в офисах, бизнес-центрах, на проходных заводов, в фитнес-клубах и на мероприятиях.

Контроль доступа по QR-коду — частный случай СКУД (систем контроля и управления доступом) — сегодня уже не про пандемию, а про то, как быстро и дёшево ограничить и учитывать проход людей без выдачи физических пропусков. Сам QR-код бесплатный и открытый стандарт, а вся сложность разработки — в мобильном приложении для генерации и сканирования кодов, сервере проверки прав и интеграции с турникетом или контроллером СКУД. Если такое решение нужно вашему бизнесу — команда мобильной разработки YuSMP Group спроектирует приложение и интеграцию с оборудованием под вашу инфраструктуру.

В статье разберём, как устроен контроль доступа по QR-коду технически, чем статический код отличается от динамического, когда QR-код выгоднее карты или BLE-метки, где эту технологию применяют на практике, сколько стоит внедрение и как сложилась судьба московского эксперимента 2021 года.

Что такое контроль доступа по QR-коду

QR-код (Quick Response Code — «код быстрого реагирования») — двумерный матричный штрихкод, который в 1994 году разработала японская компания Denso Wave, производитель автокомпонентов: обычный линейный штрихкод не вмещал нужный объём данных для маркировки деталей на конвейере. В отличие от привычной полосатой «зебры» QR-код кодирует данные в квадратной сетке чёрно-белых модулей и вмещает в разы больше информации, а три крупных квадрата по углам позволяют камере распознать код под углом и даже при частичном повреждении рисунка.

Для контроля доступа поверх этого стандарта строят прикладную логику: в код зашивают не ссылку на сайт, а зашифрованный идентификатор пропуска — сотрудника, гостя, билета или транспортного средства — со сроком действия и уровнем доступа. Сканер на турникете или в приложении охраны читает код, отправляет идентификатор на сервер, сервер проверяет права и время действия и отдаёт команду «открыть» или «отказать». Технология подходит и для разовых гостевых пропусков, и для постоянных сотрудников — разница только в том, генерируется код заново на каждый проход или остаётся статичным.

Как работает система контроля доступа по QR-коду

Для конечного пользователя весь процесс укладывается в три шага: получить код (в приложении, по e-mail или на бумажном бланке), поднести его к сканеру и дождаться сигнала о проходе. Техническая часть при этом устроена сложнее и обычно состоит из четырёх компонентов:

• Генератор кодов — сервис или приложение, которое выпускает QR-код под конкретного человека, привязывая к нему права доступа, зону и срок действия;
• Считыватель — камера на турникете, ридер с подсветкой или обычная камера смартфона охранника, которая распознаёт рисунок и извлекает из него данные;
• Сервер проверки — сверяет идентификатор с базой пропусков, проверяет, не истёк ли срок действия и не использован ли уже одноразовый код, и решает, пускать человека или нет;
• Исполнительное устройство — турникет, электрозамок или шлагбаум, который физически открывает проход по команде сервера.

Ключевое отличие от обычного считывания ссылки смартфоном — в закрытом формате данных: код не «ведёт» на сайт, а содержит подписанный или зашифрованный токен, который без доступа к серверу проверки бесполезен. Это защищает систему от простого копирования картинки кода с чужого экрана.

Статический и динамический QR-код: в чём разница

На практике встречаются два принципиально разных подхода.

Статический QR-код генерируется один раз и не меняется — например, постоянный пропуск сотрудника, который можно распечатать и заламинировать. Он проще и дешевле во внедрении, но у него есть слабое место: если код сфотографировать с чужого экрана или бейджа, дубликат будет работать до тех пор, пока его не заблокируют вручную.

Динамический QR-код перегенерируется каждые несколько секунд или при каждом новом проходе — как одноразовый пароль. Такой код нельзя переиспользовать: скриншот устаревает раньше, чем им успевают воспользоваться злоумышленники. Это дороже во внедрении — нужно постоянное соединение приложения с сервером, — зато закрывает основную уязвимость статического варианта и подходит для зон с более высокими требованиями к безопасности: серверных, кассовых узлов, объектов с ограниченным доступом.

QR-код или альтернативы: сравнение с картой доступа и BLE-меткой

QR-код — не единственный способ бесконтактного прохода. На практике его чаще всего сравнивают с картой доступа (RFID/Mifare) и BLE-меткой (Bluetooth Low Energy, доступ со смартфона «в кармане», без сканирования):

Вывод простой: QR-код выигрывает там, где важны низкая стоимость и разовые или гостевые пропуска — мероприятия, коворкинги, визиты подрядчиков. Карта остаётся быстрее и надёжнее для потока постоянных сотрудников, а BLE — самый комфортный вариант для проходных с высокой проходимостью, но и самый дорогой в развёртывании.

Где применяют контроль доступа по QR-коду

На практике технология закрывает пять типовых сценариев:

• Офисы и бизнес-центры — пропуск сотрудников и гостей без выдачи физических карт, особенно удобно для гибридных команд и переговорных с большим потоком приглашённых;
• Фитнес-клубы и спортивные объекты — динамический код в приложении вместо магнитного браслета, интеграция с расписанием занятий и абонементом;
• Мероприятия и конференции — билет с QR-кодом заменяет бумажный бейдж, а система сразу считает реальную посещаемость по залам;
• Жилые комплексы и паркинги — временный код для курьера, гостя или клининга без физического ключа от шлагбаума;
• Производство и склады — контроль допуска подрядчиков на объект с ограничением по зонам и времени смены.

Преимущества и ограничения QR-кода в СКУД

Плюсы:

• низкий порог входа — сканер можно организовать на обычном смартфоне или недорогой камере без специализированного оборудования;
• удобно для разовых и гостевых пропусков — код высылают по ссылке заранее, без визита на объект;
• легко масштабируется на новые точки прохода — не нужно тянуть отдельную проводку под считыватель;
• динамический код сложно скопировать и переиспользовать.

Ограничения:

• зависимость от смартфона или распечатанного носителя — если телефон разрядился, нужен запасной сценарий прохода;
• прицельное сканирование медленнее, чем проход по карте или BLE — на проходных с высоким потоком это узкое место;
• статический QR-код легко сфотографировать с чужого экрана, поэтому для чувствительных зон нужен именно динамический вариант;
• на улице или при плохом освещении читаемость кода снижается — камере нужен контраст и отсутствие бликов.

Персональные данные и 152-ФЗ: что учесть при внедрении

Система контроля доступа по QR-коду обычно хранит не только код, но и данные человека, к которому он привязан: ФИО, номер телефона, а иногда — фото или сведения о состоянии здоровья (как было с QR-кодами о вакцинации). Это персональные данные в терминах 152-ФЗ «О персональных данных», и их обработка требует согласия субъекта, политики обработки данных, ограничения доступа к базе пропусков и, по общему правилу, хранения на серверах на территории России.

На практике проще заложить это на этапе проектирования системы, а не дорабатывать задним числом: минимизировать состав хранимых данных (например, хранить не сам ФИО, а внутренний ID), настроить логирование доступа к базе пропусков и срок хранения логов, заранее подготовить форму согласия для гостевых и разовых пропусков. Проверить, соответствует ли уже работающая система или сайт компании требованиям 152-ФЗ, можно инструментом проверка сайта по 152-ФЗ от YuSMP Group.

Как внедрить систему контроля доступа по QR-коду

1. Определите зоны и уровни доступа. Составьте список точек прохода и то, кому и когда они должны быть открыты — это база для логики генератора и сервера проверки.
2. Выберите статический или динамический код под каждую зону: для постоянных сотрудников в зонах с низким риском подойдёт статический вариант, для чувствительных участков — динамический.
3. Спроектируйте архитектуру: мобильное или веб-приложение для выдачи кодов, сервер проверки прав, интеграция со считывателями и исполнительными устройствами (турникет, замок, шлагбаум).
4. Настройте интеграции с уже используемыми системами — HR/CRM для автоматической выдачи и отзыва пропусков, системой бронирования переговорных или билетной платформой для мероприятий.
5. Проведите пилот на одной точке прохода, проверьте скорость сканирования, читаемость кода при разном освещении и сценарий на случай разряженного телефона.
6. Масштабируйте на остальные точки и настройте мониторинг: логи проходов, алерты на попытки использовать просроченный или уже погашенный код.

Технически самая трудоёмкая часть — не сам QR-код, а связка «приложение + сервер проверки + оборудование». Если у вас уже есть турникеты или контроллер СКУД, разработка обычно сводится к бэкенду и мобильному приложению — с этим может помочь команда разработки мобильных приложений YuSMP Group.

Кейс: как Москва в 2021 году массово внедрила проверку QR-кодов

Летом 2021 года столичные власти столкнулись с задачей, для которой QR-контроль подошёл лучше любой альтернативы: нужно было за несколько недель организовать проверку статуса вакцинации на входе в тысячи заведений общепита без установки специального оборудования.

Схема была устроена так: заведение, не подключённое к системе проверки, могло работать только на доставку и самовывоз. Остальные обязаны были на входе сверять QR-код о вакцинации с документом, удостоверяющим личность гостя, — бумажные справки и сертификаты не принимались. Получить код можно было несколькими способами: через электронную медкарту, портал mos.ru, сервис ЕМИАС.ИНФО, приложение «Госуслуги.Стопкоронавирус», раздел «Здоровье» на Госуслугах или лично в регистратуре поликлиники. Проверяли код официальные городские сервисы — «Помощник Москвы», «Моя Москва», «Госуслуги Москвы» и «Московский транспорт» — через штатную функцию сканирования камерой смартфона, без закупки отдельных ридеров.

Показательно, что именно отсутствие специального оборудования и стало причиной массовых проблем на старте: только за первые недели пользователи оставили более 19 000 обращений в техподдержку сервисов проверки. Для бизнеса это был наглядный урок: QR-код — дешёвый и быстрый способ развернуть контроль доступа в масштабе города, но без нормального пилота и резервных сценариев (что делать при сбое сети или разряженном телефоне) внедрение такого масштаба почти неизбежно упирается в перегруженную техподдержку. Требование об обязательной проверке QR-кодов в московском общепите позже отменили вместе со снятием прочих антиковидных ограничений, но сама инфраструктура проверки — сервисы, сканирование камерой смартфона, привязка кода к личности — легла в основу многих современных систем контроля доступа, которые сегодня используют вне контекста пандемии.

Сколько стоит внедрение системы контроля доступа по QR-коду

Итоговая стоимость складывается из трёх статей: разработка или доработка приложения для генерации и сканирования кодов, серверная часть с проверкой прав и логированием, и интеграция с уже установленным оборудованием (турникеты, замки, шлагбаумы).

• Минимальный сценарий — QR-код проверяет охранник приложением на своём смартфоне, без интеграции с турникетом. Дешевле всего и разворачивается быстрее остальных вариантов.
• Средний сценарий — отдельное мобильное приложение с генерацией кодов, сервер проверки и интеграция с одной-двумя точками прохода (турникет или электрозамок).
• Комплексный сценарий — полноценная система на несколько зданий или зон доступа, с HR-интеграцией для автовыдачи пропусков, аналитикой проходов и резервными сценариями на случай сбоя сети.

Точную сумму и сроки считают под конкретный объект — количество точек прохода, требуемые интеграции и SLA по надёжности сильно меняют бюджет.

Частые вопросы (FAQ)

Чем контроль доступа по QR-коду отличается от обычного QR-кода на упаковке или в рекламе?

Обычный QR-код — открытая ссылка, которую может отсканировать кто угодно. Код для контроля доступа содержит подписанный или зашифрованный идентификатор пропуска, который без доступа к серверу проверки бесполезен — просто отсканировать его недостаточно, чтобы пройти.

Можно ли скопировать чужой QR-пропуск со скриншота?

Для статического кода — технически да, это его главная уязвимость. Для динамического кода, который перегенерируется каждые несколько секунд, скриншот устаревает раньше, чем им успевают воспользоваться, поэтому для зон с повышенными требованиями к безопасности выбирают именно динамический вариант.

Что произойдёт, если у посетителя разрядился телефон?

Нужен резервный сценарий на этапе проектирования: распечатанный код, временный бумажный пропуск от охраны или дублирующий способ идентификации. Полагаться только на смартфон гостя рискованно — это стоит заложить в систему заранее, а не решать по факту на проходной.

QR-код медленнее карты доступа — это критично?

На проходных с высоким потоком (метро, крупный бизнес-центр в час пик) — да, разница в 2–3 секунды на человека ощутима. Для офисов, фитнес-клубов, мероприятий и гостевого доступа, где поток меньше, эта разница обычно не мешает.

Нужно ли покупать специальное оборудование для считывания QR-кода?

Необязательно — минимальный сценарий работает через камеру обычного смартфона охраны или ресепшена, без закупки ридеров. Специализированные считыватели нужны только там, где важна высокая скорость прохода в потоке, например на турникетах с большой проходимостью.

Подходит ли QR-код для контроля доступа автотранспорта на парковке?

Да, распространённый сценарий — временный QR-код для курьера или гостя, который сканируется камерой на шлагбауме или показывается охране. Для постоянных резидентов чаще используют распознавание номеров или карту — QR-код там удобнее именно для разовых и гостевых проездов.

Сколько времени занимает разработка системы контроля доступа по QR-коду?

Минимальный сценарий без интеграции с оборудованием можно запустить за несколько недель. Полноценная система с интеграцией турникетов, HR и аналитикой обычно занимает от 2–3 месяцев в зависимости от количества точек прохода и требуемых интеграций.

Если вашему проекту нужна разработка системы контроля доступа по QR-коду, в компании YuSMP Group вам помогут. Свяжитесь с нами, чтобы получить бесплатную консультацию!