Deux choses, et il faut les deux. Un QR code que tu montres une fois depuis ton panneau, et un code à quatre chiffres que tu donnes à la personne. Le QR sans le code ne donne rien, le code sans le QR non plus.
C'est délibérément le seul moment où quelqu'un a besoin de toi. Après, son téléphone est appairé et il scanne sans rien te demander, jusqu'au jour où tu coupes l'accès.
Ce qui se passe à l'appairage
Tu crées la personne dans ton équipe. Kanz génère à cet instant son code à quatre chiffres et un QR d'appairage, et te montre le code une seule fois. Il n'est stocké nulle part en clair, donc personne, pas même Kanz, ne peut te le relire ensuite. Si la personne le perd, tu en génères un nouveau ; tu ne le retrouves pas.
Le QR est valable 24 heures et ne sert qu'une fois. C'est court exprès : un lien d'appairage qui traîne trois semaines dans une conversation est un lien qui finit sur un téléphone que tu n'as pas choisi.
Sur le téléphone, la personne ouvre le QR et saisit son code. Les deux sont vérifiés ensemble. Si ça échoue, le message est le même dans les trois cas de figure : QR inconnu, QR déjà utilisé, QR expiré. Ce n'est pas de la paresse d'écriture. Trois messages différents apprendraient à quelqu'un qui essaie des liens au hasard lesquels ont existé, et un message d'erreur qui distingue « ça n'existe pas » de « ça a expiré » est une réponse à une question qu'on n'aurait pas dû laisser poser.
Après l'appairage, c'est le téléphone qui est la clé
Une fois l'appairage fait, le téléphone détient une clé d'appareil qui lui est propre. Elle est revérifiée à chaque scan, pas seulement à l'ouverture : si tu coupes l'accès pendant le service, le scan suivant est refusé, pas celui de demain matin.
La conséquence pratique tient en une phrase : l'appareil est l'identifiant. Kanz ne redemande pas le code à chaque prise de poste, donc un téléphone appairé reste un téléphone appairé.
Ça donne deux règles de comptoir, et elles comptent plus que tout le reste de cet article.
Un téléphone par personne. Si trois personnes se passent le même téléphone, tes scans sont tous attribués à la même fiche, et la question « qui a validé cette récompense » n'a plus de réponse. Ce n'est pas un problème de sécurité, c'est un problème de comptabilité, et c'est celui qui se remarque en premier.
Coupe l'accès le jour du départ, pas la semaine d'après. Un téléphone appairé qui part avec quelqu'un reste appairé. Le geste prend deux secondes et il n'y a aucune raison de l'ajourner.
Comment on coupe
Deux niveaux, selon ce que tu veux.
Tu peux révoquer un téléphone, ce qui est le bon geste quand un appareil est perdu ou remplacé et que la personne reste. Elle se réappaire avec un nouveau QR.
Tu peux désactiver la personne, ce qui coupe d'un coup tous les téléphones qu'elle a appairés, y compris ceux que tu avais oubliés. C'est le bon geste pour un départ.
Dans les deux cas c'est immédiat au sens strict : la vérification a lieu à la requête suivante, pas à la prochaine ouverture de session ni au prochain rafraîchissement.
Pourquoi le scanner n'est pas simplement un compte
La question revient souvent : pourquoi ne pas donner un identifiant et un mot de passe, comme partout ?
Parce que ce n'est pas la même situation. Le scanner est un outil de comptoir, utilisé cent fois par jour, souvent d'une main, parfois avec quelqu'un qui attend en face. Un écran de connexion à ce moment-là est un écran qu'on contourne : on reste connecté en permanence, on note le mot de passe sous la caisse, on le partage. Le résultat est un compte partagé, ce qui est exactement ce qu'on voulait éviter.
Un appareil appairé résout ça dans l'autre sens. L'authentification a lieu une fois, quand il y a le temps de la faire correctement, et ce qui reste ensuite est révocable par toi, individuellement, sans rien changer pour les autres.
Et le scanner ne donne accès qu'au comptoir : enregistrer un passage, chercher un client par son numéro, valider une récompense. Il ne donne pas accès à tes réglages, à ta facturation ni à ta liste complète. Une personne appairée ne peut pas faire ce que toi tu fais.
Ce que ça donne au quotidien
Tu ne t'en occupes pas. C'est le but : le seul moment où l'accès demande une action de ta part est le jour de l'arrivée et le jour du départ.
Entre les deux, la seule chose à surveiller est la liste des téléphones appairés. Si elle contient un appareil que tu ne reconnais pas, c'est qu'un QR a servi à quelqu'un d'autre, et la réponse est la même que pour un trousseau de clés : tu révoques, et tu réappaires ceux qui doivent l'être.
Le fonctionnement du scan lui-même, et pourquoi le code de la carte se vérifie sans interroger de base de données, est décrit ici.