Use o endereço definitivo, de preferência com https. Mudá-lo depois invalida os QR já impressos.
Para onde vai quem abrir só o endereço base, sem código.
É o único que pode criar outros utilizadores.