Pixel de suivi email : l’expéditeur voit-il l’ouverture ?

Ce qu’est vraiment un pixel de suivi

Aucune technologie particulière n’entre en jeu, et c’est justement pour cela qu’on le trouve partout. Ce sont trois choses ordinaires assemblées :

Une image que personne n’est censé voir

Le plus souvent un pixel de large et transparente, ou un espaceur qui se fond dans la mise en page. Peu importe à quoi elle ressemble ; elle n’existe que pour être récupérée.

Une URL qui n’appartient qu’à vous

L’adresse de cette image porte un identifiant propre à l’exemplaire du message qui vous a été envoyé. Deux personnes qui ouvrent la même newsletter récupèrent deux URL différentes.

Une requête, et c’est tout

Votre client de messagerie demande cette image au serveur de l’expéditeur. Le serveur n’a pas besoin de répondre utilement — il lui suffit de noter qu’on la lui a demandée, par qui, et quand.

Rien n’est installé, rien n’est exécuté, et aucune règle n’est enfreinte. C’est le comportement ordinaire d’un client de messagerie affichant une image, transformé en signal.

Ce qu’une seule requête révèle à l’expéditeur

Bien plus que ce qu’on attend d’une image, et cela arrive que vous répondiez ou non :

• Que l’adresse est active et lue par un humain. Le fait le plus précieux de tous : il fait passer l’adresse d’une simple liste à une cible confirmée, et les adresses confirmées se revendent et se réutilisent.
• Le moment où vous l’avez ouvert — à la seconde près, et à chaque nouvelle ouverture. Ouvrir un message trois fois en une semaine, ce sont trois données sur vos habitudes.
• Votre adresse IP, et donc à peu près où vous êtes et sur quel réseau. Pas une rue, mais le plus souvent une ville et un fournisseur d’accès.
• Votre appareil et votre client de messagerie, d’après le user agent que porte la requête.
• Que le message a circulé, quand la même URL unique est récupérée depuis deux endroits très différents — ce à quoi ressemble un transfert vu de l’extérieur.

Ce qu’un pixel de suivi ne révèle pas

Cela mérite d’être précisé, car la crainte est généralement plus grande que la réalité :

Pas qui vous êtes

Un pixel identifie le message, pas la personne. Ce qui le relie à un nom, c’est l’adresse à laquelle il a été envoyé — précisément la part qu’une adresse jetable ne révèle pas.

Pas ce que vous avez fait ensuite

Ouvrir un message ne dit rien sur le fait de l’avoir lu, d’y avoir cru, ou d’avoir agi en conséquence. Seul un clic le dit.

Rien du tout, s’il ne se charge jamais

Un pixel jamais récupéré ne laisse aucune trace. Il n’existe ni signal de repli, ni nouvelle tentative, ni second canal — le silence est indissociable du fait de n’avoir jamais reçu le message.

Comment cette boîte bloque les images distantes

Les images distantes sont bloquées dès l’ouverture d’un message, et vous les activez pour le message affiché d’un simple clic. Ce qui mérite d’être expliqué, c’est le comment, car c’est lui qui rend le blocage fiable :

Le corps d’un message est du HTML écrit par un inconnu, il n’est donc jamais affiché dans la page elle-même. Il est servi depuis sa propre adresse, dans un cadre en bac à sable, sous une politique qui lui est propre — et c’est cette politique qui bloque les images :

Content-Security-Policy: default-src 'none'; style-src 'unsafe-inline';
                         img-src data:; media-src 'none'; font-src 'none';
                         script-src 'none'; form-action 'none';
                         frame-ancestors 'self'; base-uri 'none';
                         sandbox allow-popups allow-popups-to-escape-sandbox

Bloquer par politique plutôt que par modification du message, voilà la décision qui compte. Réécrire le HTML suppose de repérer chaque attribut capable de charger quelque chose — src, srcset, background, une URL dans une règle de style — et en oublier un seul défait silencieusement tout l’exercice. Une politique n’a rien à repérer : rien ne peut être chargé sauf ce qui est explicitement nommé, et seul data: l’est.

Les images intégrées s’affichent quand même

img-src data: est toujours autorisé, car une image transportée à l’intérieur même du message ne demande rien à personne. C’est pourquoi certaines images s’affichent même quand le blocage est actif.

Rien d’autre ne peut se charger

Ni scripts, ni polices distantes, ni vidéo, ni cadres imbriqués, ni envoi de formulaire. Une police hébergée par l’expéditeur est une requête de suivi comme une autre, et elle est bloquée aussi.

Une image bloquée laisse une trace

Un discret cadre hachuré, pour qu’un message à qui il manque une image ne semble pas cassé — et seulement quand le blocage est actif, pour qu’une image légitime ne soit jamais dessinée sur un fond hachuré.

Le cadre est également en bac à sable, ce qui protège d’un problème différent : la politique empêche le message de sortir vers l’extérieur, et le bac à sable l’empêche d’agir sur ce qui l’entoure. Ni l’un ni l’autre ne dépend du bon fonctionnement de l’autre.

Ce que font les autres messageries

Le blocage n’est pas la seule approche, et celle qu’adopte votre autre messagerie détermine ce que l’expéditeur obtient réellement de vous. Il en existe trois, à des degrés de protection très différents :

Récupérer l’image à votre place

Le fournisseur de messagerie web récupère lui-même chaque image distante et vous en sert une copie. L’expéditeur voit une requête venant du fournisseur, pas de vous, si bien que votre adresse et votre localisation restent hors de portée — mais l’ouverture est tout de même enregistrée, et elle l’est dès l’affichage du message.

Tout récupérer, pour tout le monde

Certains clients préchargent le contenu de chaque message dès son arrivée, qu’on l’ouvre ou non. C’est la plus protectrice des trois pour le lecteur : un pixel qui se déclenche pour chaque message ne dit rien à l’expéditeur sur ceux qui ont réellement été lus. C’est aussi pour cela que les taux d’ouverture ont cessé de vouloir dire grand-chose.

Bloquer, puis demander

Ce que font la plupart des clients de bureau, et ce qui se passe ici : rien de distant ne se charge tant que vous ne l’avez pas décidé. La différence, c’est qu’un proxy décide à votre place, alors qu’ici personne ne décide pour vous — la requête n’est tout simplement jamais faite, sauf si vous la faites.

Aucune des trois n’exige quoi que ce soit de l’expéditeur, et aucune ne peut être détectée de l’extérieur avec certitude. Cela vaut aussi la peine d’être retenu dans l’autre sens : si vous envoyez des messages et lisez des taux d’ouverture, une bonne part de vos ouvertures sont des proxys, et une bonne part de vos non-ouvertures sont des personnes qui ont lu le message images désactivées.

Le traceur que bloquer les images n’arrête pas

Chaque lien d’un message commercial peut porter le même identifiant que le pixel, et c’est généralement le cas. L’adresse que vous voyez n’est pas toujours celle que vous visitez : en cliquant, vous atterrissez souvent sur un redirecteur qui enregistre le clic avant de vous transférer.

Cela compte plus que le pixel, dans les deux sens. Un clic prouve qu’un humain a lu le message et choisi d’agir, ce qui vaut bien plus pour un expéditeur qu’une simple ouverture — et contrairement à une ouverture, cela reste entièrement sous votre contrôle.

• Lisez la destination avant de cliquer. Survolez le lien ou faites un appui long : un lien dont le texte visible et la cible réelle diffèrent mérite déjà la méfiance.
• Tapez vous-même la destination quand il s’agit d’un site que vous connaissez déjà. Personne n’a besoin de vous envoyer vers votre propre page de compte.
• Ne cliquez jamais sur « se désinscrire » pour un courrier auquel vous ne vous êtes pas inscrit. Sur du marketing légitime, cela fonctionne ; sur un message envoyé à une adresse devinée, c’est une réponse, et elle confirme exactement ce que le pixel voulait savoir.

Ici, les liens s’ouvrent dans leur propre onglet et ne transmettent aucun référent, si bien que la destination ignore quel message vous y a envoyé. Cela protège la boîte — pas le clic lui-même.

Les accusés de réception, et pourquoi aucun n’est jamais envoyé

Certains messages le demandent ouvertement : un en-tête réclamant que votre client de messagerie confirme la remise ou la lecture du message. Dans un client ordinaire, cela ouvre une boîte de dialogue, et la réponse polie est souvent la mauvaise.

Ici, la question ne se pose même pas. Ce service ne fait que recevoir — il n’existe aucune voie d’envoi, donc une demande d’accusé de réception ne trouve ici rien à quoi répondre. Ce n’est pas un réglage qu’on pourrait activer par erreur ; la fonction elle-même n’existe pas.

La version texte brut, la plus discrète à lire

Presque tout message mis en forme transporte une copie en texte brut à côté du HTML — les expéditeurs l’incluent parce que certains clients en ont besoin. Elle ne contient ni image, ni style, ni aucun moyen de charger quoi que ce soit : la lire ne déclenche donc strictement aucune requête.

La boîte la propose sous le message. Pour un code de confirmation ou un lien que vous attendiez, c’est généralement la lecture la plus rapide autant que la plus discrète.

Ce que l’adresse elle-même révèle

Tout ce qui précède concerne un seul message. L’adresse, elle, les concerne tous, et c’est de loin le signal le plus fort :

• Une seule adresse utilisée partout relie tout entre elles. Deux entreprises qui détiennent la même adresse détiennent le même identifiant, qu’elles comparent leurs notes ou non. Un courtier qui achète les deux listes en fait son métier.
• Une adresse jetable retient la part qui vous identifie, ce qui explique pourquoi un pixel qui se déclenche depuis l’une d’elles en dit bien moins à l’expéditeur que le même pixel dans votre vraie boîte.
• Une adresse par service transforme une fuite en un nom. Quand du courrier commence à arriver sur l’adresse qu’une seule entreprise a jamais eue, vous savez laquelle.

Le guide sur s’inscrire sans donner sa véritable adresse couvre cette habitude en détail, y compris l’alias — une seconde adresse qui atteint la boîte sans pouvoir la lire.

Cinq habitudes qui réduisent vraiment les fuites

1. Laissez les images désactivées. Elles le sont par défaut ici ; les activer pour un message précis quand vous en avez besoin est une décision, pas un réglage par défaut.
2. Lisez la version texte brut quand le message est un code, un lien ou un reçu. Elle ne peut rien charger.
3. Considérez qu’un clic parle plus fort qu’une ouverture, et tapez vous-même les destinations que vous connaissez plutôt que de les suivre.
4. Utilisez une adresse différente par service, et communiquez l’alias plutôt que l’adresse.
5. Supprimez le message une fois que vous en avez terminé. Tout disparaît de toute façon au bout de 5 jours, mais un message dont vous n’avez plus besoin n’a aucune raison de traîner.

Rien de tout cela ne vous rend invisible, et quiconque le promet essaie de vous vendre quelque chose. Cela élimine les signaux faciles — la seule part qui soit vraiment entre vos mains.

Ce que ce site conserve à propos d’une boîte publique, et pour combien de temps, est détaillé sur la page de confidentialité — y compris la phrase la plus importante de toutes : quiconque connaît une adresse publique peut la lire.

Questions