メール開封はバレる?トラッキングピクセルの仕組みとIPアドレス・既読が伝わる理由

トラッキングピクセルとは何か

特別な技術は何も使われていません。だからこそ、あらゆる場所に存在しているのです。仕組みはごく普通の3つの要素の組み合わせにすぎません。

誰にも見られるつもりのない画像

たいていは1ピクセル四方の透明な画像か、レイアウトの一部に見えるスペーサーです。画像の見た目自体には何の意味もなく、ただ読み込まれるためだけに存在します。

あなただけのURL

その画像のアドレスには、あなたに送られたメッセージのコピー固有の識別子が埋め込まれています。同じニュースレターを開いても、2人が取得するURLはそれぞれ別物です。

それこそが目的であるリクエスト

あなたのメールクライアントが、送信者のサーバーにその画像を要求します。サーバー側は役に立つ返事をする必要すらありません。誰から、いつ要求されたかを記録するだけで十分だからです。

何もインストールされず、何も実行されず、ルール違反も一切ありません。これは、メールクライアントが画像を表示するという、ごく普通の動作を信号に変えているだけです。

1回のリクエストで送信者に伝わること

たいていの人が画像に対して想像する以上の情報が、返信するかどうかに関係なく伝わります。

• そのアドレスが生きていて、実際に人間が読んでいること。これが最も価値のある事実です。アドレスを単なるリストの一項目から確認済みのターゲットへと格上げし、確認済みのアドレスは売買され、使い回されます。
• 開封した日時 — 秒単位で、しかも開き直すたびに毎回記録されます。1週間で3回メッセージを開けば、あなたの習慣について3つのデータが生まれます。
• あなたのIPアドレス。そこから、だいたいの所在地とどの回線を使っているかが分かります。番地までは分かりませんが、たいてい都市名とプロバイダは分かります。
• 使用している端末とメールクライアント。リクエストに含まれるユーザーエージェントから分かります。
• メッセージが転送されたこと。同じ固有URLがまったく異なる2つの場所から取得された場合です。これは外から見ると、転送そのものの姿です。

トラッキングピクセルが伝えないこと

ここは正確に理解しておく価値があります。たいてい、恐れているほどのことは起きていないからです。

あなたが誰かは分からない

ピクセルが識別するのはメッセージであって、人物ではありません。それを名前に結びつけるのは送信先のアドレスであり、そこは使い捨てアドレスが渡さない部分です。

その後の行動は分からない

メッセージを開いたという事実だけでは、それを読んだか、信じたか、行動したかは何も分かりません。それが分かるのはクリックだけです。

一度も読み込まれなければ、何も伝わらない

取得されなかったピクセルは、記録を一切残しません。代わりの信号も、再試行も、別の経路もありません — 沈黙は、メッセージを一度も受け取らなかった場合と区別がつきません。

この受信箱での対処方法

外部画像は、メッセージを開いた瞬間からブロックされており、目の前のメッセージだけ、ワンクリックで表示できます。説明する価値があるのはどうやってブロックしているかです。その仕組みこそが、信頼できる理由だからです。

メッセージ本文は見知らぬ相手が書いたHTMLなので、ページの中に直接描画されることはありません。専用のアドレスから、サンドボックス化されたフレームへ、独自のポリシーのもとで配信されます — そして画像をブロックしているのは、このポリシーです。

Content-Security-Policy: default-src 'none'; style-src 'unsafe-inline';
                         img-src data:; media-src 'none'; font-src 'none';
                         script-src 'none'; form-action 'none';
                         frame-ancestors 'self'; base-uri 'none';
                         sandbox allow-popups allow-popups-to-escape-sandbox

メッセージを書き換えるのではなくポリシーでブロックする、これが重要な決定です。HTMLを書き換える方式では、何かを取得しうる属性をすべて見つけ出す必要があります — src、srcset、background、スタイルルール内のURLなど — そして一つでも見逃せば、対策全体が静かに無効化されます。ポリシーであれば何かを見つけ出す必要はありません。名指しされていない限り何も取得されず、名指しされているのはdata:だけです。

インライン画像は表示される

img-src data:は常に許可されています。メッセージ内部に埋め込まれた画像は、誰にも何も要求しないからです。ブロックが有効な状態でも一部の画像が表示されるのはこのためです。

それ以外は一切読み込まれない

スクリプトも、外部フォントも、動画も、入れ子のフレームも、フォーム送信も許可されません。送信者がホストするフォントも、他のトラッキングリクエストと変わらないため、同様にブロックされます。

ブロックされた画像には印が残る

目立たない斜線入りの枠が表示されるため、画像が欠けたメッセージが壊れているようには見えません。しかもブロックが有効なときだけ表示されるので、正規の画像が斜線の背景の上に描かれることはありません。

フレーム自体もサンドボックス化されており、これは別の問題に対する別の防御です。ポリシーはメッセージが外へ働きかけるのを止め、サンドボックスはメッセージが内へ働きかけるのを止めます。どちらか一方が正しく機能していなくても、もう一方には影響しません。

他の受信箱はどう対処しているか

ブロックだけが唯一の方法ではなく、普段使っているメールボックスがどの方式を採用しているかによって、送信者が実際に何を得るかが決まります。方式は3つあり、それぞれ保護の度合いが大きく異なります。

画像を代理で取得する方式

ウェブメールの提供元が外部画像をすべて自ら取得し、そのコピーをあなたに渡します。送信者に見えるのはあなたではなく提供元からのリクエストなので、あなたのアドレスや所在地は表には出ません — ただし開封そのものは記録され、しかもメッセージが表示された瞬間に記録されます。

全員分をまとめて取得する方式

一部のクライアントは、届いたメッセージの内容を、誰かが開封したかどうかに関係なくすべて事前に読み込みます。読み手にとっては3つの中で最も強力な方式です。すべてのメッセージで発火するピクセルは、どれが実際に読まれたかを送信者に何も教えません。開封率がほとんど意味を持たなくなった理由でもあります。

ブロックしてから確認する方式

多くのデスクトップクライアントがこの方式で、ここでも同じです。あなたが許可するまで、外部のものは何も読み込まれません。プロキシ方式との違いは、代わりに判断してくれる存在がいないことです — あなたが取得を求めない限り、リクエストはそもそも発生しません。

この3つはいずれも送信者側に何かを要求するものではなく、外部から確実に見分けることもできません。逆の立場でも覚えておく価値があります — もしあなたがメールを送る側で開封率を見ているなら、その「開封」の多くはプロキシによるものであり、「未開封」の多くは画像をオフにして読んだ人たちです。

画像をブロックしても止められない追跡

商用メッセージ内のリンクは、ピクセルと同じ識別子を持たせることができ、たいてい実際に持たせています。表示されているアドレスが、実際にアクセスするアドレスとは限りません。クリックすると、多くの場合クリックを記録してから転送するリダイレクターを経由します。

これはピクセルよりも重要で、それは両方の意味においてです。クリックは人間がメッセージを読み、かつ行動を選んだことを証明します。これは送信者にとって開封よりもはるかに価値があり、しかも開封と違って、完全にあなたの意思でコントロールできます。

• クリックする前にリンク先を確認する。ホバーするか長押ししてください。表示されているテキストと実際のリンク先が食い違うリンクは、それだけで疑う価値があります。
• すでに知っているサイトなら、自分でアドレスを入力する。自分のアカウントページへ、誰かに案内してもらう必要はありません。
• 登録した覚えのないメールの配信停止リンクは、絶対にクリックしない。本物のマーケティングメールなら効果がありますが、推測されたアドレス宛てのメッセージの場合、それは一種の返信であり、まさにピクセルが知りたがっていたことをそのまま教えてしまいます。

ここのリンクは専用のタブで開き、リファラーも送信されないため、どのメッセージから来たのかはリンク先に伝わりません。ただしこれはメールボックスを守るものであり、クリックそのものを守るものではありません。

開封確認(既読通知)を送らない理由

一部のメッセージは単刀直入に要求してきます — 配信または開封の確認をメールクライアントに求めるヘッダーです。通常のクライアントではダイアログボックスが表示され、礼儀正しく「はい」と答えてしまうことが、たいてい間違った選択になります。

ここではそもそもこの問題が起こりません。このサービスは受信専用であり、送信の経路自体が存在しないため、開封確認の要求に対して返す手段がありません。誤って有効にしてしまうような設定ではなく、その機能自体が存在しないのです。

最も静かに読めるのはテキスト版

装飾されたメッセージのほとんどには、HTMLと並んでテキスト版のコピーが含まれています — 一部のクライアントがそれを必要とするため、送信者が用意しているものです。画像もスタイルもなく、何かを取得する手段もないため、読んでもリクエストは一切発生しません。

受信箱ではメッセージの下にテキスト版が用意されています。確認コードや、待っていたリンクを見るだけなら、たいていこちらのほうが静かなだけでなく、読むのも速く済みます。

アドレスそのものが漏らしていること

ここまでの話は、すべて1通のメッセージについてのものでした。アドレスはそのすべてに関わる話であり、はるかに強力な信号です。

• 1つのアドレスをあらゆる場所で使うと、すべてが結びついてしまいます。同じアドレスを持つ2つの企業は、互いに情報を照らし合わせたことがなくても、同じ識別子を持つ2つの企業です。両方のリストを買い取る業者は、それを照らし合わせることを生業にしています。
• 使い捨てアドレスは、あなたを特定する部分を渡しません。だからこそ、そこで発火したピクセルは、本物の受信箱で発火する同じピクセルよりも、送信者にずっと少ない情報しか伝えません。
• サービスごとにアドレスを分ければ、漏れが実名に変わります。1社しか知らないはずのアドレス宛てにメールが届き始めたら、どこから漏れたのかが分かります。

本当のアドレスを教えずにサインアップする方法のガイドでは、この習慣について — メールボックスに届くだけで、そこを読み取ることはできないもう一つのアドレスであるエイリアスも含めて — きちんと解説しています。

漏れる情報を実際に減らす5つの習慣

1. 画像はオフのままにしておく。ここでは初期状態でオフになっています。必要なメッセージだけオンにする、それは初期設定ではなく自分の判断です。
2. コードやリンク、領収書のようなメッセージはテキスト版で読む。何も取得できないからです。
3. クリックは開封より大きな信号だと考える。知っているサイトなら、リンクをたどらず自分でアドレスを入力しましょう。
4. サービスごとに別のアドレスを使う。渡すのはアドレスそのものではなく、エイリアスにしましょう。
5. 用が済んだメッセージは削除する。どのみち5日で消えますが、用が済んだメッセージをそこに残しておく理由はありません。

これらを実践しても、姿を完全に消せるわけではありません。それを約束する人がいたら、何かを売りつけようとしているだけです。ここで減らせるのは、簡単に得られてしまう信号であり、それは実際に自分の手の中にある部分です。

このサイトが公開メールボックスについて何を、どれだけの期間保持しているかは、プライバシーページにすべて記載されています — 最も重要な一文も含めて。それは、公開アドレスを知っている人なら誰でもそれを読めるということです。

質問