Pixel theo dõi email: người gửi có biết bạn đã mở thư?

Pixel theo dõi thực chất là gì?

Không có công nghệ đặc biệt nào ở đây cả, và chính vì vậy nó có mặt ở khắp nơi. Đó là ba thứ bình thường được ghép lại với nhau:

Một hình ảnh không ai được nhìn thấy

Thường chỉ rộng một pixel và trong suốt, hoặc một khoảng đệm trông như một phần của bố cục. Bản thân hình ảnh không quan trọng; nó tồn tại chỉ để được tải về.

Một URL chỉ thuộc về riêng bạn

Địa chỉ của hình ảnh đó mang theo một mã định danh chỉ dành riêng cho bản sao thư đã gửi cho bạn. Hai người mở cùng một bản tin sẽ tải về hai URL khác nhau.

Một yêu cầu chính là toàn bộ mục đích

Ứng dụng thư của bạn hỏi máy chủ của người gửi để lấy hình ảnh đó. Máy chủ không cần trả lời một cách hữu ích — nó chỉ cần ghi lại rằng đã có ai đó hỏi, hỏi bởi ai, và khi nào.

Không có gì được cài đặt, không có gì được thực thi, và không có quy tắc nào bị phá vỡ. Đó chỉ là hành vi bình thường của một ứng dụng thư khi hiển thị một hình ảnh, được biến thành một tín hiệu.

Một yêu cầu duy nhất nói gì với người gửi?

Nhiều hơn những gì hầu hết mọi người nghĩ từ một hình ảnh, và nó đến dù bạn có hồi đáp hay không:

• Rằng địa chỉ còn hoạt động và được một con người đọc. Đây là sự thật giá trị nhất trong tất cả: nó đưa địa chỉ từ một danh sách trở thành một mục tiêu đã được xác nhận, và các địa chỉ đã xác nhận thì bị bán đi và tái sử dụng.
• Khi nào bạn mở nó — chính xác đến từng giây, và mỗi lần bạn mở lại. Mở một thư ba lần trong một tuần là ba điểm dữ liệu về thói quen của bạn.
• Địa chỉ IP của bạn, và từ đó gần đúng bạn đang ở đâu và đang dùng mạng nào. Không phải một con phố, mà thường là một thành phố và một nhà cung cấp mạng.
• Thiết bị và ứng dụng thư của bạn, từ user agent mà yêu cầu mang theo.
• Rằng thư đã được chuyển tiếp, khi cùng một URL duy nhất được tải từ hai nơi rất khác nhau — đó chính là hình dạng của việc chuyển tiếp khi nhìn từ bên ngoài.

Nó không cho người gửi biết điều gì?

Đáng để nói rõ ràng, vì nỗi lo thường lớn hơn thực tế:

Không phải bạn là ai

Pixel nhận diện thư, chứ không nhận diện con người. Thứ gắn nó với một cái tên là địa chỉ mà thư được gửi tới — và đó chính là phần mà một địa chỉ dùng một lần giữ kín.

Không phải bạn đã làm gì tiếp theo

Mở một thư không nói lên gì về việc bạn có đọc nó, có tin nó, hay có hành động theo nó hay không. Chỉ một cú nhấp mới nói lên điều đó.

Hoàn toàn không có gì, nếu nó không bao giờ được tải

Một pixel không được tải sẽ không tạo ra bản ghi nào. Không có tín hiệu dự phòng, không có lần thử lại và không có kênh thứ hai — sự im lặng không thể phân biệt được với việc chưa từng nhận được thư.

Hộp thư này xử lý việc đó ra sao?

Hình ảnh từ xa bị chặn ngay từ khoảnh khắc một thư được mở, và bạn bật chúng lên cho thư đang xem chỉ với một cú nhấp. Điều đáng giải thích là cách nó làm việc đó, vì chính cách làm mới là thứ khiến nó đáng tin cậy:

Nội dung thư là HTML do một người lạ viết ra, nên nó không được dựng trực tiếp bên trong trang. Nó được phục vụ từ địa chỉ riêng của nó, vào một khung sandbox, theo một chính sách riêng — và chính chính sách đó là thứ chặn hình ảnh:

Content-Security-Policy: default-src 'none'; style-src 'unsafe-inline';
                         img-src data:; media-src 'none'; font-src 'none';
                         script-src 'none'; form-action 'none';
                         frame-ancestors 'self'; base-uri 'none';
                         sandbox allow-popups allow-popups-to-escape-sandbox

Chặn bằng chính sách thay vì bằng cách chỉnh sửa thư là quyết định thực sự quan trọng. Viết lại HTML nghĩa là phải tìm ra mọi thuộc tính có thể tải một thứ gì đó — src, srcset, background, một URL bên trong một quy tắc style — và bỏ sót dù chỉ một cái cũng âm thầm vô hiệu hóa toàn bộ nỗ lực. Một chính sách thì không cần tìm gì cả: không gì được tải trừ khi nó được nêu tên, và chỉ data: được nêu tên.

Hình ảnh nhúng trực tiếp vẫn hiển thị

img-src data: luôn được cho phép, vì một hình ảnh mang sẵn bên trong thư không cần hỏi ai điều gì cả. Đó là lý do vì sao một số hình ảnh vẫn hiện ra ngay cả khi chế độ chặn đang bật.

Không gì khác được phép tải cả

Không script, không phông chữ từ xa, không video, không khung lồng nhau, không gửi biểu mẫu. Một phông chữ do người gửi lưu trữ cũng là một yêu cầu theo dõi giống như bất kỳ yêu cầu nào khác, và nó cũng bị chặn.

Một hình ảnh bị chặn để lại dấu vết

Một ô gạch chéo kín đáo, để một thư thiếu hình ảnh không trông như bị lỗi — và chỉ xuất hiện khi chế độ chặn đang bật, nên một hình ảnh hợp lệ không bao giờ bị vẽ đè lên nền gạch chéo.

Khung cũng được đặt trong sandbox, đó là một lớp bảo vệ khác cho một vấn đề khác: chính sách ngăn thư vươn ra ngoài, còn sandbox ngăn nó chạm vào bên trong. Cái này không phụ thuộc vào cái kia có đúng hay không.

Các hộp thư khác xử lý việc này ra sao?

Chặn không phải là cách duy nhất, và cách mà hộp thư khác của bạn chọn sẽ quyết định người gửi thực sự nhận được gì từ bạn. Có ba cách, và chúng bảo vệ bạn ở những mức độ rất khác nhau:

Tải hình ảnh thay cho bạn

Nhà cung cấp webmail tự mình yêu cầu mọi hình ảnh từ xa và phục vụ lại cho bạn một bản sao. Người gửi thấy một yêu cầu đến từ nhà cung cấp chứ không phải từ bạn, nên địa chỉ và vị trí của bạn không bị lộ ra — nhưng lần mở vẫn được ghi lại, và nó được ghi lại ngay khi thư được hiển thị.

Tải mọi thứ, cho mọi người

Một số ứng dụng thư tải trước nội dung của mọi thư đến, dù có ai mở nó hay không. Đây là cách bảo vệ mạnh nhất trong ba cách đối với người đọc: một pixel kích hoạt ở mọi thư sẽ không cho người gửi biết được thư nào thực sự đã được đọc. Đó cũng là lý do vì sao tỷ lệ mở thư không còn nói lên nhiều điều nữa.

Chặn, và hỏi trước

Đây là điều hầu hết ứng dụng thư trên máy tính làm, và cũng là điều xảy ra ở đây: không gì từ xa được tải cho đến khi bạn cho phép. Khác biệt là một proxy sẽ quyết định thay bạn, còn ở đây thì không — yêu cầu đơn giản là không bao giờ được gửi trừ khi chính bạn gửi nó.

Không cách nào trong ba cách này đòi hỏi gì từ người gửi, và không cách nào có thể bị phát hiện chắc chắn từ bên ngoài. Điều đó cũng đáng nhớ theo chiều ngược lại: nếu bạn gửi thư và theo dõi tỷ lệ mở, một phần lớn trong số đó là các proxy, còn một phần lớn trong số thư “chưa mở” thực ra là những người đã đọc thư với hình ảnh tắt.

Trình theo dõi mà việc chặn hình ảnh không ngăn được

Mọi liên kết trong một thư quảng cáo đều có thể mang cùng một mã định danh như pixel, và thường là như vậy. Địa chỉ bạn nhìn thấy không phải lúc nào cũng là địa chỉ bạn thực sự đến: nhấp vào và bạn thường đáp xuống một trình chuyển hướng ghi lại cú nhấp đó rồi mới chuyển tiếp bạn đi.

Điều này quan trọng hơn cả pixel, theo cả hai hướng. Một cú nhấp chứng minh rằng một con người đã đọc thư và chọn hành động, điều đó có giá trị hơn nhiều đối với người gửi so với một lần mở — và khác với một lần mở, nó hoàn toàn nằm trong tầm kiểm soát của bạn.

• Đọc đích đến trước khi nhấp. Di chuột qua hoặc nhấn giữ: một liên kết có văn bản hiển thị và đích thực sự không khớp nhau đã đủ đáng ngờ.
• Tự gõ đích đến khi đó là một trang bạn đã biết. Không ai cần đưa bạn đến trang tài khoản của chính bạn cả.
• Không bao giờ nhấp hủy đăng ký với những thư bạn chưa từng đăng ký nhận. Với thư quảng cáo thật sự, cách này có tác dụng; nhưng với một thư gửi đến một địa chỉ bị đoán ra, đó là một câu trả lời, và nó xác nhận chính xác điều mà pixel muốn biết.

Liên kết ở đây mở trong một tab riêng và không mang theo referrer, nên đích đến không được biết thư nào đã đưa bạn tới đó. Điều đó bảo vệ hộp thư — chứ không bảo vệ bản thân cú nhấp.

Xác nhận đã đọc, và vì sao không bao giờ có cái nào được gửi

Một số thư hỏi thẳng: một tiêu đề yêu cầu ứng dụng thư của bạn xác nhận việc gửi hoặc việc đọc. Trong một ứng dụng thư thông thường, đó là một hộp thoại, và câu trả lời lịch sự thường lại là câu trả lời sai.

Ở đây câu hỏi đó không thể xảy ra. Dịch vụ này chỉ nhận thư — hoàn toàn không có đường gửi đi, nên một yêu cầu xác nhận không có gì để hồi đáp. Đây không phải một tùy chọn có thể vô tình bị bật lên; khả năng đó không hề tồn tại.

Phiên bản văn bản thuần là thứ im lặng nhất bạn có thể đọc

Hầu như mọi thư có định dạng đều mang theo một bản sao văn bản thuần đi kèm với HTML — người gửi thêm vào vì một số ứng dụng thư cần đến nó. Bản này không có hình ảnh, không có style và không có cách nào để tải bất cứ thứ gì, nên đọc nó tạo ra đúng bằng không yêu cầu.

Hộp thư cung cấp bản này ngay bên dưới thư. Với một mã xác nhận hay một liên kết bạn đang chờ, đây thường vừa là cách đọc nhanh hơn vừa là cách đọc im lặng hơn.

Bản thân địa chỉ tiết lộ điều gì?

Tất cả những điều trên chỉ nói về một thư. Địa chỉ thì nói về tất cả các thư, và đó là tín hiệu mạnh hơn hẳn:

• Một địa chỉ dùng khắp mọi nơi sẽ gắn kết mọi thứ lại với nhau. Hai công ty cùng nắm giữ một địa chỉ là hai công ty cùng nắm giữ một mã định danh, dù họ có bao giờ đối chiếu với nhau hay không. Một nhà môi giới mua cả hai danh sách sẽ đối chiếu chúng như một công việc kiếm sống.
• Một địa chỉ dùng một lần giữ kín phần nhận diện ra bạn, đó là lý do vì sao một pixel kích hoạt từ địa chỉ đó nói với người gửi ít hơn nhiều so với cùng pixel ấy trong hộp thư thật của bạn.
• Mỗi dịch vụ dùng một địa chỉ riêng biến một vụ rò rỉ thành một cái tên. Khi thư bắt đầu đến ở địa chỉ chỉ duy nhất một công ty từng có, bạn biết ngay đó là công ty nào.

Hướng dẫn đăng ký mà không dùng địa chỉ thật của bạn nói kỹ về thói quen này, bao gồm cả bí danh — một địa chỉ thứ hai có thể gửi đến hộp thư nhưng không thể đọc được nó.

Năm thói quen thực sự giúp giảm rò rỉ thông tin

1. Cứ để hình ảnh ở trạng thái tắt. Ở đây mặc định chúng đã tắt; bật lên cho một thư khi bạn thực sự cần là một quyết định, không phải một mặc định.
2. Đọc phiên bản văn bản thuần khi thư là một mã xác nhận, một liên kết hoặc một biên nhận. Nó không thể tải bất cứ thứ gì.
3. Coi một cú nhấp là rõ ràng hơn một lần mở, và hãy tự gõ những đích đến bạn đã biết thay vì đi theo liên kết.
4. Dùng một địa chỉ khác nhau cho mỗi dịch vụ, và đưa ra bí danh thay vì địa chỉ thật.
5. Xóa thư khi bạn đã xong việc với nó. Dù sao thì mọi thứ cũng biến mất sau 5 ngày, nhưng một thư bạn đã dùng xong thì không có lý do gì để nằm lại đó.

Không điều nào trong số này khiến bạn trở nên vô hình, và bất kỳ ai hứa hẹn điều đó đều đang bán một thứ gì đó. Nó chỉ loại bỏ những tín hiệu dễ dàng, và đó chính là phần thực sự nằm trong tay bạn.

Trang này lưu giữ những gì về một hộp thư công khai, và trong bao lâu, được trình bày đầy đủ trên trang chính sách riêng tư — bao gồm cả câu quan trọng nhất, đó là bất kỳ ai biết một địa chỉ công khai đều có thể đọc được nó.

Câu hỏi