Comment fonctionne vraiment un pixel espion dans un e-mail

Tout traqueur d'e-mail sur le marché, quel que soit son prix, fonctionne de la même façon en dessous. Comprendre le mécanisme vous dit exactement ce que valent les données.

Sommaire

Le mécanisme, en quatre étapes

1. Quand vous envoyez un e-mail suivi, l'outil ajoute une image invisible dans le corps du message. Elle fait généralement un pixel sur un pixel, transparente, et porte un identifiant unique dans son adresse.
2. L'e-mail est livré normalement. Rien n'y paraît différent pour le destinataire.
3. Quand le message est affiché et que le client charge les images distantes, il demande cette image au serveur de suivi.
4. Le serveur enregistre la requête : quel identifiant, à quelle heure, avec quel type de client. Il renvoie ensuite l'image, ce qui explique pourquoi rien ne semble se casser.

C'est toute la technique. Il n'y a aucun accès à la boîte du destinataire, aucune confirmation de lecture venant de son logiciel, et aucune coopération de sa part.

Ce que le serveur peut et ne peut pas voir

Il peut voir : l'identifiant, donc lequel de vos e-mails était concerné ; l'heure de la requête ; le type de client, tiré de la chaîne user agent ; et l'adresse réseau d'où vient la requête.

Il ne peut pas voir : si un humain a regardé l'écran, combien de temps le message a été lu, s'il a été compris, ou quoi que ce soit sur le contenu de la réponse que vous espérez recevoir.

Une implémentation responsable réduit encore ce qu'elle peut voir. mailcheck stocke une empreinte tronquée et anonymisée de l'adresse réseau plutôt que l'adresse elle-même, et ne fait aucune géolocalisation.

Les quatre façons dont le signal ment

• Images bloquées. Aucune requête, aucune ouverture enregistrée, même pour un message lu attentivement. Le silence n'est la preuve de rien.
• Images en relais. Gmail récupère les images via les serveurs de Google et les met en cache. Apple Mail Privacy Protection les récupère à l'avance, parfois sans que personne ne regarde. Les deux produisent des ouvertures qui ne sont pas des lectures.
• Scanners de sécurité. Les passerelles d'entreprise ouvrent chaque lien et chaque image pour vérifier les menaces, souvent en quelques secondes après la livraison.
• Votre propre client. Si une copie se trouve dans votre dossier envoyés et que votre client charge l'image, vous vous êtes suivi vous-même.

Les outils sérieux filtrent le dernier cas. mailcheck ignore toute ouverture dans les secondes qui suivent immédiatement l'envoi, et bloque la requête quand elle vient du navigateur de l'expéditeur lui-même. Les autres ne peuvent pas être filtrés, seulement compris.

Pourquoi ça fonctionne quand même

Compte tenu de tout cela, pourquoi quelqu'un s'y fierait-il ? Parce qu'au niveau d'un seul e-mail important, les motifs portent encore une information. Un devis ouvert quatre fois sur deux jours se comporte différemment d'un devis ouvert une fois. Les chiffres absolus ne sont pas fiables ; la forme relative l'est.

Le mode d'échec à éviter est de traiter le pixel comme un instrument de mesure. C'est un capteur faible, et les capteurs faibles sont utiles quand on les lit comme des tendances.

Ce que fait l'identifiant, et pourquoi ça compte

L'adresse de l'image porte un identifiant unique, généré quand vous activez le suivi sur un message. Cet identifiant est ce qui relie une requête d'image anonyme à un e-mail précis de votre historique.

La façon dont il est généré compte plus qu'il n'y paraît. Un identifiant prévisible, comme un numéro séquentiel, permettrait à n'importe qui d'énumérer les événements de suivi d'autres personnes en changeant un chiffre. Un identifiant aléatoire d'une longueur suffisante rend cela impossible en pratique.

Cela détermine aussi ce qui se passe côté serveur quand une requête arrive pour un identifiant qui n'existe pas. Le bon comportement est de renvoyer l'image quand même et de ne rien enregistrer : un pixel de suivi qui produirait une erreur serait visible dans le message du destinataire, ce qui va à l'encontre de son but.

Pourquoi l'image est transparente plutôt qu'absente

Le pixel est un vrai fichier image, généralement un GIF transparent d'un pixel, et il est renvoyé à chaque requête même quand rien n'est enregistré.

La raison est la compatibilité. Un client de messagerie qui demande une image et reçoit une erreur peut afficher un cadre d'image cassée, que le destinataire voit. Renvoyer une image valide et invisible garantit que le message a exactement l'apparence prévue, que le suivi ait réussi ou non.

Cela explique aussi pourquoi le suivi ne peut pas être rendu plus précis en demandant davantage. Toute requête supplémentaire, tout script, tout élément interactif, serait soit retiré par le client de messagerie, soit rendu visible. La requête d'une seule image est toute la surface disponible.

Ce qu'une implémentation responsable stocke

La requête elle-même porte plus qu'il n'en faut. Un outil qui garde tout accumule un registre détaillé de qui lit quoi et depuis où, ce qui est à la fois un risque pour la vie privée et, dans l'Union européenne, un risque de conformité.

Des choix raisonnables ressemblent à ceci :

• L'identifiant et l'horodatage : nécessaires, c'est le signal.
• Le type de client : utile, car il permet à l'outil d'écarter les récupérations automatiques évidentes.
• L'adresse réseau : stockée comme une empreinte tronquée et anonymisée plutôt qu'en clair, puisque l'adresse exacte n'ajoute rien au signal.
• La géolocalisation : pas dérivée du tout. Elle n'est pas fiable via les relais et rarement utilisée pour quelque chose de défendable.

Filtrer ses propres ouvertures

Le faux positif le plus courant, c'est vous. Une copie du message se trouve dans votre dossier envoyés, votre propre client charge les images, et votre tableau de bord enregistre une ouverture quelques instants après l'envoi.

Deux mécanismes gèrent cela. Un seuil de temps ignore les ouvertures dans les secondes qui suivent immédiatement l'envoi, puisqu'un vrai destinataire ouvre rarement aussi vite. Et une règle au niveau du navigateur empêche le navigateur de l'expéditeur lui-même de faire la requête quand il affiche la copie envoyée.

Aucun des deux n'est parfait, et les deux comptent. Sans eux, une part significative de vos données serait un registre de votre propre comportement, ce qui est l'information la moins utile qu'un outil de suivi puisse vous donner.

Conclusion

Un pixel de suivi est une requête d'image avec un identifiant attaché. Tout ce qu'un traqueur prétend savoir dérive de cet unique événement. Une fois cela en tête, le langage marketing autour de la confirmation de lecture devient facile à traduire, et les données deviennent réellement utiles pour la seule chose qu'elles font bien : choisir votre moment.

Questions fréquentes

Le destinataire peut-il voir le pixel de suivi ?

Pas visuellement. C'est une image transparente d'un pixel, renvoyée avec succès même quand rien n'est enregistré pour qu'aucun cadre d'image cassée n'apparaisse. Elle est visible dans la source du message si quelqu'un regarde.

Un pixel de suivi donne-t-il accès à ma boîte de messagerie ?

Non. Il enregistre une seule requête d'image portant un identifiant. Il ne peut pas lire le message, la réponse, ni rien d'autre dans l'une ou l'autre boîte.

Pourquoi mon propre client déclenche-t-il parfois une ouverture ?

Parce que la copie dans votre dossier envoyés contient la même image. Les bons outils écartent les ouvertures dans les secondes après l'envoi et bloquent les requêtes venant du navigateur de l'expéditeur lui-même.

Tous les articles →