Une image trop petite pour que vous la voyiez peut signaler que vous avez ouvert un message. Elle mesure souvent un pixel sur un pixel, elle est généralement transparente, et quand votre application de messagerie va la chercher sur internet, le serveur de l'expéditeur note que cet exemplaire précis de l'e-mail a été ouvert, avec l'heure et souvent votre localisation approximative et votre appareil. Vous ne cliquez sur rien et aucun avertissement n'apparaît. La newsletter que vous avez parcourue au petit-déjeuner a peut-être signalé le fait avant que vous ayez fini votre café.
C'est le suivi des e-mails sous sa forme la plus courante, et sa seconde moitié, ce sont des liens codés pour que chaque clic vous identifie. Vous pouvez en arrêter l'essentiel en désactivant le chargement automatique des images distantes, en utilisant des fonctions de confidentialité comme la Protection de la confidentialité dans Mail d'Apple, en accédant aux pages directement plutôt que par des liens suivis, et en tenant votre adresse principale éloignée des expéditeurs auxquels vous ne faites pas confiance. Aucun réglage ne couvre tout, et ce qu'il vous faut dépend de l'application de messagerie que vous utilisez et de ce que vous acceptez vraiment qu'un expéditeur sache.
Ce qui se passe à l'intérieur du message
Un pixel espion n'est pas joint à l'e-mail. Le HTML du message contient une instruction d'aller chercher une image ailleurs, qui peut ressembler à cet exemple fictif :
<img src="https://track.sender.example/o/8f3a91c2e7.gif" width="1" height="1" alt="">
Quand votre application affiche le message et charge les images distantes, elle envoie une requête web ordinaire à ce serveur. La chaîne dans l'adresse, ici 8f3a91c2e7, est généralement unique pour vous et pour cet e-mail précis. Le serveur note la requête et renvoie une image vide. Le logiciel de l'expéditeur considère alors « l'image a été demandée » comme « l'e-mail a été ouvert », et c'est la base du taux d'ouverture rapporté par presque toutes les plateformes d'e-mailing et de nombreux outils commerciaux.
Rien de tout cela n'exige un pixel au sens littéral. Toute ressource distante que votre application charge peut faire l'affaire : un logo visible, une bannière, un arrière-plan CSS ou une police web. Donnez à chaque destinataire une adresse unique pour le logo de l'en-tête et vous obtenez les mêmes données. « Bloquer les pixels espions » veut donc vraiment dire « contrôler le chargement du contenu distant », et c'est pourquoi les réglages utiles portent des noms comme images externes ou contenu distant plutôt que quoi que ce soit sur le suivi.
Les applications de messagerie n'exécutent généralement pas de JavaScript dans les messages, ce qui explique que ce truc de l'image soit devenu l'outil principal. Sur une page web, un traceur dispose de scripts et de cookies. Dans un e-mail, il n'obtient à peu près qu'une requête web, et ce que cette requête révèle est donc ce qui compte.
Ce que l'expéditeur peut apprendre, et ce qui reste hors de portée
Quand une application récupère directement une image distante, sans proxy sur le chemin, le serveur peut enregistrer ce qui suit.
| Donnée | D'où elle vient | Ce qu'elle leur apprend |
|---|---|---|
| Événement d'ouverture | L'adresse unique a été demandée | Ce destinataire a ouvert cet e-mail |
| Heure d'ouverture | Horodatage du serveur | Quand vous l'avez lu, et sur de nombreux e-mails, vos habitudes |
| Nombre d'ouvertures | Requêtes répétées | Combien de fois vous y êtes revenu, ou peut-être que vous l'avez transféré |
| Adresse IP | L'origine de la connexion | Ville ou région approximative, et votre fournisseur d'accès ou le réseau de votre entreprise |
| User agent | Un en-tête de requête | Application de messagerie, système d'exploitation, parfois type d'appareil |
| Validité de l'adresse | N'importe quelle requête | Que l'adresse est réelle et lue activement |
La dernière ligne compte plus qu'il n'y paraît. Pour un détaillant, une ouverture est un chiffre de marketing. Pour un spammeur, c'est la preuve qu'une boîte a une personne derrière elle, et cette adresse peut alors recevoir davantage de courrier ou être vendue comme « vérifiée ». C'est le point où une technique d'analyse courante devient un petit problème de sécurité, et il relie le suivi au problème plus large des e-mails de phishing, puisque des adresses actives font de meilleures cibles.
Les limites méritent aussi d'être dites, car on imagine souvent pire. Un pixel ne peut pas lire vos autres e-mails, vos fichiers ou vos contacts, et il ne peut pas installer de logiciel. Il ne peut pas non plus donner votre adresse postale : la localisation par IP est approximative et souvent fausse même à l'échelle de la ville, et les réseaux mobiles ou d'entreprise peuvent vous situer loin d'où vous êtes. Il ne peut pas non plus dire si vous avez lu un mot du message, seulement qu'une image s'est chargée. Si vous découvrez que quelqu'un a suivi votre e-mail, c'est une gêne pour la vie privée. Cela ne veut pas dire que votre compte a été piraté, et il n'y a aucun nettoyage à faire au-delà de changer vos réglages.
Les liens suivis continuent de fonctionner quand les images sont bloquées
Bloquer les images laisse l'autre moitié du système intacte. Dans un e-mail suivi, les liens ne vont pas directement à leur destination. Ils passent par le domaine de suivi de l'expéditeur, avec un code :
https://click.sender.example/c/8f3a91c2e7/42
Quand vous cliquez, le serveur enregistre qui vous êtes (d'après le code), le lien que vous avez choisi (ici le numéro 42), l'heure, votre adresse IP et votre navigateur, puis vous redirige vers la vraie page. Le détour prend généralement une fraction de seconde. Comme ce clic passe par votre vrai navigateur, il révèle votre vraie adresse IP, sauf si un VPN ou un outil semblable s'interpose. Le proxy d'images de Gmail, dont il est question plus bas, ne fait rien pour les clics.
Un e-mail marketing typique montre les deux moitiés qui travaillent ensemble. Voici une version simplifiée et fictive de ce que vous pourriez voir dans la source :
<a href="https://click.esp.example/ls/click?upn=Xy7Q...">Shop the sale</a><img src="https://open.esp.example/wf/open?upn=Xy7Q..." width="1" height="1" style="border:0;">
Le même code upn apparaît dans le lien et dans l'image, ce qui vous identifie comme le même destinataire à travers les ouvertures et les clics. La page où vous arrivez peut aussi ajouter des paramètres comme utm_source, utm_medium et utm_campaign. Ils alimentent l'analyse web et peuvent relier votre identité d'e-mail à votre navigation sur le site de l'expéditeur, surtout si vous vous connectez ou remplissez un formulaire plus tard.
Certains outils taillent cette dernière partie. La Protection contre le suivi des liens d'Apple, ajoutée avec iOS 17, retire certains paramètres de suivi connus des liens ouverts dans Mail, Messages et la navigation privée de Safari. Firefox propose une option de clic droit qui copie un lien sans les paramètres de suivi connus. Aucun des deux n'aide face à une redirection par un domaine de suivi, car à ce stade le clic a déjà été enregistré. La seule façon d'y échapper est de ne pas utiliser le lien : cherchez le site ou tapez son adresse. Comme les outils de confidentialité ont rendu les ouvertures peu fiables, beaucoup d'expéditeurs comptent maintenant davantage les clics : c'est la partie du système qui pèse le plus sur votre profil.
Les accusés de lecture, c'est autre chose
On confond souvent les deux. Un accusé de lecture est une demande formelle dans les en-têtes de l'e-mail, comme Disposition-Notification-To, définie dans la RFC 8098, qui demande à votre application d'envoyer une notification en retour. C'est poli, et c'est visible. La plupart des applications vous demandent ou suivent un réglage que vous contrôlez, et refuser n'envoie rien. Un pixel ne demande jamais.
| Pixel espion | Accusé de lecture | |
|---|---|---|
| Fonctionnement | Image distante chargée depuis le serveur de l'expéditeur | En-tête demandant une notification en retour |
| Demande la permission ? | Non | Généralement, ou suit votre réglage |
| Visible pour vous ? | Presque jamais | Oui, sous forme d'invite |
| Ce qu'il envoie | Heure, IP, appareil, nombre d'ouvertures | Une note indiquant que le message a été affiché |
| Où il est utilisé | Marketing, prospection commerciale, newsletters | Courrier professionnel dans certaines organisations |
| Comment l'arrêter | Bloquer les images distantes | Refuser, ou régler votre application pour qu'elle n'en envoie jamais |
Dans Outlook classique pour Windows, le réglage se trouve sous Fichier, Options, Courrier, Suivi, où vous pouvez choisir Ne jamais envoyer d'accusé de lecture. Gmail propose les accusés de lecture pour les comptes professionnels et scolaires, quand un administrateur les autorise, et pas pour les comptes personnels. Certains systèmes de messagerie d'entreprise ont leur propre état de lecture interne, ce qui est encore autre chose.
Qui fait cela, et pourquoi
La plupart du suivi relève du commerce courant plutôt que de quoi que ce soit de sinistre. Les newsletters et les détaillants mesurent les taux d'ouverture, testent des objets et retirent les abonnés inactifs. Les expéditeurs de reçus et de notifications suivent parfois les ouvertures à des fins de diagnostic. Rien de cela n'est personnel, même si c'est rarement annoncé d'une façon que la plupart des gens remarqueraient.
Cela devient plus personnel avec les équipes commerciales, où des modules complémentaires alertent un commercial dès qu'un prospect ouvre un message, de sorte qu'un appel de relance peut tomber étrangement bien. Les recruteurs et les indépendants peuvent utiliser le même genre d'outil, et des extensions de navigateur comme Mailtrack ou Streak le rendent disponible à toute personne ayant un compte Gmail. Une note individuelle sans logo ni allure marketing peut donc quand même contenir un pixel. Tout au bout, les spammeurs et les adeptes du phishing utilisent des pixels simplement pour trier les adresses actives des mortes.
L'objection, pour ceux qui en ont une, est que cette pratique se fait en silence, dresse peu à peu un portrait du comportement et emploie la même technique pour les pires expéditeurs que pour les meilleurs.
Comment réagissent les principales applications, et quoi changer
Les réglages par défaut comptent ici, car la plupart des gens ne les changent jamais. Les noms de menus varient selon les versions : prenez ces chemins comme point de départ.
Gmail
Depuis 2013, Gmail sert les images via son propre proxy. Quand un message est ouvert, les serveurs de Google récupèrent l'image et la transmettent : l'expéditeur voit une adresse Google et une description générique du client au lieu de votre IP et de votre appareil. Les images sont aussi mises en cache, ce qui peut masquer les réouvertures. Les pages d'aide de Google le disent : les expéditeurs ne peuvent pas utiliser le chargement des images pour connaître votre adresse IP ou votre localisation, mais ils peuvent savoir que vous avez ouvert le message. Dans la configuration par défaut, le fait de la première ouverture et son heure approximative passent donc encore.
Pour l'arrêter sur le web, allez dans Paramètres, Voir tous les paramètres, Général, et sous Images choisissez Demander avant d'afficher les images externes. Enregistrez en bas de la page. Cela désactive aussi l'e-mail dynamique, dont peu de gens se passeront difficilement. Dans l'application mobile Gmail, le même choix se trouve dans les paramètres de chaque compte, sous Images. Ensuite, vous pouvez afficher les images pour un seul message ou toujours pour un expéditeur.
Apple Mail
Apple a introduit la Protection de la confidentialité dans Mail en 2021. Quand Protéger l'activité dans Mail est activé, Mail télécharge le contenu distant de façon privée en arrière-plan dès l'arrivée d'un message, que vous l'ouvriez ou non, et masque votre adresse IP. Apple affirme que cela empêche les expéditeurs de voir quand et combien de fois vous ouvrez un message et si vous le transférez. À cause de ces récupérations automatiques, les expéditeurs voient des ouvertures qui disent peu de choses sur la lecture réelle.
Sur un Mac, allez dans Mail, Réglages, Confidentialité. Sur iPhone et iPad, cherchez Protection de la confidentialité dans les réglages de Mail, qui se trouvent sous Réglages, Apps, Mail dans les versions récentes d'iOS. Si vous la laissez désactivée, vous pouvez quand même choisir Masquer l'adresse IP et Bloquer tout le contenu distant. Deux détails passent facilement inaperçus. La fonction couvre l'application Apple Mail quel que soit le compte que vous y utilisez, mais pas les autres applications ni la messagerie web dans un navigateur. Et Apple note que si vous avez désactivé la limitation du suivi d'adresse IP pour votre réseau Wi-Fi ou Ethernet, votre adresse IP n'est pas masquée sur ce réseau. Elle n'est pas non plus proposée dans tous les pays ou régions.
Outlook
Il existe plusieurs Outlook, et ils se comportent différemment. Outlook classique pour Windows refuse depuis longtemps de télécharger automatiquement les images externes pour les expéditeurs qui ne figurent pas dans votre liste d'expéditeurs fiables, en affichant un bandeau sur lequel vous pouvez cliquer. Le réglage se trouve sous Fichier, Options, Centre de gestion de la confidentialité, Paramètres du Centre de gestion de la confidentialité, Téléchargement automatique.
Dans Outlook.com, le chemin est Paramètres, Général, Confidentialité et données, Images externes. La page d'assistance de Microsoft décrit un choix entre charger les images via le service Outlook, qui joue le rôle de proxy, et ne pas utiliser ce service, auquel cas les images se chargent directement depuis l'expéditeur. Microsoft avertit que la deuxième option peut mettre des données personnelles en danger : gardez donc le proxy activé sauf raison contraire. Un proxy masque votre IP mais, comme avec Gmail, il peut ne pas masquer le fait d'une ouverture. Les options diffèrent selon les versions d'Outlook : regardez ce qu'affiche la vôtre.
Thunderbird, Yahoo et les autres
Mozilla Thunderbird bloque le contenu distant par défaut pour que l'expéditeur n'obtienne aucune information, et affiche un bandeau qui permet de l'autoriser pour un message ou pour un expéditeur. Les commandes se trouvent sous Paramètres, Vie privée et sécurité. Yahoo Mail a une option appelée Afficher les images dans les messages dans ses paramètres d'affichage, avec un choix pour demander d'abord. De nombreuses applications tierces sur Android et iOS ont une bascule similaire, généralement formulée « charger les images distantes » ou « bloquer le contenu externe ». Certains fournisseurs axés sur la confidentialité vont plus loin : Proton Mail, par exemple, bloque les traceurs connus et vous dit lesquels il a trouvés.
| Application, configuration par défaut | Images distantes | Masque votre IP ? | Masque l'ouverture ? | Que faire |
|---|---|---|---|---|
| Gmail | Chargées via le proxy de Google | Oui | Pas par défaut | Demander avant d'afficher les images externes |
| Apple Mail, Protéger l'activité dans Mail activé | Préchargées en privé | Oui | En grande partie, car les préchargements brouillent les vraies ouvertures | Le garder activé |
| Outlook classique pour Windows | Bloquées pour les expéditeurs hors de votre liste d'expéditeurs fiables | Jusqu'à ce que vous les chargiez | Jusqu'à ce que vous les chargiez | Garder le téléchargement automatique désactivé |
| Outlook.com | Selon le réglage | Avec le proxy activé | Pas de façon fiable | Vérifier Images externes |
| Thunderbird | Bloquées | Jusqu'à ce que vous les autorisiez | Jusqu'à ce que vous les autorisiez | Garder le réglage par défaut |
| Autres applications | Variable | Variable | Variable | Désactiver les images distantes automatiques |
Une newsletter, quatre lecteurs
Voici un exemple imaginaire de ce que cela donne. Un détaillant envoie la même newsletter suivie à quatre personnes aux configurations différentes, et voici ce que son tableau de bord apprendrait sur chacune.
Le lecteur A utilise une application de bureau qui charge les images automatiquement. Il ouvre le message à 08:14 chez lui. L'application récupère le pixel directement : le détaillant enregistre donc l'heure, l'adresse IP du domicile, qui suggère une ville et un fournisseur d'accès, et un user agent nommant l'application et le système. À 19:40, le lecteur l'ouvre à nouveau sur un téléphone en données mobiles : le détaillant connaît maintenant deux appareils et une localisation approximative en soirée. Un clic sur un lien produit est lié au même code de destinataire.
Le lecteur B utilise Gmail avec les réglages par défaut. L'ouverture de 09:02 est enregistrée, mais avec l'adresse d'un serveur Google et des détails génériques sur le client. Une réouverture ultérieure peut ne pas s'enregistrer du tout à cause du cache. Si le lecteur B clique sur un lien, en revanche, le clic passe par son propre navigateur et révèle sa vraie IP au serveur de suivi.
Le lecteur C utilise Apple Mail avec Protéger l'activité dans Mail activé. Les images sont récupérées en arrière-plan peu après la livraison, peut-être pendant que le lecteur C dort. Le détaillant enregistre une « ouverture » à un moment sans rapport avec une lecture, depuis une adresse de relais, et ne peut pas savoir si l'e-mail a été lu. Seul un clic lui donnerait un vrai signal.
Le lecteur D s'est inscrit à un guide d'achat avec une adresse temporaire, et les images restent désactivées. Le détaillant n'enregistre aucune ouverture. Si le lecteur D lit le texte sans jamais cliquer sur un lien, le détaillant n'apprend rien au-delà du fait que l'adresse a accepté du courrier. Un jour plus tard, le message est supprimé, et les newsletters suivantes arrivent à une adresse que personne ne lit.
Chaque couche retire quelque chose de différent. Un proxy retire votre IP, le préchargement privé retire l'horaire, le blocage des images retire l'ouverture, éviter les liens suivis retire le clic, et une adresse distincte retire le lien avec vous.
Comment savoir si un message est suivi
Il ne faut aucun outil spécial pour obtenir une réponse raisonnable.
Si votre application bloque le contenu distant et affiche un bandeau sur un message qui ressemble à du texte brut, le message contient des ressources distantes, très probablement un pixel. Une note individuelle d'un commercial avec un bandeau « charger les images » et aucune image visible en est un bon exemple. Ce n'est pas une preuve, puisqu'un logo de signature déclencherait aussi le bandeau, mais c'est un fort indice.
Pour regarder de plus près, affichez la source : Afficher l'original dans Gmail, Afficher la source du message dans Outlook sur le web, ou Présentation, Message, Source brute dans Apple Mail. Cherchez <img. Repérez les images avec width="1" et height="1", des styles comme display:none, ou des adresses avec de longues chaînes aléatoires. Survolez ensuite les liens. S'ils passent tous par un domaine commençant par quelque chose comme click., links., t. ou email., et contiennent de longs codes, ils sont suivis.
Les en-têtes offrent un indice de plus. Les messages envoyés via des plateformes marketing nomment souvent la plateforme ou portent un en-tête List-Unsubscribe pointant vers ses serveurs. Cela ne prouve pas le suivi, mais le rend probable. Les fournisseurs et extensions qui étiquettent les traceurs connus peuvent faire le même travail avec moins d'effort, dans les limites de ce qu'ils reconnaissent.
Des endroits où vous ne l'attendiez pas
Un message transféré emporte généralement son pixel avec lui. Si l'application de votre ami charge les images, l'expéditeur d'origine peut voir une autre ouverture depuis un nouvel endroit et un nouvel appareil et en conclure que le message a été partagé, et certains outils le signalent directement par « peut-être transféré ». Transférer à un collègue un argumentaire commercial suivi peut donc dire exactement cela au commercial. Copier le texte dans un nouveau message l'évite.
Les volets d'aperçu comptent comme une ouverture. Sélectionner un message pour qu'il s'affiche à côté de votre boîte de réception le rend à l'écran, ce qui peut charger les images comme si vous l'aviez ouvert entièrement. Les aperçus de notification sur téléphone n'affichent généralement que du texte et ne chargent pas les images, mais le comportement des applications varie.
Les signatures sont une autre cachette. Les logos et icônes de réseaux sociaux dans les signatures sont souvent des images distantes, et les outils de suivi peuvent leur donner des adresses uniques par message, ce qui transforme une signature d'apparence inoffensive en traceur d'ouverture.
Les invitations d'agenda et les avis de documents partagés viennent de vrais services, et ces services peuvent enregistrer leur propre activité, séparément du courrier lui-même. Les réglages d'images n'y changent rien.
Une configuration raisonnable, par ordre d'effort
Vous n'avez pas besoin de tout cela. La plupart des gens devraient faire les deux premiers points, puis s'arrêter quand le désagrément dépasse ce qu'ils y gagnent.
- Désactivez les images distantes automatiques, dans chaque application de messagerie que vous utilisez, sur chaque appareil. Ce seul changement déjoue le cœur du suivi des ouvertures dans la plupart des applications. Les e-mails marketing paraîtront dépouillés jusqu'à ce que vous chargiez les images, mais le texte, les liens et les pièces jointes fonctionnent toujours.
- Activez la protection intégrée là où elle existe. C'est-à-dire Protéger l'activité dans Mail dans Apple Mail, et le proxy d'images dans Outlook.com.
- Chargez les images de façon sélective. Afficher les images d'un message, c'est accepter le suivi pour ce message, ce qui est raisonnable pour un reçu d'une boutique de confiance, ou pour un message dont le contenu passe par les images. Laissez-les désactivées pour les promotions et les inconnus.
- Réglez les accusés de lecture sur « jamais » ou « demander ».
- Soyez délibéré sur les clics. Quand vous voulez une page mais pas la trace du clic, allez directement sur le site ou cherchez-le.
- Lisez les messages douteux en texte brut. L'affichage en texte brut ignore entièrement le HTML et le contenu distant. Dans Thunderbird, utilisez Affichage, Corps du message en, Texte brut. Outlook classique propose Lire tout le courrier standard en texte brut dans le Centre de gestion de la confidentialité sous Sécurité du courrier. C'est surtout utile quand vous examinez un possible phishing.
- Envisagez un VPN si votre adresse IP elle-même compte pour vous. Les proxies d'images couvrent le chargement des images, mais pas les clics dans votre navigateur, et un VPN réputé masque votre IP personnelle dans les deux cas. N'oubliez pas que vous déplacez cette confiance vers l'entreprise du VPN.
- Soyez prudent avec les extensions de blocage de traceurs. Elles peuvent détecter les pixels connus dans la messagerie web et les bloquer ou les signaler, mais toute extension qui lit votre messagerie web a accès à vos messages. Préférez des options bien notées ou open source, de créateurs identifiables, avec uniquement les autorisations dont elles ont besoin.
- Donnez une adresse différente aux expéditeurs peu fiables, comme décrit plus bas.
Une remarque sur le désabonnement, car il interagit avec tout cela. Pour les expéditeurs auxquels vous vous êtes réellement abonné, se désabonner est très bien et c'est souvent la meilleure solution contre le courrier suivi, et le bouton de désabonnement intégré de votre application est la voie la plus propre, puisqu'il utilise l'en-tête standard List-Unsubscribe. Dans un spam évident, ne cliquez sur aucun lien de désabonnement, car le clic confirme votre adresse. Signalez plutôt le message.
Dans quelle mesure faut-il s'en inquiéter ?
Cela dépend de qui vous êtes et de qui écrit. Pour la plupart des gens, le coût réaliste est un détaillant qui sait quand vous lisez ses offres, et un effort modeste tout au plus se justifie. Le proxy de Gmail retire déjà les données de localisation pour ses utilisateurs, et un seul réglage retire l'ouverture.
Le calcul change dans certaines situations. Un journaliste, un militant ou toute personne contactée par quelqu'un qu'elle veut éviter peut tenir énormément à une adresse IP ou à ne pas révéler qu'un message a été lu, et pour eux les images devraient rester désactivées et tout lien traité avec soin. Un chercheur d'emploi peut ne pas vouloir qu'un recruteur voie qu'il a ouvert une offre cinq fois. Et dans une négociation de salaire ou de contrat, un expéditeur qui peut observer vos ouvertures détient une information que vous n'avez pas choisi de partager. Si cela compte dans votre cas, gardez les images désactivées pour cet expéditeur et lisez en texte brut.
Où une adresse distincte trouve sa place
Le suivi a de la valeur pour les expéditeurs parce qu'il rattache un comportement à une identité : votre adresse, liée à votre nom, à vos achats et à d'autres données. Une adresse distincte coupe ce lien. Un alias ou une adresse secondaire le fait pour les boutiques et services que vous continuez d'utiliser. Pour les inscriptions ponctuelles, comme un téléchargement ou une newsletter que vous voulez lire une fois, une boîte temporaire peut le faire, quand les conditions du site le permettent. L'adresse est de courte durée, donc une adresse jetable donne très peu de prise à un expéditeur.
VookMail règle une partie du problème dans la boîte elle-même. Une adresse est prête au chargement de la page, sans inscription ni mot de passe. Les pixels espions cachés sont supprimés et les images restent désactivées tant que vous ne les autorisez pas : ouvrir un message ici ne renvoie donc pas, en soi, d'information à l'expéditeur par un pixel. Les messages, les pièces jointes et les adresses sont supprimés après environ un jour. Notre guide d'utilisation de VookMail présente les boutons, dont celui pour obtenir une adresse aléatoire, qui est le choix le plus sûr puisque quiconque connaît ou devine une adresse peut ouvrir cette boîte.
Quelques limites s'appliquent. Si vous autorisez les images sur un message, vous choisissez de charger ce qu'elles sont, et ces requêtes peuvent apprendre quelque chose à l'expéditeur. Les liens fonctionnent toujours comme des liens : un clic passe par votre propre navigateur, avec votre propre adresse IP, sauf si vous utilisez un VPN. Et une adresse temporaire ne convient qu'aux usages ponctuels et peu importants. Elle ne doit pas servir pour la banque, les services publics, la santé, le travail ou les comptes principaux de réseaux sociaux, ni pour quoi que ce soit qui enfreint les conditions d'un autre site. La politique de confidentialité décrit comment nous traitons les données des messages, et la page À propos en dit plus sur le service.
Le suivi des e-mails est-il légal ?
Cela dépend d'où se trouvent l'expéditeur et le destinataire, et de ce qui est fait des données. Le résumé ci-dessous est une information générale, pas un avis juridique, et ces règles évoluent. Notre article sur les lois sur la confidentialité des e-mails donne davantage de contexte.
Dans l'UE, les règles ePrivacy sur le stockage ou l'accès à des informations sur l'appareil d'un utilisateur et les règles du RGPD (GDPR) sur les données personnelles sont toutes deux pertinentes, et les régulateurs prêtent une attention accrue aux pixels d'e-mail. En France, l'autorité de protection des données, la CNIL, a publié en avril 2026 une recommandation indiquant que les pixels de suivi dans les e-mails exigent en général le consentement préalable du destinataire, distinct du consentement à recevoir l'e-mail, avec des exemptions étroites comme certains usages de sécurité. Le régulateur italien a lui aussi publié des orientations sur le sujet. Les approches et l'application varient selon les États membres.
Au Royaume-Uni, l'Information Commissioner's Office a publié en avril 2026 ses orientations définitives sur les technologies de stockage et d'accès. Elles citent les pixels de suivi parmi les technologies couvertes, et traitent les pixels qui stockent ou consultent des informations sur un appareil comme relevant de la règle PECR sur ces technologies, où le consentement est généralement requis sauf exception.
Aux États-Unis, aucune règle fédérale unique n'interdit spécifiquement les pixels d'e-mail. La loi CAN-SPAM se concentre sur des en-têtes honnêtes, l'identification de l'expéditeur et le respect des désinscriptions, plutôt que sur le suivi. Certaines lois d'États sur la vie privée donnent aux résidents des droits sur les données personnelles, qui peuvent inclure les données de suivi. Ailleurs, les exigences varient, et beaucoup de régimes attendent au moins une mention dans une politique de confidentialité. En tant que destinataire, votre protection pratique, ce sont vos propres réglages.
Si vous envoyez vous-même des e-mails
Les taux d'ouverture sont une mesure plus faible qu'avant, et il vaut la peine de savoir pourquoi avant de prendre des décisions sur cette base. Le préchargement privé produit des ouvertures que personne n'a faites. Le blocage des images masque des ouvertures qui ont bien eu lieu. Le cache des proxies masque les réouvertures. Les scanners de sécurité des entreprises peuvent récupérer les images et suivre les liens pour y chercher des menaces, ce qui produit des ouvertures et même des clics sans aucun humain. Les volets d'aperçu enregistrent une « ouverture » quand quelqu'un ne fait que passer sur un message une demi-seconde. Les ouvertures ne soutiennent donc que des comparaisons larges, et tirer une conclusion personnelle d'un seul événement d'ouverture est une erreur. Les clics, les réponses et les conversions en disent davantage, même s'il faut aussi filtrer le trafic des scanners dans les clics.
Si vous gérez une liste, vous pouvez mesurer en respectant les lecteurs :
- Dites que vous faites du suivi, dans votre politique de confidentialité et, là où la loi l'exige, à l'inscription. Obtenez le consentement là où il est nécessaire, et dans des régions comme la France et le Royaume-Uni, consultez les orientations en vigueur plutôt que de supposer qu'un accord marketing couvre les pixels.
- Proposez un moyen de refuser le suivi, en plus du moyen de refuser les e-mails.
- Laissez les pixels hors des réinitialisations de mot de passe, des alertes de sécurité et des autres messages sensibles, sauf raison opérationnelle claire.
- Préférez les chiffres agrégés à la surveillance des individus, et réfléchissez à deux fois aux alertes commerciales déclenchées à chaque ouverture.
- Concevez pour les images bloquées, avec du vrai texte, des textes alternatifs utiles et des liens qui ont du sens sans images. Un message qui s'effondre sans images est déjà cassé pour quiconque les bloque.
Pour voir à quoi ressemble votre propre campagne sans suivi et sans images, envoyez un test à une adresse temporaire neuve. Vous obtenez ainsi un aperçu rapide de la version texte de votre mise en page, et vous gardez les copies de test hors de votre propre boîte.
Idées reçues courantes
- « Bloquer les images arrête tout le suivi. » Les liens suivis signalent encore les clics.
- « Le proxy de Gmail masque mes ouvertures. » Il masque votre IP et votre appareil, et l'expéditeur peut quand même voir que l'image s'est chargée.
- « Les messages d'apparence simple ne sont pas suivis. » Les outils individuels de vente et de recrutement ajoutent des pixels à des notes d'apparence ordinaire.
- « Être suivi, c'est être piraté. » Un pixel signale une récupération et ne peut pas lire votre courrier. Changez les réglages et passez à autre chose.
- « Toujours afficher les images d'un expéditeur revient à les autoriser une fois. » Cela laisse le suivi actif pour tous les futurs messages de cet expéditeur : autorisez donc les images message par message, sauf si c'est voulu.
Questions fréquentes sur le suivi des e-mails
Gmail bloque-t-il les pixels espions ?
Il ne les bloque pas par défaut. Gmail fait passer les images par son proxy, qui masque votre adresse IP et les détails de votre appareil, mais les images se chargent automatiquement : l'expéditeur peut donc apprendre que l'e-mail a été ouvert et à peu près quand. Choisir Demander avant d'afficher les images externes l'empêche.
Un pixel espion peut-il donner ma position exacte ?
Non. Une adresse IP suggère généralement une ville ou une région et un fournisseur d'accès, et elle peut se tromper. Elle ne révèle pas d'adresse postale. Les proxies utilisés par Gmail et par la Protection de la confidentialité dans Mail d'Apple masquent d'emblée votre IP à l'expéditeur.
Bloquer les images va-t-il abîmer mes e-mails ?
Certains e-mails marketing paraissent vides ou cassés tant que vous ne chargez pas les images, mais le texte, les liens et les pièces jointes fonctionnent toujours. Vous pouvez charger les images d'un message de confiance en un clic, et la plupart des applications permettent de faire confiance à un expéditeur de façon permanente.
Puis-je savoir qui a suivi un message que j'ai déjà ouvert ?
En partie. La source du message montre les adresses d'images et les domaines des liens, qui nomment souvent la plateforme marketing ou un service de suivi. Elle ne vous montrera pas ce que l'expéditeur a enregistré ni s'il l'a consulté.
Une boîte temporaire arrête-t-elle le suivi ?
Elle limite ce que le suivi peut obtenir, puisque l'adresse n'est pas liée à votre vraie boîte. Dans VookMail, les pixels cachés sont supprimés et les images restent désactivées tant que vous ne les autorisez pas. Cliquer sur un lien suivi signale quand même ce clic et montre votre adresse IP au serveur de suivi.