Uma imagem pequena demais para você enxergar pode avisar que você abriu uma mensagem. Muitas vezes ela mede um pixel por um pixel, costuma ser transparente e, quando seu aplicativo de e-mail a busca na internet, o servidor do remetente registra que aquela cópia específica do e-mail foi aberta, junto com o horário e, com frequência, sua localização aproximada e o aparelho. Você não clica em nada e nenhum aviso aparece. A newsletter que você folheou no café da manhã pode ter informado o fato antes de você terminar o café.
Essa é a forma mais comum de rastreamento de e-mail, e a segunda metade dela são os links codificados para que cada clique identifique você. Você pode barrar a maior parte disso desligando o carregamento automático de imagens remotas, usando recursos de privacidade como a Proteção de Privacidade do Mail da Apple, acessando as páginas diretamente em vez de passar por links rastreados e mantendo seu endereço principal longe de remetentes em quem você não confia. Nenhuma configuração sozinha cobre tudo, e o que você precisa depende do aplicativo de e-mail que usa e do que realmente o incomoda que um remetente saiba.
O que acontece dentro da mensagem
Um pixel de rastreamento não vem anexado ao e-mail. O HTML da mensagem contém uma instrução para buscar uma imagem em outro lugar, que pode ser assim neste exemplo fictício:
<img src="https://track.sender.example/o/8f3a91c2e7.gif" width="1" height="1" alt="">
Quando seu aplicativo exibe a mensagem e carrega imagens remotas, ele envia uma requisição web comum a esse servidor. O texto no endereço, aqui 8f3a91c2e7, normalmente é único para você e para aquele e-mail. O servidor anota a requisição e devolve uma imagem em branco. O software do remetente então trata "a imagem foi pedida" como "o e-mail foi aberto", e essa é a base da taxa de abertura que quase toda plataforma de e-mail marketing e muitas ferramentas de vendas informam.
Nada disso precisa de um pixel no sentido literal. Qualquer recurso remoto que seu aplicativo carregue pode fazer o serviço: um logotipo visível, um banner, um plano de fundo em CSS ou uma fonte da web. Dê a cada destinatário um endereço único para o logotipo do cabeçalho e você obtém os mesmos dados. Então "bloquear pixels de rastreamento" na verdade significa "controlar o carregamento de conteúdo remoto", e é por isso que as configurações úteis têm nomes como imagens externas ou conteúdo remoto e não algo sobre rastreamento.
Os aplicativos de e-mail em geral não executam JavaScript dentro das mensagens, e é por isso que esse truque da imagem virou a principal ferramenta. Em uma página da web, um rastreador tem à disposição scripts e cookies. Em um e-mail, ele consegue basicamente uma requisição web, e por isso o que essa requisição revela é o que importa.
O que o remetente pode descobrir e o que fica fora do alcance
Quando um aplicativo busca uma imagem remota diretamente, sem nenhum proxy no caminho, o servidor pode registrar o seguinte.
| Dado | De onde vem | O que revela a eles |
|---|---|---|
| Evento de abertura | O endereço único foi requisitado | Este destinatário abriu este e-mail |
| Horário da abertura | Registro de data e hora do servidor | Quando você leu e, ao longo de muitos e-mails, seus hábitos |
| Número de aberturas | Requisições repetidas | Quantas vezes você voltou, ou possivelmente que você o encaminhou |
| Endereço IP | A origem da conexão | Cidade ou região aproximada e seu provedor ou a rede da empresa |
| User agent | Um cabeçalho da requisição | Aplicativo de e-mail, sistema operacional, às vezes o tipo de aparelho |
| Validade do endereço | Qualquer requisição | Que o endereço é real e é lido ativamente |
A última linha importa mais do que parece. Para uma loja, uma abertura é um número de marketing. Para um spammer, é a prova de que há uma pessoa por trás de uma caixa de e-mail, e esse endereço pode então receber mais mensagens ou ser vendido como "verificado". É aqui que uma técnica rotineira de análise vira um pequeno problema de segurança, e isso liga o rastreamento ao problema mais amplo dos e-mails de phishing, já que endereços ativos são alvos melhores.
Vale também dizer quais são os limites, porque as pessoas costumam imaginar algo pior. Um pixel não consegue ler seus outros e-mails, arquivos ou contatos e não instala software. Também não consegue dar seu endereço residencial: a localização por IP é aproximada e muitas vezes errada até no nível da cidade, e redes móveis ou corporativas podem colocar você longe de onde está. Ele também não sabe se você leu uma palavra da mensagem, só que uma imagem foi carregada. Se você descobriu que alguém rastreou seu e-mail, isso é um incômodo de privacidade. Não significa que sua conta foi hackeada, e não é preciso nenhuma limpeza além de mudar as configurações.
Links rastreados continuam funcionando quando as imagens estão bloqueadas
Bloquear imagens deixa a outra metade do sistema intocada. Em um e-mail rastreado, os links não vão direto ao destino. Vão ao domínio de rastreamento do remetente, carregando um código:
https://click.sender.example/c/8f3a91c2e7/42
Quando você clica, o servidor registra quem você é (pelo código), qual link escolheu (aqui o número 42), o horário, seu endereço IP e seu navegador, e então redireciona você para a página real. O desvio costuma levar uma fração de segundo. Como esse clique passa pelo seu navegador de verdade, ele revela seu endereço IP real, a menos que uma VPN ou ferramenta parecida esteja no caminho. O proxy de imagens do Gmail, discutido abaixo, não faz nada pelos cliques.
Um e-mail de marketing típico mostra as duas metades trabalhando juntas. Eis uma versão simplificada e fictícia do que você poderia ver no código-fonte:
<a href="https://click.esp.example/ls/click?upn=Xy7Q...">Shop the sale</a><img src="https://open.esp.example/wf/open?upn=Xy7Q..." width="1" height="1" style="border:0;">
O mesmo código upn aparece no link e na imagem, o que identifica você como o mesmo destinatário entre aberturas e cliques. A página em que você chega também pode acrescentar parâmetros como utm_source, utm_medium e utm_campaign. Eles alimentam a análise da web e podem unir sua identidade no e-mail à sua navegação no site do remetente, principalmente se você depois entrar numa conta ou preencher um formulário.
Algumas ferramentas cortam a parte final. A Proteção contra Rastreamento de Links da Apple, adicionada com o iOS 17, remove certos parâmetros de rastreamento conhecidos dos links abertos no Mail, no Mensagens e na navegação privada do Safari. O Firefox tem uma opção no clique direito que copia um link sem os parâmetros de rastreamento conhecidos. Nenhuma delas ajuda num redirecionamento por um domínio de rastreamento, porque nesse ponto o clique já foi registrado. A única forma de evitar isso é não usar o link: pesquise o site ou digite o endereço. Como as ferramentas de privacidade deixaram as aberturas pouco confiáveis, muitos remetentes agora dão mais peso aos cliques, então esta é a parte do sistema com mais efeito sobre o seu perfil.
Confirmação de leitura é outra coisa
As pessoas muitas vezes confundem as duas. Uma confirmação de leitura é um pedido formal nos cabeçalhos do e-mail, como Disposition-Notification-To, definido na RFC 8098, pedindo que seu aplicativo devolva uma notificação. É educada e é visível. A maioria dos aplicativos pergunta a você ou segue uma configuração que você controla, e recusar não envia nada. Um pixel nunca pergunta.
| Pixel de rastreamento | Confirmação de leitura | |
|---|---|---|
| Como funciona | Imagem remota carregada do servidor do remetente | Cabeçalho que pede uma notificação de retorno |
| Pede permissão? | Não | Geralmente, ou segue sua configuração |
| Fica visível para você? | Quase nunca | Sim, como uma pergunta na tela |
| O que envia | Horário, IP, aparelho, número de aberturas | Um aviso de que a mensagem foi exibida |
| Onde é usada | Marketing, prospecção de vendas, newsletters | E-mail corporativo em algumas organizações |
| Como impedir | Bloquear imagens remotas | Recusar, ou configurar o aplicativo para nunca enviá-las |
No Outlook clássico para Windows, a configuração fica em Arquivo, Opções, Email, Controle, onde você pode escolher Nunca enviar uma confirmação de leitura. O Gmail oferece confirmações de leitura para contas de trabalho e de escola, quando um administrador as permite, e não para contas pessoais. Alguns sistemas de mensagens empresariais têm um status de leitura interno próprio, que é outra coisa ainda.
Quem faz isso e por quê
A maior parte do rastreamento é comércio de rotina e não algo sinistro. Newsletters e lojas medem taxas de abertura, testam linhas de assunto e removem assinantes inativos. Quem envia recibos e notificações às vezes rastreia aberturas para diagnóstico. Nada disso é pessoal, embora raramente seja anunciado de um jeito que a maioria das pessoas perceba.
Fica mais pessoal nas equipes de vendas, onde complementos avisam um vendedor assim que um potencial cliente abre uma mensagem, de modo que uma ligação de acompanhamento pode parecer estranhamente bem cronometrada. Recrutadores e freelancers podem usar o mesmo tipo de ferramenta, e extensões de navegador como Mailtrack ou Streak a deixam disponível para qualquer pessoa com uma conta do Gmail. Então um bilhete individual, sem logotipos e sem cara de marketing, ainda pode carregar um pixel. E, no extremo, spammers e phishers usam pixels simplesmente para separar endereços ativos de mortos.
A objeção, para quem tem uma, é que a prática acontece em silêncio, monta um retrato do comportamento ao longo do tempo e usa a mesma técnica para os piores remetentes e para os melhores.
Como os principais aplicativos de e-mail se comportam e o que mudar
Os padrões importam aqui, porque a maioria das pessoas nunca os muda. Os nomes dos menus mudam entre versões, então trate estes caminhos como ponto de partida.
Gmail
Desde 2013, o Gmail entrega as imagens por meio de um proxy próprio. Quando uma mensagem é aberta, os servidores do Google buscam a imagem e a repassam, então o remetente vê um endereço do Google e uma descrição genérica do cliente em vez do seu IP e do seu aparelho. As imagens também ficam em cache, o que pode esconder aberturas repetidas. As páginas de ajuda do Google dizem isso mesmo: os remetentes não conseguem usar o carregamento de imagens para descobrir seu endereço IP ou localização, mas podem conseguir saber que você abriu a mensagem. Então, na configuração padrão, o fato e o horário aproximado da primeira abertura continuam passando.
Para impedir isso na web, vá em Configurações, Ver todas as configurações, Geral e, em Imagens, escolha Perguntar antes de exibir imagens externas. Salve no fim da página. Isso também desativa o e-mail dinâmico, de que poucas pessoas vão sentir falta. No aplicativo móvel do Gmail, a mesma escolha está nas configurações de cada conta, em Imagens. Depois disso, você pode exibir imagens em uma única mensagem ou sempre para um remetente.
Apple Mail
A Apple lançou a Proteção de Privacidade do Mail em 2021. Quando Proteger Atividade do Mail está ativado, o Mail baixa o conteúdo remoto de forma privada, em segundo plano, quando uma mensagem chega, quer você a abra ou não, e oculta seu endereço IP. A Apple diz que isso impede que os remetentes vejam quando e com que frequência você abre uma mensagem e se a encaminha. Por causa desses downloads automáticos, os remetentes veem aberturas que dizem pouco sobre leitura real.
No Mac, vá em Mail, Ajustes, Privacidade. No iPhone e no iPad, procure Proteção de Privacidade nos ajustes do Mail, que ficam em Ajustes, Apps, Mail nas versões recentes do iOS. Se você deixar desativado, ainda pode escolher Ocultar Endereço IP e Bloquear Todo o Conteúdo Remoto. Dois detalhes passam facilmente despercebidos. O recurso cobre o aplicativo Apple Mail seja qual for a conta que você use nele, mas não cobre outros aplicativos nem o webmail em um navegador. E a Apple observa que, se você desativou os limites de rastreamento de endereço IP para sua rede Wi-Fi ou Ethernet, seu endereço IP não fica oculto nessa rede. Também não é oferecido em todos os países ou regiões.
Outlook
Existem vários Outlooks, e eles se comportam de forma diferente. O Outlook clássico para Windows há muito tempo se recusa a baixar imagens externas automaticamente de remetentes que não estão na sua lista de seguros, mostrando uma barra em que você pode clicar. A configuração fica em Arquivo, Opções, Central de Confiabilidade, Configurações da Central de Confiabilidade, Download Automático.
No Outlook.com, o caminho é Configurações, Geral, Privacidade e dados, Imagens externas. A página de suporte da Microsoft descreve uma escolha entre carregar as imagens pelo serviço do Outlook, que age como proxy, e não usar esse serviço, caso em que as imagens são carregadas direto do remetente. A Microsoft alerta que a segunda opção pode colocar dados pessoais em risco, então mantenha o proxy ativado, a menos que tenha um motivo para não fazê-lo. Um proxy oculta seu IP, mas, como no Gmail, pode não ocultar o fato de uma abertura. As opções variam entre as versões do Outlook, então veja o que a sua mostra.
Thunderbird, Yahoo e outros
O Mozilla Thunderbird bloqueia o conteúdo remoto por padrão para que o remetente não receba nenhuma informação, e mostra uma barra que permite liberá-lo para uma mensagem ou um remetente. Os controles ficam em Configurações, Privacidade e segurança. O Yahoo Mail tem uma opção chamada Mostrar imagens nas mensagens nas configurações de visualização, com a escolha de perguntar antes. Muitos aplicativos de terceiros no Android e no iOS têm uma opção parecida, geralmente com palavras como "carregar imagens remotas" ou "bloquear conteúdo externo". Alguns provedores voltados à privacidade vão além: o Proton Mail, por exemplo, bloqueia rastreadores conhecidos e diz quais encontrou.
| Aplicativo, configuração padrão | Imagens remotas | Oculta seu IP? | Oculta a abertura? | O que fazer |
|---|---|---|---|---|
| Gmail | Carregadas pelo proxy do Google | Sim | Não por padrão | Perguntar antes de exibir imagens externas |
| Apple Mail, Proteger Atividade do Mail ativado | Pré-carregadas de forma privada | Sim | Em grande parte, já que os pré-carregamentos embaralham as aberturas reais | Mantenha ativado |
| Outlook clássico para Windows | Bloqueadas para remetentes que não estão na sua lista de seguros | Até você carregá-las | Até você carregá-las | Mantenha o download automático desativado |
| Outlook.com | Depende da configuração | Com o proxy ativado | Não de forma confiável | Confira Imagens externas |
| Thunderbird | Bloqueadas | Até você permiti-las | Até você permiti-las | Mantenha o padrão |
| Outros aplicativos | Varia | Varia | Varia | Desative as imagens remotas automáticas |
Uma newsletter, quatro leitores
Eis um exemplo imaginário de como isso funciona na prática. Uma loja envia a mesma newsletter rastreada a quatro pessoas com configurações diferentes, e vejamos o que o painel dela aprenderia sobre cada uma.
O leitor A usa um aplicativo de computador que carrega imagens automaticamente. Ele abre a mensagem às 08:14 em casa. O aplicativo busca o pixel diretamente, então a loja registra o horário, o endereço IP residencial, que sugere uma cidade e um provedor de internet, e um user agent que indica o aplicativo e o sistema. Às 19:40 o leitor a abre de novo no celular, com dados móveis, e agora a loja sabe da existência de dois aparelhos e tem uma localização aproximada à noite. Um clique em um link de produto fica ligado ao mesmo código de destinatário.
O leitor B usa o Gmail com as configurações padrão. A abertura às 09:02 é registrada, mas com o endereço de um servidor do Google e detalhes genéricos do cliente. Uma nova abertura mais tarde pode nem ser registrada por causa do cache. Se o leitor B clicar em um link, porém, o clique passa pelo próprio navegador dele e revela seu IP real ao servidor de rastreamento.
O leitor C usa o Apple Mail com Proteger Atividade do Mail ativado. As imagens são buscadas em segundo plano logo após a entrega, possivelmente enquanto o leitor C dorme. A loja registra uma "abertura" em um horário sem relação com qualquer leitura, vinda de um endereço de retransmissão, e não consegue saber se o e-mail chegou a ser lido. Só um clique daria a ela um sinal real.
O leitor D se cadastrou para um guia de compras com um endereço temporário, e as imagens ficam desativadas. A loja não registra nenhuma abertura. Se o leitor D lê o texto e nunca clica em um link, a loja não descobre nada além do fato de que o endereço aceitou e-mails. Um dia depois a mensagem é apagada, e as newsletters seguintes chegam a um endereço que ninguém lê.
Cada camada remove algo diferente. Um proxy remove seu IP, o pré-carregamento de privacidade remove o horário, o bloqueio de imagens remove a abertura, evitar links rastreados remove o clique e um endereço separado remove a ligação com você.
Como saber se uma mensagem é rastreada
Você não precisa de ferramentas especiais para uma resposta razoável.
Se seu aplicativo bloqueia o conteúdo remoto e mostra uma barra em uma mensagem que parece texto simples, a mensagem contém recursos remotos, muito possivelmente um pixel. Um bilhete individual de um vendedor com uma barra de "carregar imagens" e nenhuma imagem visível é um bom exemplo. Não é prova, já que um logotipo na assinatura também ativaria a barra, mas é uma forte pista.
Para olhar mais de perto, veja o código-fonte: Mostrar original no Gmail, Exibir origem da mensagem no Outlook na web ou Visualizar, Mensagem, Código-fonte bruto no Apple Mail. Procure por <img. Busque imagens com width="1" e height="1", estilos como display:none ou endereços com longas sequências aleatórias. Depois passe o cursor sobre os links. Se todos passam por um domínio que começa com algo como click., links., t. ou email. e têm códigos longos, são rastreados.
Os cabeçalhos dão mais uma pista. As mensagens enviadas por plataformas de marketing muitas vezes citam a plataforma ou trazem um cabeçalho List-Unsubscribe que aponta para os servidores dela. Isso não prova o rastreamento, mas o torna provável. Provedores e extensões que identificam rastreadores conhecidos podem fazer o mesmo trabalho com menos esforço, dentro dos limites do que reconhecem.
Lugares onde você talvez não espere
Uma mensagem encaminhada geralmente leva o pixel junto. Se o aplicativo do seu amigo carrega imagens, o remetente original pode ver outra abertura de um novo local e aparelho e concluir que a mensagem foi compartilhada, e algumas ferramentas informam isso diretamente como "possivelmente encaminhada". Encaminhar uma proposta de vendas rastreada a um colega pode, portanto, dizer exatamente isso ao vendedor. Copiar o texto para uma nova mensagem evita isso.
Os painéis de visualização contam como abertura. Selecionar uma mensagem para que ela apareça ao lado da sua caixa de entrada a renderiza, o que pode carregar imagens como se você a tivesse aberto por completo. As prévias de notificação nos celulares em geral mostram só texto e não carregam imagens, mas o comportamento dos aplicativos varia.
As assinaturas são outro esconderijo. Logotipos e ícones de redes sociais nas assinaturas muitas vezes são imagens remotas, e as ferramentas de rastreamento podem dar a elas endereços únicos por mensagem, o que transforma uma assinatura de aparência inofensiva em um rastreador de aberturas.
Convites de calendário e avisos de documentos compartilhados vêm de serviços reais, e esses serviços podem registrar a própria atividade, separadamente do e-mail em si. As configurações de imagens não chegam a isso.
Uma configuração sensata, em ordem de esforço
Você não precisa de tudo isso. A maioria das pessoas deve fazer os dois primeiros itens e parar quando o inconveniente superar o que ganham.
- Desative as imagens remotas automáticas, em todos os aplicativos de e-mail que você usa, em cada aparelho. Essa única mudança derrota o núcleo do rastreamento de aberturas na maioria dos aplicativos. Os e-mails de marketing vão parecer vazios até você carregar as imagens, mas texto, links e anexos continuam funcionando.
- Ative a proteção embutida onde ela existir. Isso quer dizer Proteger Atividade do Mail no Apple Mail e o proxy de imagens no Outlook.com.
- Carregue imagens de forma seletiva. Exibir imagens em uma mensagem aceita o rastreamento dessa mensagem, o que é razoável para um recibo de uma loja em que você confia ou para uma mensagem em que as figuras carregam o conteúdo. Deixe desativado para promoções e desconhecidos.
- Configure as confirmações de leitura para "nunca" ou "perguntar".
- Seja deliberado com os cliques. Quando você quer uma página, mas não o registro do clique, acesse o site diretamente ou pesquise por ele.
- Leia mensagens duvidosas como texto simples. A visualização em texto simples ignora completamente o HTML e o conteúdo remoto. No Thunderbird, use Exibir, Corpo da mensagem como, Texto simples. O Outlook clássico tem Ler todas as mensagens padrão em texto sem formatação na Central de Confiabilidade, em Segurança de Email. Isso é especialmente útil quando você investiga um possível phishing.
- Considere uma VPN se o seu endereço IP em si importa para você. Os proxies de imagem cobrem o carregamento de imagens, mas não os cliques no navegador, e uma VPN confiável oculta seu IP residencial nos dois casos. Lembre-se de que você está transferindo essa confiança para a empresa da VPN.
- Tenha cuidado com extensões que bloqueiam rastreadores. Elas podem detectar pixels conhecidos no webmail e bloqueá-los ou sinalizá-los, mas qualquer extensão que leia seu webmail tem acesso às suas mensagens. Prefira opções bem avaliadas ou de código aberto, de criadores que você consiga identificar, com apenas as permissões de que precisam.
- Dê um endereço diferente a remetentes de pouca confiança, como descrito abaixo.
Uma observação sobre cancelar inscrições, porque isso interage com tudo o que foi dito. Para remetentes em que você realmente se inscreveu, cancelar é bom e muitas vezes a melhor solução para e-mails rastreados, e o botão de cancelamento embutido no seu aplicativo é o caminho mais limpo, já que usa o cabeçalho padrão List-Unsubscribe. Em spam óbvio, não clique em nenhum link de cancelamento, porque o clique confirma seu endereço. Denuncie a mensagem.
O quanto isso deve preocupar você?
Depende de quem você é e de quem está escrevendo. Para a maioria das pessoas, o custo realista é uma loja saber quando você lê as ofertas dela, e no máximo um esforço modesto se justifica. O proxy do Gmail já remove os dados de localização para os usuários dele, e uma única configuração remove a abertura.
A conta muda em algumas situações. Um jornalista, um ativista ou qualquer pessoa contatada por alguém que quer evitar pode se importar muito com um endereço IP ou com revelar que uma mensagem foi lida, e para essas pessoas as imagens devem ficar desativadas e qualquer link deve ser tratado com cuidado. Quem procura emprego talvez não queira que um recrutador veja que abriu uma proposta cinco vezes. E em uma negociação de salário ou de contrato, um remetente que consegue observar suas aberturas tem informações que você não escolheu compartilhar. Se isso importa no seu caso, mantenha as imagens desativadas para esse remetente e leia em texto simples.
Onde um endereço separado se encaixa
O rastreamento é valioso para os remetentes porque liga um comportamento a uma identidade: seu endereço, associado ao seu nome, às suas compras e a outros dados. Um endereço separado corta essa ligação. Um alias ou endereço secundário faz isso para as lojas e serviços que você continua usando. Para cadastros pontuais, como um download ou uma newsletter que você quer ler uma vez, uma caixa de entrada temporária pode fazer isso, quando os termos do site permitem. O endereço dura pouco, então um endereço descartável dá ao remetente muito pouco em que se basear.
O VookMail trata parte disso na própria caixa de entrada. Um endereço está pronto quando a página carrega, sem cadastro e sem senha. Os pixels de rastreamento ocultos são removidos e as imagens ficam desativadas até você permiti-las, então abrir uma mensagem ali não avisa o remetente por si só por meio de um pixel. As mensagens, os anexos e os endereços são apagados depois de cerca de um dia. Nosso guia para usar o VookMail mostra os botões, inclusive como obter um endereço aleatório, que é a escolha mais segura, já que qualquer pessoa que conheça ou adivinhe um endereço pode abrir aquela caixa de entrada.
Valem alguns limites. Se você permitir imagens em uma mensagem, está escolhendo carregar o que quer que sejam, e essas requisições podem dizer algo ao remetente. Os links continuam funcionando como links: um clique passa pelo seu próprio navegador, com seu próprio endereço IP, a menos que você use uma VPN. E um endereço temporário serve apenas para uso pontual e de pouca importância. Não deve ser usado para contas de banco, governo, saúde, trabalho ou rede social principal, nem para nada que viole os termos de outro site. A política de privacidade descreve como tratamos os dados das mensagens, e a página sobre nós diz mais sobre o serviço.
O rastreamento de e-mail é legal?
Depende de onde estão o remetente e o destinatário e do que acontece com os dados. O resumo abaixo é uma informação geral, não aconselhamento jurídico, e essas regras mudam. Nosso artigo sobre leis de privacidade de e-mail traz mais contexto.
Na UE, tanto as regras de ePrivacy sobre armazenar ou acessar informações no dispositivo do usuário quanto as regras do GDPR sobre dados pessoais são relevantes, e os reguladores têm dado mais atenção aos pixels de e-mail. Na França, a autoridade de proteção de dados, a CNIL, publicou em abril de 2026 uma recomendação afirmando que os pixels de rastreamento em e-mails geralmente exigem o consentimento prévio do destinatário, separado do consentimento para receber o e-mail, com exceções restritas, como certos usos de segurança. O regulador da Itália também publicou orientações sobre o assunto. As abordagens e a fiscalização variam entre os Estados-membros.
No Reino Unido, o Information Commissioner's Office publicou em abril de 2026 as orientações finais sobre tecnologias de armazenamento e acesso. Elas listam os pixels de rastreamento entre as tecnologias cobertas e tratam os pixels que armazenam ou acessam informações em um dispositivo como sujeitos à regra do PECR sobre essas tecnologias, em que o consentimento geralmente é exigido, a menos que se aplique uma exceção.
Nos Estados Unidos, nenhuma regra federal única proíbe especificamente os pixels de e-mail. A lei CAN-SPAM se concentra em cabeçalhos honestos, na identificação do remetente e no respeito aos pedidos de cancelamento, e não no rastreamento. Algumas leis estaduais de privacidade dão aos residentes direitos sobre dados pessoais, que podem incluir dados de rastreamento. Em outros lugares, as exigências variam, e muitos regimes esperam pelo menos que haja informação em uma política de privacidade. Como destinatário, sua proteção prática são as suas próprias configurações.
Se você mesmo envia e-mails
As taxas de abertura são uma medida mais fraca do que já foram, e vale saber por quê antes de tomar decisões com base nelas. O pré-carregamento de privacidade produz aberturas que ninguém fez. O bloqueio de imagens esconde aberturas que aconteceram. O cache do proxy esconde aberturas repetidas. Scanners de segurança corporativos podem buscar imagens e seguir links para verificá-los contra ameaças, o que produz aberturas e até cliques sem nenhum humano. Os painéis de visualização registram uma "abertura" quando alguém apenas passa por uma mensagem por meio segundo. Então as aberturas servem, no máximo, para comparações gerais, e tirar uma conclusão pessoal de um único evento de abertura é um erro. Cliques, respostas e conversões dizem mais, embora até os cliques precisem ter o tráfego de scanners filtrado.
Se você administra uma lista, pode medir respeitando os leitores:
- Diga que rastreia, na sua política de privacidade e, quando a lei exigir, no cadastro. Obtenha o consentimento onde for necessário e, em regiões como a França e o Reino Unido, consulte as orientações atuais em vez de presumir que uma adesão ao marketing cobre os pixels.
- Ofereça uma forma de recusar o rastreamento, além da forma de recusar os e-mails.
- Deixe os pixels de fora das redefinições de senha, dos alertas de segurança e de outras mensagens sensíveis, a menos que você tenha um motivo operacional claro.
- Prefira números agregados a observar indivíduos e pense duas vezes antes de usar alertas de vendas que disparam a cada abertura.
- Projete pensando nas imagens bloqueadas, com texto de verdade, um bom texto alternativo e links que façam sentido sem figuras. Uma mensagem que desmorona sem imagens já está quebrada para quem as bloqueia.
Para ver como fica a sua campanha sem rastreamento e com as imagens desativadas, envie um teste para um endereço temporário novo. Isso dá uma visão rápida da versão em texto do seu design e mantém as cópias de teste fora da sua própria caixa de entrada.
Mal-entendidos comuns
- "Bloquear imagens impede todo o rastreamento." Os links rastreados ainda informam os cliques.
- "O proxy do Gmail esconde minhas aberturas." Ele esconde seu IP e seu aparelho, e o remetente ainda pode ver que a imagem foi carregada.
- "Mensagens com cara simples não são rastreadas." As ferramentas individuais de vendas e recrutamento adicionam pixels a bilhetes de aparência comum.
- "Ser rastreado é o mesmo que ser hackeado." Um pixel informa uma busca e não consegue ler seus e-mails. Mude as configurações e siga em frente.
- "Mostrar sempre as imagens de um remetente é o mesmo que permitir uma vez." Isso mantém o rastreamento ativo em toda mensagem futura desse remetente, então permita as imagens por mensagem, a menos que seja isso mesmo que você quer.
Perguntas frequentes sobre rastreamento de e-mail
O Gmail bloqueia pixels de rastreamento?
Não os bloqueia por padrão. O Gmail encaminha as imagens por seu proxy, que oculta seu endereço IP e os detalhes do aparelho, mas as imagens são carregadas automaticamente, então o remetente pode saber que o e-mail foi aberto e mais ou menos quando. Escolher Perguntar antes de exibir imagens externas impede isso.
Um pixel de rastreamento pode dar minha localização exata a alguém?
Não. Um endereço IP geralmente sugere uma cidade ou região e um provedor de internet, e pode estar errado. Ele não revela um endereço residencial. Os proxies usados pelo Gmail e pela Proteção de Privacidade do Mail da Apple escondem seu IP do remetente já de saída.
Bloquear imagens vai estragar meu e-mail?
Alguns e-mails de marketing parecem vazios ou quebrados até você carregar as imagens, mas texto, links e anexos continuam funcionando. Você pode carregar imagens de uma mensagem confiável com um clique, e a maioria dos aplicativos permite confiar em um remetente de forma permanente.
Consigo saber quem rastreou uma mensagem que já abri?
Em parte. O código-fonte da mensagem mostra os endereços de imagens e os domínios dos links, que muitas vezes citam a plataforma de marketing ou um serviço de rastreamento. Ele não mostrará o que o remetente registrou nem se chegou a olhar.
Uma caixa de entrada temporária impede o rastreamento?
Ela limita o que o rastreamento consegue, já que o endereço não está ligado à sua caixa de entrada real. No VookMail, os pixels ocultos são removidos e as imagens ficam desativadas até você permiti-las. Clicar em um link rastreado ainda informa esse clique e mostra seu endereço IP ao servidor de rastreamento.