La plupart des emails marketing que vous recevez vous observent en retour. Caché dans le message se trouve une minuscule image invisible — un pixel espion — qui prévient l'expéditeur à l'instant où vous l'ouvrez. Comprendre ce mécanisme est la première étape pour décider ce que vous voulez en tolérer.
Ce qu'est réellement un pixel espion
Un pixel espion est généralement une image transparente de 1x1 intégrée dans le HTML d'un email. Elle ressemble à n'importe quelle autre balise d'image, sauf que le fichier vers lequel elle pointe est hébergé sur le serveur de l'expéditeur (ou celui d'un prestataire de tracking) et que l'URL contient un identifiant unique qui vous est spécifiquement associé.
Quand votre client mail affiche le message et charge cette image, votre appareil envoie une requête au serveur de tracking. Cette seule requête peut révéler :
- Que vous avez ouvert l'email, et à quelle heure exactement
- Combien de fois vous l'avez ouvert ou rouvert
- Votre localisation approximative, déduite de votre adresse IP
- Votre appareil et votre client mail, via la chaîne user agent envoyée avec la requête
Rien de tout cela n'exige que vous cliquiez. Le simple affichage du message suffit, tant que les images distantes se chargent.
Le tracking des liens : la deuxième couche
Les pixels ne sont que la moitié de l'histoire. Presque chaque lien d'un email commercial est une redirection. Au lieu de pointer vers la destination, le lien passe d'abord par un domaine de tracking, enregistre le clic associé à votre identifiant unique, puis vous fait suivre. C'est pourquoi les URL des newsletters sont souvent de longues chaînes incompréhensibles plutôt que des adresses lisibles.
Le tracking des liens est plus difficile à éviter que celui des pixels, car bloquer les images n'y change rien. Si vous cliquez, le clic est enregistré. Si vous êtes curieux de ce que fait réellement une chaîne de redirections, un outil comme notre inspecteur d'en-têtes HTTP peut vous montrer ce qu'un serveur renvoie avant que votre navigateur ne le suive.
Ce que les expéditeurs font de ces données
Les données d'ouverture et de clic alimentent directement la façon dont vous serez ciblé ensuite :
- Les ouvreurs fréquents reçoivent plus d'emails, car l'engagement signale l'intérêt.
- Les non-ouvreurs reçoivent des campagnes de « réengagement » ou sont revendus comme prospects inactifs.
- Les heures d'ouverture servent à programmer les envois futurs au moment où vous êtes le plus susceptible de regarder.
- Les adresses confirmées actives valent plus cher quand les listes sont partagées ou vendues.
Autrement dit, chaque ouverture que vous enregistrez rend votre adresse plus attrayante comme cible. C'est l'un des mécanismes derrière l'encombrement progressif des boîtes de réception, que nous traitons plus en profondeur dans notre tour d'horizon sur pourquoi le spam continue de gagner.
Comment bloquer le pistage par email
Aucun réglage unique n'arrête tout, mais cumuler quelques habitudes vous mène très loin.
1. Désactivez le chargement automatique des images
C'est la défense classique. Si les images distantes ne se chargent jamais, le pixel ne se déclenche jamais. La plupart des clients mail permettent de désactiver le chargement automatique et de n'afficher les images que sur pression d'un bouton. Le compromis : des emails moins jolis, mais le signal de tracking disparaît.
2. Utilisez un client ou un service qui fait transiter les images par un proxy
Certains fournisseurs préchargent les images via leurs propres serveurs. L'expéditeur voit toujours un événement d'ouverture, mais il provient du proxy du fournisseur et non de votre appareil, ce qui supprime votre adresse IP, votre localisation et les détails de votre appareil. C'est une défense partielle : le signal « a-t-il ouvert » survit, mais pas l'empreinte.
3. Lisez les messages suspects en texte brut
L'affichage en texte brut ignore complètement le HTML, faisant disparaître pixels et artifices de mise en forme. C'est une bonne habitude pour tout message inattendu, et elle se combine bien avec les vérifications de notre guide des signaux d'alerte du phishing.
4. Ne cliquez pas directement sur les liens pistés
Si vous voulez visiter le site d'une entreprise depuis un email, envisagez de taper le domaine dans votre navigateur plutôt que de cliquer sur le lien pisté. Vous ne perdez rien, sauf l'enregistrement du clic par l'expéditeur.
5. Tenez les traqueurs complètement à l'écart de votre vraie adresse
La défense la plus complète est structurelle : ne donnez pas votre vraie boîte aux expéditeurs traqueurs en premier lieu. Quand un site exige une adresse email pour un téléchargement, un coupon ou une inscription ponctuelle, une adresse jetable confine toute la relation de tracking. Une boîte MailDrop ne demande aucune inscription, reçoit le courrier instantanément et expire d'elle-même — les données de pixel qu'un expéditeur collecte sont donc liées à une adresse qui cessera bientôt d'exister. Pour les abonnements durables que vous voulez vraiment, voir notre guide sur l'utilisation du mail temporaire pour les newsletters.
Ce que le blocage accomplit — et ce qu'il n'accomplit pas
Soyez réaliste sur les limites. Bloquer les pixels arrête le profilage comportemental via votre boîte, mais l'expéditeur a toujours votre adresse et peut toujours vous écrire. Se désinscrire, filtrer et choisir avec soin qui obtient votre adresse comptent tout autant.
Il faut aussi le dire : le suivi d'ouverture n'est pas malveillant en soi. Les entreprises légitimes l'utilisent pour mesurer si leurs emails sont désirés. Le problème est que le même mécanisme fonctionne silencieusement, sans consentement, et alimente les courtiers en données et les spammeurs aussi bien que les newsletters honnêtes.
En résumé
Le pistage par email est bon marché, invisible et quasi universel dans le courrier commercial. Vous pouvez en neutraliser l'essentiel en désactivant les images distantes, en lisant le courrier douteux en texte brut, en évitant les liens pistés et — le plus efficace — en donnant des adresses qui ne sont pas les vôtres pour toujours. Traitez votre vraie boîte comme un espace privé, et faites suivre aux traqueurs une adresse jetable qui mène à une impasse.