Une image invisible d’un pixel, chargée depuis un serveur distant, signale l’ouverture d’un courriel avec l’heure, l’adresse IP et l’appareil. Voici ce qu’elle révèle, ce qu’elle invente, et comment couper le retour.
Un pixel de suivi est une image d’un point, transparente, dont l’adresse est différente pour chaque destinataire. Quand votre logiciel affiche le message, il va chercher cette image sur un serveur : la requête livre l’heure exacte, votre adresse IP, votre logiciel de messagerie et le fait que ce destinataire précis a ouvert. Le pixel ne sait ni si vous avez lu, ni combien de temps. Le blocage des images distantes coupe la remontée en un réglage, mais laisse intact le suivi des liens que vous cliquez.
Vous ouvrez une lettre d’information à 8 h 12, dans le métro, en balayant distraitement l’écran. À 8 h 16, une notification arrive : le même expéditeur vous propose une remise supplémentaire, valable deux heures. La coïncidence n’en est pas une. Il sait que vous venez d’ouvrir.
Le mécanisme derrière cette relance tient dans une image d’un point de côté, transparente, invisible à l’œil, insérée quelque part dans le message. Elle n’est pas dans le courriel : elle est chargée depuis un serveur distant au moment où votre logiciel affiche le message. Cette requête est le signal.
Le procédé est ancien, banal, et bien plus limité qu’on ne le croit. Il est aussi bien plus bavard qu’on ne le croit, mais pas sur ce que l’on imagine.
Un courriel au format enrichi est une page web miniature. Comme une page web, il peut référencer des ressources hébergées ailleurs, images comprises. Votre logiciel de messagerie, pour afficher le message, va les chercher.
L’expéditeur insère donc une image d’un pixel sur un pixel, transparente ou de la couleur du fond, dont l’adresse contient un identifiant unique. Pas un identifiant par campagne : un identifiant par destinataire. L’image elle-même ne transporte rien. C’est le fait d’aller la chercher, avec cet identifiant précis, qui constitue l’information.
Le serveur d’en face enregistre alors une ligne dans son journal, exactement comme n’importe quel serveur web. Cette ligne relie un identifiant, donc une personne connue de l’expéditeur, à un instant, une adresse réseau et un logiciel.
La requête déclenchée à l’affichage porte quatre informations exploitables, et une cinquième déduite.
L’horodatage, à la seconde. Répété sur plusieurs envois, il dessine vos heures de consultation, donc votre rythme de vie, et il alimente les algorithmes qui décident de l’heure d’expédition suivante.
L’adresse IP, qui livre l’opérateur et une localisation approximative. Ce que cette adresse dit et ne dit pas fait l’objet d’un développement complet dans notre article sur l’adresse IP : elle ne désigne pas un logement, mais elle distingue très bien un domicile d’un réseau d’entreprise, et une connexion française d’une connexion depuis l’étranger.
La signature du logiciel, transmise à chaque requête, qui nomme le client de messagerie, sa version, le système et parfois l’appareil. C’est ainsi qu’un expéditeur sait que vous êtes passé du téléphone à l’ordinateur.
Le nombre et l’ordre des ouvertures, enfin. Une deuxième requête plusieurs heures plus tard depuis une autre adresse IP signale une relecture, parfois un transfert : si un collègue à qui vous avez fait suivre le message l’ouvre à son tour, il déclenche le même identifiant, et l’expéditeur voit une ouverture depuis un réseau différent.
| Information | Le pixel la donne ? | Précision réelle |
|---|---|---|
| Que ce destinataire précis a affiché le message | Oui | Certaine, sauf pré-chargement automatique |
| L’heure d’affichage | Oui | À la seconde |
| La localisation | Déduite de l’adresse IP | Ville ou agglomération, parfois seulement la région |
| L’appareil et le logiciel | Oui | Marque de client, version, système |
| Que le message a été lu | Non | Aucune, un aperçu suffit à déclencher |
| Le temps passé sur le message | Non | Aucune, sauf tentative de mesure peu fiable |
| Ce que vous avez pensé, répondu ou supprimé | Non | Aucune |
La confusion centrale porte sur le mot « ouverture ». Elle désigne un événement technique, l’affichage du message par un logiciel, et non un geste humain.
Un volet d’aperçu qui affiche automatiquement le message sélectionné déclenche le pixel sans que vous ayez rien décidé. Un balayage pour supprimer, dans certains clients, l’affiche brièvement et le déclenche aussi. À l’inverse, une lecture attentive en texte brut, ou avec les images bloquées, ne remonte rien : vous avez lu, et l’expéditeur vous croit inactif.
Les indicateurs de « temps de lecture » que promettent certains outils reposent sur des artifices fragiles, comme le chargement échelonné de plusieurs images. Ils mesurent surtout le comportement du logiciel de messagerie, pas celui du lecteur. Un tableau de bord marketing affiche donc, sous une même colonne, des choses de nature très différente.
Le suivi à l’ouverture est le plus discuté et le moins riche. Le suivi au clic est discret et beaucoup plus précis.
Dans une lettre d’information, les liens ne pointent pratiquement jamais vers la page annoncée. Ils pointent vers un domaine de redirection du prestataire d’envoi, avec dans l’adresse un identifiant d’envoi, un identifiant de destinataire et un identifiant de lien. Le prestataire enregistre le clic, puis vous renvoie vers la destination réelle. Le détour dure quelques dizaines de millisecondes et ne se voit pas.
À l’arrivée, l’adresse finale porte souvent des paramètres de campagne, ainsi qu’un identifiant qui permet au site de vous reconnaître avant même que vous ayez ouvert un compte. Savoir décomposer une adresse web permet de voir ces paramètres, et parfois d’en retirer une partie avant d’ouvrir la page.
Ce chaînage explique pourquoi l’adresse électronique est devenue la pièce maîtresse du ciblage publicitaire. Transformée en empreinte, elle relie vos activités d’un site à l’autre sans dépendre d’aucun cookie, un basculement décrit dans ce qui remplace le cookie tiers et dans la chaîne complète du ciblage publicitaire.
Deux décisions techniques, prises par deux acteurs majeurs, ont bouleversé la fiabilité du pixel.
La première, en 2013, a consisté à faire passer toutes les images d’un service de messagerie très répandu par un serveur intermédiaire, qui les télécharge et les met en cache. L’expéditeur ne voit plus votre adresse IP mais celle de l’intermédiaire, et une image mise en cache peut ne plus déclencher de nouvelle requête aux ouvertures suivantes.
La seconde, en 2021, va plus loin : une option de protection de la vie privée, activée par une large partie des utilisateurs d’un écosystème mobile, pré-charge toutes les images de tous les messages dès leur réception, ouverts ou non, à travers un relais qui masque l’adresse réelle. Le pixel se déclenche donc pour des messages que personne n’a jamais regardés.
Le point est mal connu des expéditeurs eux-mêmes. La CNIL analyse les traceurs contenus dans les courriels comme des accès à des informations stockées dans l’équipement terminal, régime posé par l’article 82 de la loi Informatique et Libertés. Conséquence : un pixel de mesure commerciale exige un consentement préalable, libre, éclairé, spécifique et révocable, au même titre qu’un traceur publicitaire sur un site. La même logique que celle que l’on retrouve derrière les bandeaux de consentement s’applique donc à votre boîte de réception, sans bandeau pour la rendre visible.
Deux autres textes s’ajoutent. La prospection commerciale par courriel vers un particulier suppose, en principe, un consentement préalable au titre du code des postes et des communications électroniques, avec une exception pour les clients existants sollicités sur des produits analogues. Et le règlement européen sur la protection des données ouvre un droit d’opposition absolu à la prospection : il s’exerce à tout moment, sans motif et sans frais.
Le droit d’accès permet enfin de demander à un organisme ce qu’il a enregistré à votre sujet, journaux d’ouverture et de clic compris. La procédure, les délais et les recours sont détaillés dans nos droits au titre du RGPD. Peu de gens le font, et la réponse est souvent instructive sur la finesse du profil constitué.
Sortons du marketing. Pour un envoyeur de courrier non sollicité, la question la plus précieuse n’est pas de savoir si vous êtes intéressé, mais si votre adresse existe et est consultée par un humain. Une adresse « vivante » vaut plus cher sur les marchés où ces listes s’échangent.
Le pixel répond exactement à cette question, sans le moindre geste de votre part. C’est la raison pour laquelle un message manifestement frauduleux ne doit jamais être affiché avec ses images, et encore moins ouvert par curiosité dans un client qui charge tout automatiquement.
La même logique s’applique aux campagnes de reconnaissance qui précèdent un hameçonnage ciblé : un premier message anodin sert à valider l’adresse, l’heure de consultation et le logiciel utilisé, avant l’envoi du vrai piège, calibré pour l’appareil détecté. S’entraîner à repérer ces mises en scène est l’objet de notre quiz de reconnaissance d’arnaque. Et si votre adresse circule déjà, il vaut la peine de vérifier si elle figure dans une fuite connue.
Aucune parade n’est complète, mais leur rendement est très inégal. Le tableau ci-dessous compare ce que chacune arrête réellement.
| Parade | Ce qu’elle arrête | Ce qu’elle laisse passer | Coût pour vous |
|---|---|---|---|
| Blocage des images distantes | Toute la remontée à l’ouverture | Le suivi au clic | Un bandeau à déplier message par message |
| Lecture en texte brut | Images, polices et mise en forme distante | Le suivi au clic | Messages parfois illisibles |
| Intermédiaire ou pré-chargement du fournisseur | La divulgation de l’adresse IP | Le fait de l’ouverture, souvent faussé à la hausse | Aucun, mais rien n’est masqué à l’expéditeur sur l’ouverture |
| Adresse alias dédiée par service | Le recoupement entre services | Le suivi propre à chaque expéditeur | Gestion des alias, réponses parfois délicates |
| Réseau privé virtuel | La localisation par adresse IP | Tout le reste, identifiant inclus | Abonnement, et faux sentiment de couverture |
Notez ce que la dernière ligne du tableau signale : un réseau privé virtuel ne change presque rien ici, puisque l’identifiant du pixel vous désigne déjà nommément. Ses usages réels sont décrits dans ce qu’un tel service déplace vraiment. Même remarque pour les mesures qui réduisent l’empreinte du navigateur : elles agissent sur le web, pas sur un identifiant que l’expéditeur a lui-même attribué.
La bonne question n’est pas « suis-je suivi », la réponse étant oui par défaut. Elle est : que gagne cet expéditeur à savoir que j’ai ouvert, et suis-je d’accord ?
Pour une lettre d’une association, d’un service public ou d’un média que vous avez choisi, la réponse est souvent oui, et la mesure sert à ajuster une fréquence d’envoi. Pour un marchand qui déclenche une relance chronométrée, la réponse est plutôt non, et le blocage des images rétablit l’asymétrie en votre faveur, sans rien perdre du contenu.
Si vous êtes de l’autre côté et que vous envoyez des lettres d’information, le raisonnement se retourne : la mesure d’ouverture est devenue peu fiable, elle vous expose à une obligation de consentement, et elle apporte moins d’information qu’un simple clic. Une lettre qui s’en passe reste parfaitement mesurable, et elle sera plus souvent délivrée, à condition que le domaine soit authentifié par SPF, DKIM et DMARC et que le trajet du message ne présente aucune anomalie, comme le rappelle notre article sur la circulation d’un courriel.
Cela coupe le suivi à l’ouverture, qui est la partie automatique et involontaire. Cela ne coupe pas le suivi au clic : dès que vous cliquez sur un lien d’une lettre d’information, l’adresse de redirection identifie l’envoi et le destinataire avant de vous rediriger vers la page réelle. Cela ne coupe pas non plus les autres ressources distantes que certains messages chargent, polices ou images de fond. Le blocage des images reste le réglage le plus rentable, mais il traite une moitié du problème.
Il est licite s’il repose sur un consentement préalable, libre, éclairé et révocable, recueilli avant l’envoi. La CNIL analyse les traceurs contenus dans un courriel comme des accès à des informations stockées dans votre équipement, régime de l’article 82 de la loi Informatique et Libertés. Un traceur purement technique nécessaire au service peut échapper au consentement, mais la mesure d’audience commerciale n’entre pas dans cette exception. Vous pouvez exercer vos droits RGPD pour savoir ce qui est enregistré.
Oui pour un expéditeur identifiable et légitime : la désinscription est une obligation et le lien fonctionne. Non pour un message manifestement frauduleux ou envoyé par un inconnu total : le lien confirme alors que l’adresse est vivante et lue, ce qui augmente le volume reçu. Dans ce second cas, le bon geste est de signaler le message comme indésirable, ce qui alimente les filtres de votre fournisseur sans rien renvoyer à l’expéditeur.
Non. Il voit une adresse IP, dont on déduit un opérateur et une localisation approximative, souvent la ville ou l’agglomération, parfois seulement la région. La précision dépend de l’opérateur et du type de connexion. Sur une connexion mobile, l’écart avec la position réelle peut atteindre plusieurs dizaines de kilomètres. En revanche, l’expéditeur sait déjà qui vous êtes puisque l’identifiant du pixel lui est propre : la question n’est pas votre identité, mais votre présence à un instant donné.
Beaucoup moins qu’avant. Un service de messagerie majeur pré-charge les images de tous les messages, ouverts ou non, dès qu’une option de protection est active. Les ouvertures ainsi comptabilisées ne correspondent à aucun geste humain. Les taux affichés mélangent donc de vraies ouvertures, des pré-chargements automatiques et des non-ouvertures invisibles chez ceux qui bloquent les images. Les professionnels s’appuient désormais sur les clics et les conversions.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Adresse IP, DNS, wifi, fibre, 5G, cookies : le réseau démonté pièce par pièce.