Internet est malheureusement devenu un espace où l'espionnage généralisé des faits et gestes des internautes est devenu la norme.

La quasi-totalité des sites que vous fréquentez sont truffés de trackers1, ces petites applications censées enregistrer les sites que vous visitez pour mieux vous profiler, et plein de mécanismes, comme les cookies2 ou le cache3, conçus pour améliorer l'expérience de l'internaute, sont détournés de leurs objectifs initiaux et utilisés pour analyser votre comportement.

Les e-mails ne sont pas épargnés et peuvent aussi contenir des trackers, mais, contrairement aux pages Web traditionnelles, ces traceurs sont injectés de façon plus sournoise, car invisibles à l'oeil nu.

On vous explique comment ils fonctionnent, et comment s'en protéger.

Format texte et format HTML des e-mails

Les e-mails peuvent être rédigés dans deux formats différents : le format texte et le format HTML.

Lorsqu'un e-mail est rédigé en utilisant un format texte, seul le texte brut est présent, et il n'est pas possible d'y ajouter une police de caractères particulière, ni des styles particuliers comme des caractères de couleur, des caractères en gras, en italique, ou soulignés. Il n'est pas non plus possible d'ajouter des liens ou des images, uniquement du texte.

Le contenu de le-mail est écrit dans une police de caractère basique, sans formatage
Exemple d'un e-mail au format texte

Encore aujourd'hui, rien ne vous empêche de configurer votre logiciel de messagerie pour envoyer des e-mails au format texte et vos destinataires n'auront aucun mal à les lire, même avec un iPhone dernier cri.

Copie d'écran du site GMail proposant de passer en « Mode Texte brut »
Envoyer un e-mail au format texte sous GMail

La majorité des e-mails que vous recevez ne sont cependant pas au format texte, mais au format HTML4, car ils incluent de la mise en page, des images et des liens, ce que le format texte classique ne permet pas.

C'est notamment le cas des newsletters et des e-mails publicitaires que vous recevez ou des e-mails transactionnels5 que vous envoient les applications que vous utilisez.

Il y a plusieurs raisons à cela. La première, c'est que les e-mails sont plus jolis lorsqu'ils sont mis en page correctement et quand ils contiennent des d'images d'illustration. La seconde, c'est que le format HTML permet d'intégrer des images espions pour savoir si vous avez ouvert et lu le mail.

Les images et pixels espions contenus dans les e-mails

Bon nombre de vos interlocuteurs souhaitent savoir si vous ouvrez et lisez réellement leurs courriels :

  • Les éditeurs de newsletters, pour analyser le succès de leurs articles, et pour connaître les thèmes qui vous passionnent le plus ;
  • Les agences publicitaires, pour connaître les articles qui vous intéressent le plus, et que vous êtes le plus susceptibles d'acheter ;
  • Les applications, pour s'assurer que la notification a bien été reçue.

Tous ont une bonne raison d'intégrer des trackers aux e-mails qui vous sont envoyés, et ils ne s'en privent pas.

La méthode la plus répandue est d'intégrer une image à l'e-mail, et je ne parle pas de joindre une image en pièce-jointe, mais bien d'intégrer une image dans le corps du mail.

Cette image peut être une image classique avec un logo ou une photo quelconque. Elle peut aussi être une image invisible, composée d'un pixel transparent, invisible à l'oeil nu.

Lorsque le destinataire reçoit l'e-mail et l'ouvre, l'image contenue dans l'e-mail est récupérée depuis le serveur pour être affichée. Le propriétaire détecte que cette image précise a été téléchargée et en déduit que l'e-mail a été ouvert et lu.

Pour que cette technique fonctionne, l'adresse de l'image doit contenir un paramètre qui permet d'identifier la personne qui ouvre le mail, comme un identifiant précédemment attribué ou même directement son adresse. Par exemple : image.jpg?email=morgan@email.com ou image.gif?id=1515.

Ce paramètre n'a pas de conséquence sur l'image elle-même. Il est ajouté à l'adresse uniquement pour permettre à l'éditeur de savoir quel e-mail est à l'origine de la requête, et d'en déduire le nom de la personne qui a ouvert le mail.

Les images et pixels espions ne permettent pas seulement de savoir si une personne a ouvert un e-mail, mais permettent aussi de connaître :

  • La date et l'heure à laquelle l'e-mail a été consulté ;
  • Combien de fois l'e-mail a été ouvert ;
  • Le ou les types d'appareils utilisés par la personne ;
  • Le ou les adresses IP de la personne, et donc sa localisation.

Tout cela est communiqué à l'auteur du mail, simplement en ouvrant le mail, sans même que vous ne cliquiez où que ce soit dans le mail.

Se protéger des images et pixels espions

Heureusement, il existe des solutions très faciles pour bloquer tous ces trackers et images espions.

La majorité des applications de messagerie permet de désactiver le chargement des images, et de laisser la liberté à l'utilisateur de charger les images uniquement à sa guise, lorsque cela est vraiment nécessaire, ou lorsque l'internaute à confiance en l'auteur du mail.

C'est le cas notamment de l'application Outlook6, de l'application Thunderbird7, mais aussi de GMail8 ou de l'application native9 des iPhones.

Copie d'écran d'un iPhone avec l'option « Charger les images » désactivée
Désactiver le chargement des images dans les paramètres de l'iPhone (iOS).

En désactivant le chargement automatique des images, les images seront retirées des e-mails et seuls les textes resteront affichés. Le résultat est peut-être moins joli à l'oeil, mais vos faits et gestes ne seront plus épiés en permanence.

Exemple des e-mails Veepee

Le très populaire site de ventes privées Veepee, anciennement vente-privee.com, est un bon exemple pour illustrer l'utilisation de trackers et de pixels espions.

Chaque matin, le site d'e-commerce envoie un e-mail à ses membres pour annoncer les ventes du jour. Ces e-mails incluent des images, pour illustrer les ventes et des liens pour permettre à l'internaute d'accéder facilement à la vente.

Un e-mail avec un message d'avertissement empêchant le chargement des ressources extérieures pour protéger la vie privée de l'internaute.
Exemple d'un mail de Veepee (vente-privee.com) envoyé à ses utilisateurs le 25/02/2021 et contenant un tracker espion.

En plus d'avoir de belles images, l'e-mail inclut aussi un pixel espion, c'est-à-dire une image transparente d'un pixel de large, invisible à l'oeil nu, mais qui est détectable en analysant le code source de l'e-mail.

Ce pixel espion est chargé à partir de l'adresse suivante : https://trkmid.veepee.fr/r/?id=3Dhd3d36ef,7329dc,1. Vous pouvez d'ailleurs cliquer sur le lien sans danger, et constater qu'une image minuscule est affichée à l'écran, et que le titre de la page indique qu'il s'agit d'une image GIF de taille 1 x 1 pixel.

Cette image n'a pas d'autre objectif que d'espionner le comportement de l'internaute. L'adresse a même le joli nom de trkmid, qui fait fortement penser au mot tracker, et il n'y a aucun doute sur le fait que l'identifiant 3Dhd3d36ff,7329dc,1 permette d'identifier l'utilisateur qui a reçu, ou peut-être devrais-je dire été victime de cet e-mail.

L'espionnage ne s'arrête pas là, car tous les liens présents dans l'e-mail contiennent un mouchard pour leur permettre de savoir exactement où vous cliquez.

La seule solution pour vous protéger et consulter vos e-mails en toute confidentialité est de désactiver l'affichage des images, et de ne surtout pas cliquer sur un lien présent dans le mail. En ne cliquant pas sur les liens des e-mails, vous vous protégerez par la même occasion du phishing10.

E-mail pas très joli visuelement car sans les images, uniquement avec du texte
Exemple d'un mail de Veepee (vente-privee.com) sans les images, donc sans les images espions.

Espions et trackers partout

VeeePee n'est malheureusement pas un cas isolé, car ses concurrents ShowroomPrive.com11 ou PrivateSportShop.com12 utilisent les mêmes pratiques.

Les e-mails contenant les ventes du jour contiennent tous des pixels espions pour leur permettre d'étudier le comportement de leurs clients, qui n'ont probablement pas conscience que la simple ouverture d'un e-mail est désormais étudiée de près.

Les sites de e-commerces ne sont d'ailleurs pas les seuls à être obsédés par le comportement de leurs utilisateurs. On trouve aussi des pixels espions dans les e-mails envoyés par HelloBank (BNParibas)13, LinkedIn14, E.Leclerc15, BouyguesTelecom16, Chronopost17, et probablement beaucoup d'autres que je n'ai pas étudié.

On trouve aussi des pixels espions dans presque toutes les newsletters, car toutes les applications permettant de gérer des campagnes d'envoi d'e-mails proposent ce type de fonctionnalité, et en font même la promotion (sic) sur leur site Internet, comme c'est le cas pour la société Mailchimp :

« Les données de suivi des clics et des ouvertures vous indiquent combien de personnes ont vu le contenu de votre campagne, les liens sur lesquels elles ont cliqués et même leur position géographique. »

La légalité des images et pixels espions

À défaut d'être moral, on peut se demander si cet espionnage constant et généralisé est légal.

La Commission Européenne a voté et mis en application un Règlement Général de Protection des Données (RGPD)18 en 2018 pour encadrer les mécanismes visant à recueillir les données personnelles des internautes.

Ce règlement est applicable à tous les éditeurs de sites Internet souhaitant collecter des données personnelles, notamment à des fins d'espionnage ou tracking, et oblige les éditeurs à demander le consentement de l'internaute. C'est la raison pour laquelle la quasi-totalité des sites que vous visitez affichent une bannière demandant votre autorisation.

Ce règlement est aussi applicable aux e-mails, mais les e-mails, contrairement aux sites Internet, ne peuvent pas contenir de bannières demandant l'autorisation de l'internaute, car JavaScript, le langage de programmation utilisé sur le Web pour rendre les pages interactives, n'est pas pris en charge par les applications de messagerie. Les éditeurs ne peuvent donc pas demander le consentement de l'utilisateur à l'intérieur même du mail.

Tous ces trackers et images espions sont donc, à mon sens, illégaux, au regard du RGPD, car l'internaute n'est pas clairement informé, avant d'ouvrir l'e-mail, que des informations personnelles vont potentiellement être collectées, et surtout, l'internaute n'a pas la possibilité de s'y opposer.

J'ai questionné la CNIL19 à ce sujet, qui, j'espère, validera ma théorie et prendra les mesures nécéssaires pour faire cesser ces pratiques.

Surveillance globale et généralisée

On ne peut que se désoler d'une telle dérive d'Internet et de cette volonté constante des entreprises de traquer les moindres faits et gestes des internautes. Ces méthodes, que l'on pensait réservées aux contes de George Orwell, font désormais partie de notre quotidien à tous.

On peut aussi se demander pourquoi les applications de messagerie sont complices et ne protègent pas leurs utilisateurs en désactivant les images par défaut. Seule Thunderbird, éditée par la fondation à but non lucrative Mozilla, désactive par défaut les ressources externes des e-mails, et affiche un bandeau d'avertissement pour alerter l'internaute des dangers encourus.

On peut comprendre que Google, en tant que plus grande agence publicitaire au monde, ait un intérêt personnel, mais il est plus difficile de concevoir que les iPhones ne soient pas configurés de sorte à ce que leurs utilisateurs soient protégés, surtout quand Tim Cook, patron de Apple, annonce publiquement son attachement à la vie privée :

« Si nous acceptons comme normal et inévitable, que tout dans notre vie puisse être collecté et vendu, nous perdons alors beaucoup plus que des données. Nous perdons la liberté d'être humain. »

— Tim Cook, CEO de Apple, dans une vidéo postée le 03/02/2021 (traduit de l'anglais20).

Nous ne devons pas accepter ce type de pratiques, et le fait que la quasi-totalité des entreprises le fasse ne le rend pas plus normal ni plus acceptable pour autant.

La grande majorité des internautes n'est pas encore conscient de cette intrusion majeure dans la vie privée, mais, vous, qui avez lu ces lignes et savez, vous pouvez ne plus être victimes en bloquant les images de vos e-mails.

Notes et références

  1. La traduction française de trackers semblent être traceurs, mais, comme pour beaucoup de mots techniques, le terme anglais est beaucoup utilisé.
  2. Le fonctionnement des cookies est expliqué dans la vidéo « Que sont les cookies et comment peuvent-ils être utilisés pour vous espionner ».
  3. Le fonctionnement du cache, et son détournement pour essayer d'espionner les internautes sont expliqués dans l'article « Comment le temps de chargement des images permettait d'espionner votre historique de navigation ».
  4. HTML est aussi le language utilisé pour créer des pages Internet.
  5. À la différence des e-mails marketing, les e-mails transactionnels sont envoyés pour vous notifier d'une opération sur l'un de vos comptes, comme la confirmation d'une commande ou une notification quelconque.
  6. Les images des e-mails peuvent être bloquées dans Microsoft Outlook et Microsoft 365 (source).
  7. Les images des e-mails peuvent être bloquées dans Mozilla Thunderbird (source).
  8. Les images des e-mails peuvent être bloquées dans GMail (source).
  9. Les images des e-mails peuvent être bloquées sur les appareils iOS (iPhone) dans les paramètres : Réglages > Mail > Charger les images.
  10. Le fonctionnement des phishing et nos conseils pour se protéger sont expliqués dans l'article « Pourquoi le phishing est aussi efficace et comment s'en protéger au mieux ».
  11. Les e-mails envoyés par le site de e-commerce ShowroomPrive.com contiennent un pixel espion situé à l'adresse : https://click.email.showroomprive.com/open.aspx?ffcb11....
  12. Les e-mails envoyés par le site de e-commerce PrivateSportShop.com contiennent un pixel espion situé à l'adresse : https://eli.privatesportshop.com/...191.gif.
  13. Les e-mails envoyés par la banque HelloBank contiennent un pixel espion situé à l'adresse : http://link.messagerie-client.hellobank.fr/...transpix.gif.
  14. Les e-mails envoyés par le réseau social LinkedIn contiennent un pixel espion situé à l'adresse : https://www.linkedin.com/emimp/ip_...3D.gif.
  15. Les e-mails envoyés par les magasins de grande distribution E.Leclerc contiennent un pixel espion situé à l'adresse : https://mailing.serviceclients.leclerc/...2l3mLCSS.gif.
  16. Les e-mails envoyés par le fournisseur d'accès à Internet Bouygues Telecom contiennent un pixel espion proposé par GoogleAnalytics.
  17. Les e-mails envoyés par la filiale de La Poste Chronopost contiennent un pixel espion situé à l'adresse : https://www.chronopost.fr/tagmail/tag.gif?....
  18. Le RGPD est consultable en ligne : Règlement 2016/679 du Parlement Européen.
  19. CNIL : Commission Nationale de l'Informatique et des Libertés.
  20. Tim Cook, patron de Apple, s'exprime sur le thème de la vie privée dans une vidéo postée le 03/02/2021 sur la chaine YouTube de Apple : « If we accept as normal and unavoidable that everything in our lives can be aggregated and sold, then we lose so much more than data. We loose the freedom to be human ».