La plupart des organisations qui utilisent des pixels de suivi ne les ont jamais vus (notre article Linkedin). Elles ont coché une case dans leur routeur il y a trois ans, ou n’ont même rien coché du tout, parce que le suivi des ouvertures était activé par défaut. Depuis la recommandation de la CNIL du 14 avril 2026, cette ignorance coûte cher : on ne peut ni qualifier une finalité, ni recueillir un consentement, ni démontrer une exemption sur un traceur qu’on n’a pas regardé.
Pourquoi regarder ses propres envois avant tout le reste
L’ordre des opérations compte. Beaucoup d’organisations ont commencé par rédiger une mention d’information, ou par discuter du bandeau de consentement, avant de savoir ce que leurs emails contenaient réellement. C’est bâtir sur du vide.
Trois constats reviennent presque à chaque audit. Le suivi des ouvertures est activé par défaut chez la quasi-totalité des routeurs. Personne n’a pris la décision de tracer : la décision a été prise par le paramétrage d’usine, et jamais remise en cause. Il y a souvent plus d’un pixel. Le routeur pose le sien, mais un outil de marketing automation, un CRM ou une plateforme d’analytics peuvent en poser d’autres, parfois vers des domaines tiers dont personne dans l’organisation ne connaît le nom.
Les liens du corps du message sont réécrits. Ce sont des liens traçants, et ils relèvent du même article 82 que le pixel. Ils sont systématiquement oubliés dans les audits. Tant que vous n’avez pas ouvert le capot, vous ne savez rien de tout cela. Vous répondez au questionnaire d’un DPO ou d’un contrôleur en récitant ce que le prestataire vous a dit.
Étape 1 : récupérer un vrai email, pas un email de test
Premier piège, et il fait perdre des heures.
L’envoi de test proposé dans l’interface de votre routeur ne contient pas toujours les mêmes traceurs qu’une campagne réelle. Certains outils désactivent le suivi sur les tests, d’autres le conservent mais avec un identifiant factice. Vous risquez de conclure qu’il n’y a pas de pixel alors qu’il y en a trois.
La bonne méthode : inscrivez une adresse email à vous dans la liste de diffusion réelle, comme n’importe quel destinataire, et attendez la vraie campagne. Utilisez une adresse sur un service que vous maîtrisez, et si possible pas votre adresse professionnelle habituelle, pour éviter que des règles de filtrage ne modifient le message.
Faites la même chose pour chaque flux : la newsletter, l’email de confirmation de commande, la relance de panier, l’email de réinitialisation de mot de passe. Ce sont des chaînes différentes, avec des configurations différentes. Un audit qui ne regarde que la newsletter passe à côté de la moitié du sujet.
Étape 2 : afficher le code source du message
Le pixel est invisible à l’écran, par construction. Il est parfaitement visible dans le code source.
Gmail. Ouvrez le message, cliquez sur les trois points en haut à droite, puis « Afficher l’original ». Une nouvelle page s’ouvre avec l’intégralité du message, en-têtes et corps HTML compris.
Apple Mail. Menu Présentation, puis Message, puis Source brute. Le raccourci est Commande + Option + U.
Thunderbird. Ctrl + U, ou menu Affichage, Code source du message.
Outlook. C’est le plus capricieux, et les chemins changent selon les versions. Dans Outlook sur le web, ouvrez le message, cliquez sur les trois points, puis Afficher, puis Afficher la source du message. Dans les versions bureau, l’option Fichier, Propriétés ne vous donne que les en-têtes, pas le corps HTML, ce qui ne suffit pas.
La méthode qui marche partout, quand un client de messagerie fait des difficultés : faites glisser le message hors de la fenêtre, sur votre bureau. Vous obtenez un fichier .eml. Ouvrez-le avec un éditeur de texte simple (Bloc-notes, TextEdit en mode texte brut, VS Code). Vous avez tout, sans dépendre d’un menu.
Étape 3 : trouver le pixel dans le code
Le code source d’un email HTML est long et illisible. Vous n’allez pas le lire, vous allez le fouiller. Ouvrez la recherche (Ctrl + F ou Commande + F) et cherchez les motifs suivants, dans cet ordre.
Les dimensions. Cherchez width= »1″ puis height= »1″. Le pixel classique est une image de 1 sur 1. Cherchez aussi 1×1.
Les mots qui trahissent. Cherchez open, track, pixel, beacon, .gif?. Les routeurs nomment rarement leurs pixels de façon discrète : on trouve des chemins comme /o/, /open, /wf/open, /track/open.
Les balises image sans contenu visible. Cherchez display:none, visibility:hidden, ou une image avec un attribut alt vide et une source pointant vers un domaine qui n’est pas celui de vos visuels.
Les images en fin de message. Le pixel est souvent placé juste avant la balise de fermeture du corps. Descendez tout en bas du code et regardez la dernière balise <img>. Neuf fois sur dix, elle est là.
Attention à un point : un pixel n’est pas toujours de 1 sur 1. Certains outils utilisent une image de quelques pixels, ou une image transparente de taille normale, ou même un visuel décoratif réel dont l’URL contient un identifiant. Ce qui fait le traceur, ce n’est pas la taille : c’est le fait que l’URL soit individualisée et que son chargement renvoie une information sur vous.
Étape 4 : lire l’URL, c’est là que tout se joue
Trouver le pixel ne sert à rien si vous ne lisez pas son adresse. C’est l’URL qui vous dit ce qui est réellement collecté, et par qui.
Prenons une URL de pixel typique, décomposée :
https://track.exemple-routeur.com/o/eJx7-abc123def456?u=8f2a&c=camp042&e=laurent%40exemple.fr
Trois informations en sortent immédiatement.
- Le domaine. track.exemple-routeur.com vous dit qui reçoit l’information. Si c’est le domaine de votre routeur, vous êtes dans une relation de sous-traitance. Si c’est un domaine que vous ne reconnaissez pas, posez-vous la question : qui est cet acteur, et pourquoi reçoit-il des données sur vos destinataires ? C’est le point de départ d’une analyse de co-responsabilité.
- L’identifiant individualisé. La longue chaîne après /o/, ou les paramètres u=, e=, c=, contiennent l’identifiant du destinataire et celui de la campagne. C’est ce qui rend l’opération individuelle, et donc pleinement soumise à l’article 82. Un pixel qui ne porterait aucun identifiant, et ne permettrait qu’un comptage global anonyme, poserait une question différente. Ce n’est presque jamais le cas.
- L’adresse email en clair. Regardez le dernier paramètre de l’exemple. Certaines configurations font transiter l’adresse email du destinataire, en clair ou faiblement encodée, dans l’URL du pixel. Cette adresse traverse alors le réseau et se retrouve dans les journaux de plusieurs serveurs. Quand vous trouvez cela, vous avez trouvé bien plus qu’un problème de consentement.
S’il y a plusieurs pixels, vous avez plusieurs destinataires de données, et donc potentiellement plusieurs responsables de traitement. Notez chaque domaine.
Étape 5 : la preuve par le test réseau
La lecture du code prouve que le pixel est présent. Le test réseau prouve ce qu’il fait au moment où le message s’ouvre. C’est le niveau de preuve à utiliser quand vous devez documenter un constat, répondre à un questionnaire, ou convaincre en interne quelqu’un qui vous dit que « de toute façon, ça ne se déclenche pas ».
Ouvrez l’email dans un webmail, dans un navigateur. Avant de cliquer sur le message, ouvrez les outils de développement (touche F12, ou Commande + Option + I), et placez-vous sur l’onglet Réseau. Filtrez sur les images. Puis ouvrez le message. Vous voyez alors défiler, en direct, chaque requête sortante déclenchée par l’affichage. Chaque ligne vous donne le domaine appelé, le code de réponse, et la taille de la ressource. Une image de quelques dizaines d’octets, appelée sur un domaine de tracking, au moment exact de l’ouverture : c’est votre pixel, en train de faire son travail.
Faites une capture d’écran. C’est la pièce la plus parlante d’un rapport d’audit, et celle qui met fin aux discussions.
Étape 6 : les liens traçants, l’angle mort
Pendant que tout le monde regarde le pixel, les liens passent inaperçus. Dans le code source, cherchez les balises <a href=. Comparez l’adresse affichée dans le message et l’adresse réelle. Si votre bouton « Découvrir l’offre » pointe vers https://click.exemple-routeur.com/CL0/aHR0cHM6…, le lien a été réécrit. Le clic passe par un serveur de redirection qui l’enregistre avant de vous envoyer à destination.
C’est un traceur, au même titre que le pixel, et il relève du même article 82. La CNIL le confirme, avec une nuance importante : certains liens traçants sont exemptés, précisément parce qu’ils protègent le destinataire. Le lien unique qui permet à une personne, et à elle seule, d’exprimer ou de retirer son consentement est assimilé à une mesure de sécurité liée à l’authentification. Il est exempté.
Autrement dit : le lien traçant de votre bouton promotionnel et le lien traçant de votre pied de page de désinscription ne relèvent pas du même régime. Il faut les distinguer dans votre analyse.
Étape 7 : remonter à la configuration
Une fois le constat fait sur le message, retournez dans votre routeur et regardez ce qui est coché.
Les questions à se poser devant l’écran de configuration :
- Le suivi des ouvertures est-il activé par défaut sur les nouvelles campagnes ?
- Peut-on le désactiver campagne par campagne, ou seulement au niveau du compte ?
- Peut-on distinguer le suivi de délivrabilité du suivi de performance, ou est-ce un interrupteur unique ?
- Que se passe-t-il pour les emails transactionnels : sont-ils dans le même flux, avec la même configuration ?
- Où sont stockées les données d’ouverture, combien de temps, et sous quelle forme ?
Cette dernière question est celle qui coince. La CNIL attend, pour l’exemption de délivrabilité, que l’on ne conserve que la date du jour de la dernière ouverture, sans l’heure, écrasée à chaque nouvelle ouverture. Or presque tous les routeurs conservent un historique complet, horodaté à la seconde, avec l’adresse IP et le terminal. Vous ne pourrez donc pas invoquer l’exemption sans obtenir de votre prestataire une configuration spécifique, ou sans purger vous-même ces données.
Posez cette question par écrit à votre prestataire. La réponse, quand elle arrive, est souvent embarrassée.
La checklist de constat
À dérouler flux par flux, pas globalement.
- Un email réel de chaque flux a été reçu sur une adresse de contrôle
- Le code source de chaque message a été extrait et conservé
- Chaque balise image pointant vers un domaine distant a été relevée
- Chaque URL de pixel a été décomposée : domaine, identifiant, paramètres
- La liste des domaines tiers appelés est établie
- Un test réseau a été réalisé et capturé
- Les liens du corps ont été vérifiés : réécrits ou non
- Le lien de désinscription et de retrait a été testé
- La configuration du routeur a été copiée en capture d’écran
- La durée et le format de conservation des ouvertures sont documentés
Ce que vous faites de ce que vous avez trouvé
Le constat n’est pas une fin. Il alimente trois décisions.
- La qualification de la finalité. Pour chaque pixel identifié, à quoi sert-il réellement dans votre système d’information ? Pas à quoi il pourrait servir. Cette réponse décide du régime : consentement, ou exemption.
- La qualification des acteurs. Chaque domaine tiers appelé est un acteur. Sous-traitant, ou responsable conjoint ? La réponse dépend d’une question simple, à poser au fournisseur : utilisez-vous ces données pour vos propres finalités ? Une réponse positive déclenche une analyse de co-responsabilité et un accord au titre de l’article 26 du RGPD.
- La documentation. Vos captures, vos URL décomposées, votre test réseau : c’est la matière de votre registre, et c’est ce que vous produirez le jour où on vous demandera de démontrer ce que vous faites. Un DPO qui peut montrer l’URL exacte du pixel de son organisation, et expliquer chacun de ses paramètres, n’est pas dans la même situation que celui qui répond « je crois que notre routeur fait du suivi d’ouverture ».
Dix minutes de code source valent mieux que trois réunions.
