« Some email clients perform operations when reading an email which give away information about the reader, to the sender of the message. If you enter your email address below, this application will send you a specially crafted email which uses a variety of techniques, to attempt to send information back to this server when read. It will then display the results for you. »

L'auteur a réfléchi à la problématique de la vie privée (voir https://emailprivacytester.com/privacy). Rien à signaler au niveau de la réputation du site dans WOT. Rien non plus à ce sujet sur Twitter. C'est pas un petit site nouveau mais un site qui date de 2012 avec une version 2 récente... À l'exception des messages signés avec GPG en utilisant la fonction de condensation SHA-1 qui commence à sentir le moisi, tout ça inspire confiance donc j'ai testé en utilisant un alias (pas folle la guêpe).


La palette de ce que peuvent utiliser les marketeux et les méchants est impressionnante :O : vidéo ogg, vidéo webm, des tricks CSS (content, image de fond, ), images, objets (genre Flash et co), iframes, balise meta refresh, prefetch DNS et lien, applet, flux (RSS ou Atom),... Bref, toute la complexité d'HTML  et de CSS dans un mail.


Avec un Thunderbird 38 :
    * Avec un affichage texte des mails (ce qu'il faut faire, il faut toujours proscrire l'affichage HTML) : aucun tracker n'est déclenché ;

    * Avec un affichage HTML simple, aucun tracker n'est déclenché ;

    * Avec un affichage HTML original, aucun tracker n'est déclenché ;

    * L'affichage HTML original fait apparaître un message qui nous demande si l'on veut charger des contenus distants. On accepte (uniquement pour ce mail, attention quand vous cliquez !). La moitié des trackers se déclenchent : vidéo ogg, vidéo webm, css content, css background-image, css attachment, iframe srcdoc attr, audio tag, vidéo tag, vidéo MP4, iframe, objet flash, objet data, image submit button, css import, vidéo poster, picture tag, img srcset attr, image taf, svg inline with remote image, css link tag, background attribute.

    * Pour déclencher les trackers restants, j'imagine qu'il doit falloir autoriser javascript, activer le prefetch dans about:config,...


Il y'a d'autres moyens de traquer les gens qui ne sont pas explorés par cet outil, j'en suis sûr genre cookie, super cookie, ... C'est plutôt effrayant.

La bonne nouvelle, à laquelle je ne m'attendais pas, c'est que même avec un affichage HTML, Thunderbird veille sur notre vie privée. Je suis agréablement surpris.

Mais bien sûr, ce n'est pas une excuse pour activer l'affichage HTML dans les mails ! Un mail HTML ne sert à rien ! Désactiver ça dans le menu Affichage -> Corps du message en... -> Texte seul.


Via https://twitter.com/aeris22/status/683409290409951233