Como funciona um pixel de rastreamento e o que ele não consegue ver

O que é um pixel de rastreamento?

Profissionais de marketing embutem um pixel de rastreamento, uma imagem 1x1 referenciada por uma URL que identifica a campanha, para que renderizar a página ou o e-mail force uma requisição a um servidor que a registra. A imagem é acessória. A requisição é o produto.

A Meta entrega esse padrão no próprio código base documentado, como alternativa para visitantes cujo navegador não vai rodar a versão em JavaScript:

<noscript>
  <img height="1" width="1" style="display:none"
       src="https://www.facebook.com/tr?id={your-pixel-id-goes-here}&ev=PageView&noscript=1"/>
</noscript>

Tudo o que um pixel reporta está nessa URL ou nos cabeçalhos que o cliente anexa. O id nomeia a conta, o ev=PageView nomeia o evento, o noscript=1 registra que este foi o caminho alternativo. O corpo da resposta é irrelevante para quem envia, e é por isso que os endpoints devolvem um GIF 1x1 transparente ou um 204 No Content vazio e que o elemento fica escondido com display:none.

O que o servidor recebe de fato?

Cinco coisas chegam com uma requisição de pixel, e apenas uma delas é escolhida por quem colocou o pixel ali.

Repare no que está faltando. Não há título de página, tamanho de tela, posição de rolagem nem tempo na página, porque nada disso existe no momento em que uma imagem é requisitada. Um hit de pixel é uma linha em um log de acesso, e cada campo nela foi anexado automaticamente pelo cliente ou escrito na URL por quem enviou, semanas antes. Analistas rotineiramente creditam aos dados de pixel um detalhe que eles não comportam, e depois explicam as lacunas resultantes como bloqueio de anúncios.

A linha Referer é a que mais gente ainda entende errado. Os navegadores usam strict-origin-when-cross-origin por padrão, que a MDN descreve como enviar "the origin, path, and query string when performing a same-origin request" mas, em requisições cross-origin, enviar "the origin (only) when the protocol security level stays same (HTTPS to HTTPS)." Um pixel de terceiros, portanto, fica sabendo o site, não a página, a menos que quem publica a página tenha passado o caminho na query string de propósito.

O que um pixel não faz que um script faz?

Um pixel não consegue ler a página em que está. Ele dispara uma vez, carrega apenas o que a URL já continha, e então a requisição acaba.

A documentação da Meta mostra a diferença dentro de um mesmo produto. O pixel em JavaScript, diz ela, "will track URLs visited, domains visited, and the devices your visitors use." A imagem em noscript logo abaixo reporta um único PageView com os parâmetros já escritos no src. Mesma conta, mesmo nome de evento, uma fração do detalhe.

É também por isso que o pixel é a ferramenta errada e a preocupação errada na maioria das discussões sobre analytics web. A medição baseada em script é o que lê a página; o pixel é o plano B degradado. Para a pergunta mais ampla sobre o que uma requisição de terceiros consegue costurar entre sites, o rastreamento entre sites e a diferença entre cookies primários e de terceiros importam muito mais do que o tamanho da imagem.

Por que as taxas de abertura de e-mail superestimam as aberturas?

O rastreamento de abertura de e-mail é o caso de uso clássico do pixel, e é o primeiro que quebrou. Não existe evento de abertura no e-mail. Existe só uma imagem remota que o cliente de e-mail pode ou não buscar, então a métrica inteira se apoia no cliente se comportar como se comportava em 2010.

O Protect Mail Activity da Apple, a configuração por trás do Mail Privacy Protection, quebra a inferência em dois pontos. A Apple afirma que ele "helps protect your privacy by preventing email senders, including Apple, from learning information about your Mail activity", e descreve o mecanismo sem ambiguidade: ele "downloads remote content in the background by default", tendo ou não a pessoa destinatária interagido com a mensagem. Essa frase sozinha converte uma taxa de abertura em uma taxa de entrega para toda pessoa com a configuração ligada. Do lado da rede, a Apple "routes all remote content downloaded by Mail through two separate relays operated by different entities", então o IP que chega a quem enviou não é o de quem recebeu, e "senders can't use your IP address as a unique identifier to connect your activity across websites or apps to build a profile about you."

O Gmail ataca o mesmo sinal por outro ângulo, escaneando e servindo as imagens ele mesmo. A página de ajuda do Google afirma que "senders can't use image loading to get information about your computer or location" e que "senders can't use the image to set or read cookies in your browser." Ela também admite o limite dessa proteção em uma linha: "sometimes, senders may know whether you've opened an email that has an image."

Leia a consequência com cuidado antes de reportar uma campanha. A taxa de abertura hoje é um teto feito em grande parte de buscas automatizadas, e as contagens inflam nos segmentos com mais usuários de Apple Mail, o que significa que comparar taxas de abertura entre segmentos é comparar clientes de e-mail. Cliques ainda exigem uma pessoa, e é por isso que a taxa de cliques, e a receita atribuída ao clique, sobrevivem à mudança. O mesmo raciocínio vale para o rastreamento no servidor na web: quanto mais perto a medição fica de uma ação que uma pessoa precisou fazer, menos ela depende de uma particularidade de renderização.

Um pixel de rastreamento é a mesma coisa que um web beacon ou um spy pixel?

Sim, são três nomes para um mecanismo só, com conotações diferentes. "Web beacon" é o termo neutro mais antigo, "tracking pixel" é o termo dos fornecedores, e "spy pixel" é o termo que pegou depois que jornalistas começaram a contar quantos e-mails de marketing carregam um. O HTML é idêntico nos três casos.

Achar um exige um painel de rede e nenhuma ferramenta extra. Filtre requisições por tipo imagem, ordene por tamanho e procure respostas de algumas centenas de bytes ou menos cuja URL carregue um identificador e um nome de evento. Em um e-mail, ver a mensagem crua e buscar no HTML por tags img com width ou height igual a 1 encontra a mesma coisa antes de o cliente renderizar.

O que varia é a divulgação e a jurisdição, não a tecnologia. Um pixel que reporta uma compra a uma plataforma de publicidade, um que mede se uma newsletter foi entregue e um que faz fingerprinting de um leitor entre sites têm exatamente a mesma cara na marcação e são tratados de forma bem diferente pela lei de privacidade. O elemento não diz nada sobre a intenção; o domínio de destino e os parâmetros na URL dizem.

Perguntas frequentes

Por que um pixel de rastreamento é 1x1?

Porque ele precisa ser requisitado sem ser visto. Um pixel é a menor imagem válida, e costuma ficar escondido com display:none ou combinado com o fundo, para que nada no layout se desloque.

Um pixel de rastreamento consegue ler meu endereço de e-mail?

Só o que já estiver codificado na URL dele. Quem envia acrescenta um identificador de destinatário à query string antes do disparo, então o pixel devolve a identidade que já tinham, não uma que ele descobriu.

Bloqueadores de anúncios impedem pixels de rastreamento?

As listas de bloqueio comparam a URL da requisição, então um pixel apontando para um domínio de publicidade conhecido é bloqueado como qualquer outra requisição daquele domínio. Um pixel servido do domínio do próprio site é mais difícil de uma lista classificar.

O Apple Mail Privacy Protection bloqueia pixels?

Ele não bloqueia a busca. A Apple baixa conteúdo remoto em segundo plano por padrão, tendo havido interação com a mensagem ou não, e roteia isso por dois relays, então a requisição continua chegando, mas a abertura, o horário e o endereço IP deixam de significar o que quem envia supõe.

Um pixel pode definir um cookie?

A resposta dele pode enviar Set-Cookie para o próprio domínio, o que é um cookie de terceiros quando o pixel está na página de outra pessoa. Se o navegador guarda e depois devolve esse cookie depende das regras de cookies de terceiros daquele navegador.

Um pixel de rastreamento é dado pessoal segundo o GDPR?

A imagem não é, os dados que ela coleta podem ser. Um endereço IP somado a um identificador de destinatário na query string identifica uma pessoa, e é esse o teste que importa, não o formato do arquivo.

Um pixel de rastreamento funciona se o JavaScript estiver desativado?

Um pixel não precisa de JavaScript para funcionar. O código base da Meta traz justamente um fallback <noscript> feito com uma tag <img> simples, porque carregar qualquer imagem obriga o navegador a fazer a requisição, com ou sem script. Esse é todo o mecanismo: pedir a URL e registrar o acesso.

Por que pixels de rastreamento retornam uma imagem em branco ou uma resposta 204?

O remetente nunca lê o que volta. O que importa é que a requisição chegue ao servidor e seja registrada, por isso os endpoints respondem com um GIF transparente de 1x1 ou um 204 No Content vazio em vez de algo com conteúdo real. O display:none no elemento segue a mesma lógica, nada na imagem deve ser visto.

Um pixel de rastreamento consegue contar quantas vezes um e-mail foi aberto?

As contagens não são confiáveis. O Protect Mail Activity da Apple dispara a cada download em segundo plano, tenha a mensagem sido aberta ou não, então aberturas repetidas não se distinguem da primeira. O Gmail guarda a imagem proxied em cache, o que pode deixar uma segunda abertura passar despercebida.

Um pixel de rastreamento sabe em qual página alguém está?

Quase nunca além do domínio. Os navegadores usam por padrão strict-origin-when-cross-origin, que envia o caminho completo só em requisições de mesma origem e o reduz à origem em requisições entre origens. Um pixel de terceiros conhece então o domínio que o incorporou, não a página exata, a menos que o dono do site tenha escrito o caminho na query string.