Gmail affiche les images en clair dans les emails

Révolution !

Le 13 décembre 2013 à 07h22

2 min

Internet

Gmail permet depuis aujourd'hui d'afficher les images en clair au sein des emails que vous recevez, que ce soit via le client web ou les applications mobile pour Android et iOS. Pour cela, la firme a dû modifier la manière dont elles sont stockées.

Lorsque vous recevez un mail contenant une image, par exemple notre newletter, vous deviez jusqu'ici cliquez sur un lien « afficher les images » ou le faire une bonne fois pour toute lorsque l'expéditeur est connu via la second lien « toujours afficher les images de l'expéditeur ». Ce fonctionnement était là pour des raisons de sécurité, car les images peuvent contenir des virus.

Cependant Google vient d'y mettre fin que ce soit pour la version web, mais aussi sur ses applications mobiles. La firme de Mountain View explique qu'elle a revu la manière dont elle stocke les images afin qu'elles ne soient plus hébergées par l'expéditeur, mais sur ses propres serveurs afin de neutraliser tout danger potentiel.

Pour ce qui est de la version web, le déploiement de cette nouveauté est déjà en cours, tout comme pour les applications pour Android ou iOS que vous pouvez récupérer par ici ou par là ou via les QR-Code ci-dessous :

Gmail Android QR-Code

Android / iOS

Commentaires (34)

RaYz

Le 13/12/2013 à 09h10

jpaul a écrit :

Bon, d’après Google …

" />

Edit: Et il est question de proxifier le téléchargement, pas de tout télécharger:

Si c’est bien ça c’est très nul alors, j’espère que y’aura l’option pour désactiver.

KP2

Le 13/12/2013 à 09h20

unCaillou a écrit :

Maintenant l’expéditeur aura la confirmation systématique que l’email est arrivé sur les serveurs google.

Donc il ne sait pas si/quand on l’a lu mais il sait que l’adresse est valide.

Et apparemment ça reste une option, on active ou pas.

Ca necessairement, je pense que google va optimiser le processus en ne recuperant les images qu’une seule fois…

Lutty

Le 13/12/2013 à 09h29

undefinedundefined

jpaul a écrit :

Hé ben maintenant, on n’est plus à l’abri de ça ! cool !

Bah si puisque les image seront hébergé chez Google… donc tu ne chargera pas l’adresse :http://img.nsa.gov/chats.png?uid=fear_hardcore

Mais l’adresse de chez google qui retransmettra a la NSA au cas où… " />

Lutty

Le 13/12/2013 à 09h31

undefinedundefined

jpaul a écrit :

Hé ben maintenant, on n’est plus à l’abri de ça ! cool !

Bah si puisque les image seront hébergé chez Google… donc tu ne chargera pas l’adresse :http://img.nsa.gov/chats.png?uid=fear_hardcore

Mais l’adresse de chez google qui retransmettra a la NSA au cas où… " />

Lutty

Le 13/12/2013 à 09h31

undefinedundefined

jpaul a écrit :

Hé ben maintenant, on n’est plus à l’abri de ça ! cool !

Bah si puisque les image seront hébergé chez Google… donc tu ne chargera pas l’adresse :http://img.nsa.gov/chats.png?uid=fear_hardcore

Mais l’adresse de chez google qui retransmettra a la NSA au cas où… " />

jpaul

Le 13/12/2013 à 09h42

Daredevil76 a écrit :

undefinedundefined

Bah si puisque les image seront hébergé chez Google… donc tu ne chargera pas l’adresse :http://img.nsa.gov/chats.png?uid=fear_hardcore

Mais l’adresse de chez google qui retransmettra a la NSA au cas où… " />

Le tracking d’email fonctionne ainsi:

L’expéditeur envoie pour chaque destinataire une image avec un lien absolument unique associé chez lui au destinataire en question.

Donc si je lis le mail de ma newsletter par exemple, l’image sera chargée, par moi ou par les proxys de Google, ça ne change rien: ils associent le chargement de l’image avec cet id unique à la lecture du mail. Et ça, ça se vend :)

frikakwa

Le 13/12/2013 à 09h45

Daredevil76 a écrit :

undefinedundefined

Bah si puisque les image seront hébergé chez Google… donc tu ne chargera pas l’adresse :http://img.nsa.gov/chats.png?uid=fear_hardcore

Mais l’adresse de chez google qui retransmettra a la NSA au cas où… " />

Tu peux répéter, j’ai pas compris! " />

Lutty

Le 13/12/2013 à 10h08

jpaul a écrit :

Le tracking d’email fonctionne ainsi:

L’expéditeur envoie pour chaque destinataire une image avec un lien absolument unique associé chez lui au destinataire en question.

Donc si je lis le mail de ma newsletter par exemple, l’image sera chargée, par moi ou par les proxys de Google, ça ne change rien: ils associent le chargement de l’image avec cet id unique à la lecture du mail. Et ça, ça se vend :)

C’est sur, mais si on n’est plus sur que l’utilisateur a bien lu ça se vend moins cher.

Car la (bruni ?) on sait juste que Google a chargé l’image pas si l’utilisateur a ouvert le mail…

Enfin bref, au pire un tracking de plus ou de moins, on est plus à ça près et il n’y a pas vraiment de données personnelle en jeu.s

JCLB

Le 13/12/2013 à 10h15

OlivierJ a écrit :

Ça n’a pas de rapport, pour l’adresse IP c’est quand l’image est dans du HTML et donc qu’il y a une requête à un serveur Web lié à l’expéditeur, qui peut voir les logs. Quand une image est en pièce jointe, il n’y a pas moyen à un expéditeur de savoir qui la lit.

Voilà effectivement la vrai réponse, chaque lien ou nom d’image d’une campagne de pub a des liens uniques afin de savoir qui a ouvert le mail, et qui a cliqué.

Dans le cas des spams ça permet de savoir qui a une adresse valide avec quelqu’un derrière.

Si tu reçois un spam et affiche ses images, le robot de spam va savoir que tu existes vraiment et va monter considérablement le score associé à ton adresse afin de te choisir comme cible privilégiée pour les autres campagnes voir pour phishing.

jpaul

Le 13/12/2013 à 10h27

Daredevil76 a écrit :

C’est sur, mais si on n’est plus sur que l’utilisateur a bien lu ça se vend moins cher.

Car la (bruni ?) on sait juste que Google a chargé l’image pas si l’utilisateur a ouvert le mail…

Non ! Cf. mon commentaire précédent :

jpaul a écrit :

Bon, d’après Google …

" />

Et il est question de proxifier le téléchargement, pas de tout télécharger:

Enfin bref, au pire un tracking de plus ou de moins, on est plus à ça près et il n’y a pas vraiment de données personnelle en jeu.s

Au contraire, les robots de spam sont capables de donner des scores à des milions d’@ mail, de faire de l’analyse comportementale au cas par cas (quel genre de mail tu lis, quel genre de mails tu ne lis pas) pour mieux cibler.

Maintenant on peut s’asseoir là dessus, ça ne changera pas grand chose, mais ce n’est pas la philosophie du mail à l’origine. C’est un peu comme si tu ouvrais une enveloppe de pub et qu’un petit module GSM inclus dans la lettre envoyait un SMS à son expediteur pour signaler que “Daredevil SOIXANTESEIZE résidant au 42 rue de la Question 1337, LEETVILLE a ouvert l’enveloppe UN PETIT PLAISIR COQUIN POUR CE WEEK END?”

cendrev3

Le 13/12/2013 à 10h32

Apparement, d’apres mailchimp, ils ont la notif de lecture quand meme, il font :

[ navigateur ] => [ cache gmail image ] => [ recuperer image ]

Les changements sont donc:

vous etes traques automatiquement a l’ouverture de chaque email.

Il est desormais impossible de savoir si vous avez ouvert plusieurs fois un mail

Il est impossible de recuperer des infos sur votre connexion (ip/user-agent).

C’est plutot negatif dans l’ensemble et je conseille de desactiver l’affichage des images dans Settings -> General.

Lutty

Le 13/12/2013 à 10h54

jpaul a écrit :

Non ! Cf. mon commentaire précédent :

Au contraire, les robots de spam sont capables de donner des scores à des milions d’@ mail, de faire de l’analyse comportementale au cas par cas (quel genre de mail tu lis, quel genre de mails tu ne lis pas) pour mieux cibler.

Maintenant on peut s’asseoir là dessus, ça ne changera pas grand chose, mais ce n’est pas la philosophie du mail à l’origine. C’est un peu comme si tu ouvrais une enveloppe de pub et qu’un petit module GSM inclus dans la lettre envoyait un SMS à son expediteur pour signaler que “Daredevil SOIXANTESEIZE résidant au 42 rue de la Question 1337, LEETVILLE a ouvert l’enveloppe UN PETIT PLAISIR COQUIN POUR CE WEEK END?”

C’est pas faux, S’il ne font que proxifier ça sert à rien. Après c’est à l’utilisateur de faire attention à ce qu’il ouvre…

Donc je suis d’accord, Google fait chier.

cyrano2

Le 13/12/2013 à 14h47

Plus ça va et plus gmail descend dans mon estime.

Y’a quoi comme webmail efficace de nos jours ?

earendil_fr Abonné

Le 18/12/2013 à 13h28

cyrano2 a écrit :

Plus ça va et plus gmail descend dans mon estime.

Y’a quoi comme webmail efficace de nos jours ?

Roundcube sur ton serveur à toi ? " />

Gericoz

Le 13/12/2013 à 07h52

Le stockage sur leur propre serveur va éviter le piège de l’ouverture de l’image qui permet à l’expéditeur de connaitre notre adresse ip.

jpaul

Le 13/12/2013 à 08h07

fear_hardcore a écrit :

J’ai toujours cru que c’était pour éviter qu’un serveur distant sache que l’on a ouvert le mail, sans utiliser l’accusé de lecture.

Exemple image avec URL “personalisée” :

http://img.nsa.gov/chats.png?uid=fear_hardcore

Hé ben maintenant, on n’est plus à l’abri de ça ! cool !

OlivierJ Abonné

Le 13/12/2013 à 08h08

Ce fonctionnement était là pour des raisons de sécurité, car les images peuvent contenir des virus.

" />

Sérieux ?

Je sais que sous Windows on voit beaucoup de choses, mais les images sont de simples données.

Dans Gmail on avait déjà l’aperçu des images en vignette.

Gericoz a écrit :

Le stockage sur leur propre serveur va éviter le piège de l’ouverture de l’image qui permet à l’expéditeur de connaitre notre adresse ip.

Ça n’a pas de rapport, pour l’adresse IP c’est quand l’image est dans du HTML et donc qu’il y a une requête à un serveur Web lié à l’expéditeur, qui peut voir les logs. Quand une image est en pièce jointe, il n’y a pas moyen à un expéditeur de savoir qui la lit.

unCaillou

Le 13/12/2013 à 08h13

Maintenant l’expéditeur aura la confirmation systématique que l’email est arrivé sur les serveurs google.

Donc il ne sait pas si/quand on l’a lu mais il sait que l’adresse est valide.

Et apparemment ça reste une option, on active ou pas.

djshotam

Le 13/12/2013 à 08h24

Est ce qu’ils vont laisser intact l’image sur le mail, ou vas elle etre recompressée par soucis de reduction d’espace???

Parceque si c’est stocké sur leur serveur….

durthu Abonné

Le 13/12/2013 à 08h25

Je ne suis pas convaincu par cette option.

Je pense que je vais laisser l’affichage des images comme celui actuel. Un aperçu de l’image cliquable, c’est vraiment bien je trouve.

dematbreizh Abonné

Le 13/12/2013 à 08h28

En stockant tout et n’importe quoi sur leurs serveurs, si on viole la loi en envoyant une image, ils seront eux-même hors la loi pour cet herbergement de contenu illicite?

Vetinari

Le 13/12/2013 à 08h40

unCaillou a écrit :

Maintenant l’expéditeur aura la confirmation systématique que l’email est arrivé sur les serveurs google.

Donc il ne sait pas si/quand on l’a lu mais il sait que l’adresse est valide.

Et apparemment ça reste une option, on active ou pas.

Pas besoin d’une image pour ça :http://www.ietf.org/rfc/rfc2821.txt

OlivierJ a écrit :

" />

Sérieux ?

Je sais que sous Windows on voit beaucoup de choses, mais les images sont de simples données.

Dans Gmail on avait déjà l’aperçu des images en vignette.

C’est pas tout jeune, mais c’est possible http://assiste.com.free.fr/p/tester_fonctionnement_antivirus/test_de_la_faille_j…

OlivierJ a écrit :

Ça n’a pas de rapport, pour l’adresse IP c’est quand l’image est dans du HTML et donc qu’il y a une requête à un serveur Web lié à l’expéditeur, qui peut voir les logs.

C’est bien ça qui est visé ici.

RaYz

Le 13/12/2013 à 08h42

fear_hardcore a écrit :

J’ai toujours cru que c’était pour éviter qu’un serveur distant sache que l’on a ouvert le mail, sans utiliser l’accusé de lecture.

Exemple image avec URL “personalisée” :

http://img.nsa.gov/chats.png?uid=fear_hardcore

Oui oui c’est bien pour éviter le tracking aussi.

jpaul a écrit :

Hé ben maintenant, on n’est plus à l’abri de ça ! cool !

Ben si.

jpaul

Le 13/12/2013 à 08h49

RaYz a écrit :

Oui oui c’est bien pour éviter le tracking aussi.

Ben si.

En fait la news ne précise pas si il s’agit des pièces jointes ou des images externes. Le fait que Google télécharge les images lui même ne te protège pas du tracking !

Exemple, si Priceminister m’envoie un mail avec une image à l’adresse:

&quothttp://priceminister.com/tracking/ad/nsa/spy/vendredi/img.php?user=jpaul”

Même si Google la télécharge à ma place, PriceMinister saura que j’ai ouvert le mail puisque mon id est dans l’adresse de l’image. Ou alors Google télécharge TOUTES les images de TOUS les mails pour ne générer que des faux positifs mais là j’espère qu’ils ont prévu les pétas de stockage.

OlivierJ Abonné

Le 13/12/2013 à 08h53

Vetinari a écrit :

C’est pas tout jeune, mais c’est possible http://assiste.com.free.fr/p/tester_fonctionnement_antivirus/test_de_la_faille_j…

C’est bien ça qui est visé ici.

Merci pour l’histoire de la faille JPEG.

Pour la question du traçage de l’IP, je n’avais pas réalisé qu’on parlait des messages en HTML avec des images distantes. Gmail va donc pré-interpréter le HTML pour substituer un de ses serveurs à celui initialement dans le code HTML.

jpaul a écrit :

En fait la news ne précise pas si il s’agit des pièces jointes ou des images externes. Le fait que Google télécharge les images lui même ne te protège pas du tracking !

Exemple, si Priceminister m’envoie un mail avec une image à l’adresse:

&quothttp://priceminister.com/tracking/ad/nsa/spy/vendredi/img.php?user=jpaul”

Même si Google la télécharge à ma place, PriceMinister saura que j’ai ouvert le mail puisque mon id est dans l’adresse de l’image. Ou alors Google télécharge TOUTES les images de TOUS les mails pour ne générer que des faux positifs mais là j’espère qu’ils ont prévu les pétas de stockage.

En fait il s’agit des images externes, les pièces jointes sont déjà dans le mail et donc ne sont pas concernées.

Si Google télécharge l’image à notre place (c’est comme ça que je comprends les choses), je ne sais pas ce qu’il va faire d’un lien comme celui que tu indiques, bonne question. Si le lien était en “toto.jpg?user=jpaul” il suffirait de laisser tomber les paramètres après le point d’interrogation.

Pour les Pétas de stockage, c’est déjà le cas :) .

unCaillou

Le 13/12/2013 à 08h56

jpaul a écrit :

En fait la news ne précise pas si il s’agit des pièces jointes ou des images externes. Le fait que Google télécharge les images lui même ne te protège pas du tracking !

Exemple, si Priceminister m’envoie un mail avec une image à l’adresse:

&quothttp://priceminister.com/tracking/ad/nsa/spy/vendredi/img.php?user=jpaul”

Même si Google la télécharge à ma place, PriceMinister saura que j’ai ouvert le mail puisque mon id est dans l’adresse de l’image. Ou alors Google télécharge TOUTES les images de TOUS les mails pour ne générer que des faux positifs mais là j’espère qu’ils ont prévu les pétas de stockage.

Ha ouai pas bête comme question… peut-être qu’il compare le hash des images venant d’un même domaine et n’en archive qu’une pour toutes celles ayant le même hash.

RaYz

Le 13/12/2013 à 08h58

jpaul a écrit :

Ou alors Google télécharge TOUTES les images de TOUS les mails pour ne générer que des faux positifs mais là j’espère qu’ils ont prévu les pétas de stockage.

C’est ce qui est prévu si j’interprète la news. Google devrait automatiquement dl les images des mails entrants avec un système de cache et de détection des doublons.

Pour ce qui est de l’espace de stockage de Google ne t’en fait pas trop " />

jpaul

Le 13/12/2013 à 08h58

OlivierJ a écrit :

Si le lien était en “toto.jpg?user=jpaul” il suffirait de laisser tomber les paramètres après le point d’interrogation.

Pour les Pétas de stockage, c’est déjà le cas :) .

Dans ce cas là, le lien sera en “jpaul.png” :)

Mangateur

Le 13/12/2013 à 08h59

Déjà que c’était galère pour envoyer des newsletters sur gmail sans tomber en spam. Avec ce système c’est le tracking lui même qui va devenir impossible ^^” (pour la lecture du mail, biensûr le tracking des liens sera toujours là).

La plupart des gens ne se doutent pas des informations qu’on recueille sur eux lorsqu’ils cliquent sur “afficher les images”. Dans notre société, au plus vous cliquez sur “afficher les images” au plus on sait que vous êtes un bon client et au plus vous aurez de mails dans votre boites. C’est beau la technologie :).

Pour ce qui est de savoir si un email existe ou pas, pas besoin des images pour ça, le serveur de mail est sensé renvoyer une erreur lorsqu’elle n’existe pas.

jpaul

Le 13/12/2013 à 09h04

RaYz a écrit :

Mangateur a écrit :

unCaillou a écrit :

OlivierJ a écrit :

Bon, d’après Google …

In some cases, senders may be able to know whether an individual has opened a message with unique image links. As always, Gmail scans every message for suspicious content and if Gmail considers a sender or message potentially suspicious, images won’t be displayed and you’ll be asked whether you want to see the images.

" />

Edit: Et il est question de proxifier le téléchargement, pas de tout télécharger:

Gmail serves all images through Google’s image proxy servers and transcodes them before delivery to protect you in the following ways:

indyiv

Le 13/12/2013 à 07h27

Vu que je n’utilise que Gmail; comment faisaient les concurrents jusqu’à présent?

fear_hardcore

Le 13/12/2013 à 07h29

J’ai toujours cru que c’était pour éviter qu’un serveur distant sache que l’on a ouvert le mail, sans utiliser l’accusé de lecture.

Exemple image avec URL “personalisée” :

http://img.nsa.gov/chats.png?uid=fear_hardcore

Soltek

Le 13/12/2013 à 07h32

indyiv a écrit :

Vu que je n’utilise que Gmail; comment faisaient les concurrents jusqu’à présent?

Pareil chez Microsoft (@msn, @live, @outlook), faut clic sur “afficher le contenu”.

white_tentacle Abonné

Le 13/12/2013 à 07h51

fear_hardcore a écrit :

J’ai toujours cru que c’était pour éviter qu’un serveur distant sache que l’on a ouvert le mail, sans utiliser l’accusé de lecture.

Exemple image avec URL “personalisée” :

http://img.nsa.gov/chats.png?uid=fear_hardcore

Je confirme.

Cela dit, apparemment, ils passent aussi les images à un contrôle anti-virus. Ça ne protège pas des 0-Day, mais de toute façon il reste l’option pour revenir à l’affichage « à la demande ».

Catégories

Nous Suivre

À propos

Gmail affiche les images en clair dans les emails

Révolution !

Commentaires (34)