トラッキングピクセルとは？メール開封がバレる仕組みと対策

メールのトラッキングピクセルは、送信者がメールの開封を知るための仕組みです。メールには、送信者のサーバーに置かれた小さな、たいていは目に見えない画像が、受信者ごとに作られたウェブアドレスで埋め込まれています。メールアプリがこの画像を読み込むと、サーバーには、メールが開封されたこと、その日時、端末の種類、IPアドレスが記録されます。IPアドレスからは、おおよその場所がわかります。

防ぐには、メールアプリで画像の自動読み込みをオフにします（アプリごとの手順）。Gmailのような画像プロキシはIPアドレスと端末を隠しますが、開封したこと自体はたいてい隠せません。Appleの「メール」の「“メール”でのアクティビティを保護」をオンにすると、すべてのメールが開封済みに見えます。リンクは画像とは別に追跡されます。トラッキングピクセルは、スパイピクセルやウェブビーコンとも呼ばれ、どれも同じものを指します。メールアプリでは、こうした画像を「リモートコンテンツ」や「外部画像」と呼んでいます。iPhone、iPad、Mac向けのメールエイリアスアプリCatchNoneは、リモート画像を、大半のトラッキングピクセルも含めて、読み込むまでブロックしたままにします。また、登録ごとに専用のアドレスを使えるため、開封が確認されても、わかるのはエイリアスの1つで、メインのアドレスではありません。

メールのトラッキングピクセルの仕組み

メールのトラッキングピクセルは、ごく普通の画像タグです。次は仮のドメインを使った説明用の例で、実在する配信サービスの形式ではありません。

<img src="https://t.example.com/open/8f2c41d7e9.gif?m=autumn-sale"
     width="1" height="1" alt="">

• t.example.comは、送信者か、送信者が使うメール配信サービスが運用するサーバーです。画像はメールの中に入っていないため、アプリが取りに行く必要があります。
• 8f2c41d7e9は、受信者とこのメールのために作られたIDです。これによって「誰かが開いた」が「この人が開いた」に変わります。フランスのデータ保護機関であるCNILは、ピクセルのアドレスには通常「ユーザーや、画像が表示される状況に関連する個別の設定」が含まれていると説明しています。
• width="1" height="1"と空のaltで、画像が目に見えないようにしています。

アプリが画像を取得すると、サーバーには、ID、日時、IPアドレス、そしてリクエストのUser-Agentヘッダーに書かれたアプリとOSが記録されます。すると送信者のレポートでは、そのメールを開封したことになります。Mailchimpのヘルプページも、送信者の側からこれを裏付けています。開封のトラッキングは、テキスト形式のメールや、受信者のアプリが画像を表示しない場合には機能しません。画像をブロックすると効果があるのはこのためです。

トラッカーは1×1の画像とは限りません。ロゴやバナーなど、受信者ごとに固有のアドレスを持つリモート画像なら、どれでも同じ役割を果たせます。

メールのトラッキングピクセルで相手にわかること

イギリスの情報コミッショナー事務局（ICO）、CNIL、Apple、Mailchimpは、ほぼ同じ項目を挙げています。送信者にわかるのは次の情報です。

• メールを開いたかどうか、開いた日時と回数
• 端末の種類、OS、メールアプリ
• IPアドレスと、そこから推定されるおおよその場所
• 転送したかどうか（転送したメールにも、元の受信者のピクセルが残るため）

CNILは、ピクセルによってほかのメールやメールボックスにアクセスされることはないとも補足しています。ただし、情報が送信者以外に渡ることはあります。商用のメーリングリストを調べた2018年のプリンストン大学の研究では、約30%のメールが、表示された時点で受信者のメールアドレスを第三者に漏らしていました。

メールを開くと位置情報やIPアドレスがわかる？

わかるのはおおよその場所だけで、それも、端末が画像を直接取得した場合、追跡用のリンクをクリックした場合、インターネットから何かを取得する添付ファイルを開いた場合に限られます。IPアドレスによる位置推定の大手であるMaxMindは、自社のデータについて「特定の世帯、個人、番地を特定したり、その位置を突き止めたりできるほど正確になることは決してない」としています。アメリカのIPアドレスの場合、都市レベルで50km（約30マイル）以内に収まる精度は約66%と見積もっています。わかるのは、住んでいる都市や地域と、契約しているプロバイダーくらいと考えてください。VPNを使うと、送信者に見えるIPアドレスは変わりますが、開封したことは隠せません。

Gmailは仕組みが異なります。Gmailは2013年から、画像をGoogle自身のサーバー経由で取得しています。Googleは、送信者は「画像の読み込みを利用して、パソコンや現在地に関する情報を取得することはできない」と説明しています。一方で、「画像を含むメールを開封したかどうかが、送信者にわかる場合もある」とも書いています。送信者向けに開封を計測しているLitmusは、今もGmailでの開封を「Gmailの画像キャッシュ経由で」記録しています。プロキシはIPアドレス、端末、場所を隠しますが、開封したこと自体はたいてい隠しません。

メールアプリごとに送信者にわかること

2026年9月に、各社のヘルプページ（iOS 27、macOS 27）とThunderbirdの初期設定をもとに確認しました。AppleがIPアドレスを隠すには、使っているネットワークで「IPアドレスのトラッキングを制限」がオンになっている必要があります。

トラッキングピクセルを防ぐ方法

メールのピクセルをブロックする専用のツールは、ほとんどの場合必要ありません。メールアプリの画像の設定が、そのままブロックの役割を果たします。すでに画像をプロキシ経由で取得するアプリ（Gmail、Outlook.com、Fastmail）で画像をオフにした場合に加わる効果は1つで、送信者に開封が伝わらなくなることです。

Appleの「メール」

iPhoneとiPad（iOS 27、iPadOS 27）では、「設定」＞「アプリ」＞「メール」＞「プライバシー保護」で、「“メール”でのアクティビティを保護」をオンにします。Appleによると、「IPアドレスのトラッキングを制限」もオンにする必要があり、これはネットワークごとの設定です。「設定」＞「Wi-Fi」で、使っているネットワークの横にある情報ボタンをタップしてください（Appleの手順）。Macでは、「メール」＞「設定」＞「プライバシー」を選択し、「“メール”でのアクティビティを保護」を選択します。自分で指示するまで何も読み込ませたくない場合は、「リモートコンテンツをすべてブロック」と「Hide IP Address」（IPアドレスを非公開）を組み合わせる方法もあります。手順とそれぞれの長所・短所は、iPhoneとMacの「メールプライバシー保護」の仕組みで説明しています。

Gmail

Googleは、ウェブ、Android、iPhoneのそれぞれに別の設定があると説明しています。使っているものはすべて変更してください（Googleの手順）。

パソコンの場合：

1. Gmailで、右上の「Settings」（設定）をクリックし、「すべての設定を表示」をクリックします。
2. 「General」（全般）タブで「Images」（画像）までスクロールし、「Ask before displaying external images」（外部画像を表示する前に確認する）を選択します。
3. ページ下部の「Save Changes」（変更を保存）をクリックします。

Androidの場合：

1. Gmailアプリで「Menu」（メニュー）、「Settings」（設定）の順にタップし、アカウントをタップします。
2. 「Data usage」（データ使用量）で「Images」（画像）をタップし、「Ask before showing」（表示前に確認する）をタップします。

iPhoneとiPadの場合：

1. Gmailアプリで「Menu」（メニュー）、「Settings」（設定）の順にタップします。
2. 「Inbox」（受信トレイ）で「Email preferences」（メールの設定）、「Images」（画像）、「Ask before displaying external images」（外部画像を表示する前に確認する）の順にタップします。

ウェブ版で1通のメールの画像だけを読み込むには、「Display images below」（以下の画像を表示）をクリックします。

Outlook

• 従来のOutlook for Windowsは、初期設定で画像の自動ダウンロードをブロックしています。Microsoftは、その理由の1つとして「トラッキングピクセルを避けるのに役立つ」ことを挙げています。確認するには、「File」（ファイル）＞「Options」（オプション）＞「Trust Center」（トラスト センター）＞「Trust Center Settings」（トラスト センターの設定）を開き、「Don’t download pictures automatically」（画像を自動的にダウンロードしない）で始まるチェックボックスがオンになっていることを確かめます。Outlook for Microsoft 365では、これらのオプションは「Automatic Download」（自動ダウンロード）タブにあります。送信者を「Safe Senders」（信頼できる差出人）に追加すると、その送信者の画像は、ピクセルも含めてブロックされなくなります。また、Outlookの連絡先は初期設定で信頼できる差出人として扱われます。
• 新しいOutlook for Windows：2026年9月時点で、Microsoftのヘルプページには、このアプリで画像のダウンロードを設定する方法が載っていません。Windowsで画像を初期設定でオフにしたい場合は、従来のOutlookとThunderbirdなら画像をブロックします。
• Outlook for Macは、初期設定ではインターネット上の画像をダウンロードしません。新しいOutlook for Macでは、「Outlook」＞「Settings」（設定）を選び、「Email」（メール）の下の「Reading」（閲覧）を選択して、「Download external images」（外部画像のダウンロード）で「Ask before downloading」（ダウンロードする前に確認する）を選びます。
• Outlook for iPhone、Androidは、「Block external images」（外部画像をブロック）か「Load images for safe senders」（信頼できる差出人の画像を読み込む）を選ばない限り、画像をダウンロードします。メール内のバナーをタップすると、そのメールの画像が読み込まれます。
• Outlook.comは、Microsoftの画像プロキシ経由で画像を読み込みます。「Settings」（設定）＞「General」（全般）＞「Privacy and data」（プライバシーとデータ）で、「Always use the Outlook service to load images」（常にOutlookサービスを使って画像を読み込む）を選択したままにしてください。Microsoftは、この設定がないと「個人データが危険にさらされる可能性がある」と警告しています。承認していない送信者からの画像を止めるには、「Settings」（設定）＞「Mail」（メール）＞「Junk email」（迷惑メール）を開き、「Security options」（セキュリティ オプション）で「Block attachments, pictures, and links from anyone not in my Safe senders and domains list」（信頼できる差出人とドメインのリストにない人からの添付ファイル、画像、リンクをブロックする）を選択します。この設定では、そうした送信者からのリンクと添付ファイルもブロックされます。

そのほかのアプリとサービス

• CatchNoneは、どのメッセージでも、「画像を読み込む」をタップするまで、リモート画像を大半のトラッキングピクセルも含めてブロックしたままにします。「設定」→「外観」にある「リモート画像を読み込む」のスイッチは、初期設定でオフです。
• Fastmailは、リモート画像を自社のサーバー経由で取得するため、「画像のホストには、やはりIPアドレスもブラウザもわからない」としています。これはFastmailのウェブ版とモバイルアプリで読む場合だけで、Fastmailのメールをほかのアプリで読む場合には当てはまりません。表示する前に確認するようにしたい場合は、「Settings」（設定）＞「Mail preferences」（メールの設定）を開き、「Reading」（閲覧）＞「Remote images」（リモート画像）で「Always ask before showing remote images」（リモート画像を表示する前に常に確認する）を選びます。
• Proton Mailでは、「Block email tracking」（メールトラッキングをブロック）が初期設定でオンになっています。この設定はデバイスごとで、ウェブ版とデスクトップ版では「Settings」（設定）＞「Email privacy」（メールのプライバシー）、モバイルアプリでは「Settings」（設定）＞「Privacy and security」（プライバシーとセキュリティ）にあります。
• Thunderbirdは、初期設定でリモートコンテンツをブロックします。
• Yahoo Mailがこの設定を最後に説明していたのは、旧デスクトップ版のヘルプです。「Settings」（設定）＞「More Settings」（その他の設定）＞「Viewing email」（メールの表示）＞「Show images in messages」（メッセージ内の画像を表示）＞「Ask before showing external images」（外部画像を表示する前に確認する）。頼る前に、現在のメニューを確認してください。
• addy.io（有料プラン）、Firefox Relay、DuckDuckGo Email Protectionなどの転送型のメールエイリアスサービスは、受信ボックスに転送する前に、既知のピクセルを取り除くことがあります。ピクセルを取り除いても、リンクの追跡のされ方は変わりません。
• ブラウザ拡張機能の中には、Gmailでトラッカーを見つけて知らせるものもあります。メールへのどんなアクセス権限を求めるかを確認してください。より確実なのは、メールアプリの画像の設定です。

画像をブロックすれば追跡はすべて防げる？

いいえ。画像をブロックすればピクセルは止まりますが、リンクは別に追跡されます。メルマガ（ニュースレター）の配信サービスは、各リンクを自社のサーバーを経由するリンクに置き換えます。Mailchimpによると、クリックすると「Mailchimpのサーバーを経由して」本来のアドレスへリダイレクトされ、そのリダイレクトが記録されます。リンクはブラウザで開くため、メールアプリが画像をプロキシ経由で取得していても、そのサーバーには実際のIPアドレスが見えます。Mailchimpはクリックを開封としても数え、開封がAppleによって隠されている連絡先について、所在地を推定するのに「クリックデータ」を使っています。

Appleは、「メールプライバシー保護」は「リンクやメールの添付ファイルには及ばない」としています。Proton Mailは、ウェブ版でリンクから既知のトラッキング用パラメータを取り除きますが、企業独自のパラメータは検出しにくい場合があるとしています。ショップのサイトを見たいだけなら、リンクをクリックせずにアドレスを直接入力してください。

迷惑メールを開くとどうなる？送信者に開封は伝わる？

伝わる場合があります。アプリが送信者のサーバーから直接画像を読み込むと、ピクセルによって、そのアドレスが使われていることが送信者にわかります。Microsoftは、インターネット上の画像をダウンロードすると「メールアドレスが有効であることと、メッセージを受信したことが送信者に伝わる可能性がある」と説明しています。

• 画像を直接読み込む場合：アドレスが使われていること、開封した日時、おおよその居場所が伝わります。
• 画像をプロキシ経由で読み込む場合（Gmail、Outlook.com、Fastmail）：たいていは開封したことが伝わりますが、IPアドレスや端末は伝わりません。
• Appleの「メール」で「“メール”でのアクティビティを保護」がオンの場合：配信されたメールはすべて開封済みに見えるため、実際に読んだかどうかは送信者にはわかりません。ただし、バックグラウンドでの取得によって、使われているメールボックスにメールが届いたことはわかります。
• 画像をブロックしている場合：ピクセルからは何も送られません。

多くのアプリは、迷惑メールの画像も表示しません。Gmailは不審と判断したメールの画像を表示せず、Fastmailは迷惑メールフォルダのリモート画像を常にブロックし、Macの「メール」は迷惑メールとしてマークされたメールのリモートコンテンツを一切表示しません。

どのアプリでも、返信したりリンクをクリックしたりすると、アドレスが使われていることが伝わります。配信停止のリンクも同じです。そもそもアドレスがどうやって知られたのかは、迷惑メール業者がアドレスを手に入れる経路で説明しています。

メールのトラッキングピクセルは合法？

受信者と送信者がどこにいるかによって異なります。要点をまとめると、イギリスとEUの規制当局は、端末への情報の保存や端末内の情報の読み取りに関するルール（GDPRと並んで、Cookieバナーの根拠になっているルール）を、メールのピクセルにも適用しています。そのため、開封を個人単位で追跡する送信者は、限られた例外を除き、原則として受信者の同意を得る必要があります。アメリカには、メールのピクセルを対象にした連邦レベルのルールはありません。

イギリス

ICOは、データ（利用・アクセス）法（Data (Use and Access) Act）によってプライバシー・電子通信規則（PECR）が改正されたことを受け、2026年4月29日にストレージ・アクセス技術に関するガイダンスを確定させました。このガイダンスは、トラッキングピクセルを名指しで扱っています。メールマーケティングの大半は規則22の対象ですが、「トラッキングピクセルがユーザーの端末に情報を保存する（または保存された情報にアクセスする）場合は、規則6が適用される」としています。規則6は、例外に当たらない限り、UK GDPRの基準を満たす同意を求めています。統計目的の新しい例外についても、「個々の訪問者を監視・追跡することは認められない」としています。

EUとフランス

欧州データ保護会議（EDPB）は、ガイドライン2/2023（バージョン2.0、2024年10月7日採択）で、eプライバシー指令の第5条3項が、メールのトラッキングピクセルと追跡用リンクに適用されるとしています。第5条3項は、端末への情報の保存や端末内の情報の読み取りには、利用者が求めたサービスに厳密に必要な場合を除き、本人の同意が必要だとするルールです。

最も具体的なのは、2026年3月12日に採択され、2026年4月14日に公表されたCNILの最終勧告（フランス語の原文）です。フランスの法律のもとでは、開封率を分析してキャンペーンを改善する目的、ほかの場所でターゲティングするためのプロファイルを作る目的、不正を検出する目的でピクセルを使う場合、送信者は受信者の同意を得る必要があるとしています。例外は2つだけです。認証のセキュリティと、注文確認メールのように受信者が求めたメールで、最後に開封した日付だけを保持する到達性の確認です。同意の求めを無視した場合は拒否したものとみなされ、CNILに苦情を申し立てることもできます。

アメリカ

商業メールに関する連邦法であるCAN-SPAM法は、開封のトラッキングに触れていません。FTC（連邦取引委員会）のコンプライアンスガイドにある要件は、偽りのないヘッダー、郵便住所の記載、機能する配信停止の手段といったものです。そこで訴訟では、代わりに以前からあるプライバシー関連の法律が持ち出されてきました。Smith v. Target事件（2025年11月13日）で、アリゾナ州控訴裁判所は、マーケティングメールの「スパイピクセル」から得られるデータは、アリゾナ州の通信記録に関する法律の対象外だと判断しました。この判決が扱っているのは、1つの州の法律だけです。

迷惑メールを開いても安全？

最新の状態のメールアプリなら、迷惑メールを開くこと自体のリスクは低いです。被害につながるのは、リンクのクリック、添付ファイルを開くこと、パスワードやカード情報の入力です。FTCは、「詐欺師は、開いたりクリックしたりすると端末に有害なマルウェアがインストールされる添付ファイルやリンクを付けたフィッシングメールを送ることがある」と警告しています。Appleも、「不審なメッセージや、身に覚えのないメッセージに含まれるリンクをたどったり、添付ファイルを開いたり保存したりしないでください」と呼びかけています。

開くことには、小さなリスクが2つあります。画像が直接読み込まれると、アドレスが使われていることが伝わる可能性があります。画像の自動読み込みはオフにしておき、返信もしないでください。また、ごくまれに、メールを受信したり開いたりしただけで発動するセキュリティ上の欠陥もありました。MicrosoftのOutlookの脆弱性CVE-2023-23397は、Outlookがメールを取得して処理した時点で、「Preview Pane」（プレビュー ウィンドウ）に表示される前に悪用される可能性がありました。2020年には、細工したメールで発動する「メール」の2つの欠陥が、iOS 13.5で修正されています。3つとも修正されたのはずっと前のことで、だからこそアップデートが重要です。

Gmailでは、リスクはさらに低くなります。Googleはすべてのメールに不審な内容がないかをスキャンし、画像についても既知の有害なソフトウェアがないかを確認しています。

明らかな迷惑メールでは、配信停止のリンクは使わないでください。アメリカのサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）のアーカイブ済みのフィッシング対策ガイダンスは、「『配信停止』のリンクも含めて」どのリンクもクリックしないよう呼びかけています。例外については、配信停止のリンクを安全にクリックできる場合で説明しています。代わりに、迷惑メールとしてマークしてください。迷惑メールを実際に減らす方法では、さらに詳しく説明しています。

iPhoneで迷惑メールを開くとき

iOSは最新の状態にしておきます。「メール」では、「“メール”でのアクティビティを保護」か「リモートコンテンツをすべてブロック」をオンにしておきます（前述の手順）。迷惑メール内のリンクはタップしないでください。Appleは、リンクをタッチして押さえたままにして、実際のリンク先を確認する方法を勧めています。迷惑メールは「迷惑メール」フォルダに移動します。iCloudメールでは、これがAppleへの報告方法でもあります。

すでに開いた、またはリンクをクリックした場合

開いただけなら、迷惑メールとしてマークして削除します。リンクをクリックした、何かをダウンロードした、パスワードやカード番号などの個人情報を入力した場合は、不審なリンクをクリックしてしまったときの対処法に従ってください。

CatchNoneでピクセルに何も伝えない

CatchNoneはiPhone、iPad、Mac向けのメールエイリアスアプリで、初期設定のままでピクセルに何も伝えません。メッセージはJavaScriptをオフにした状態で開き、リモート画像は、ほとんどのトラッキングピクセルも含めて、そのメッセージで「画像を読み込む」をタップするまでブロックされたままです。「設定」→「外観」にある「リモート画像を読み込む」のスイッチは、初期設定でオフです。さらに、ショップ、メルマガ、アカウントごとに専用のアドレスを割り当てられます。アドレスは、ランダムな@catchnone.comアドレス（Premiumが必要）か、お持ちのドメインのアドレスで、各メッセージにはどのエイリアスに届いたかが表示されます。ピクセルでアドレスが確認されても、それはエイリアスの1つで、メインのアドレスではありません。それがなぜ役立つかは、登録用のアドレスに何を使うかで説明しています。

CatchNoneはピクセルを検出するのではなく、リモートコンテンツをすべてブロックします。そのため、メッセージの画像を読み込めば、開封したことは送信者に伝わります。また、リンクは追跡用のものも含めてそのまま残ります。対象になるのはCatchNoneで読むメールで、CatchNoneは受信専用のため、送信、返信、転送は一切しません。iPhone、iPad、Mac向けのCatchNoneをダウンロード。

よくある質問

メールにトラッキングピクセルがあるか見分けるには？

たいていは、見ただけではわかりません。BBCは2021年に、「専用のソフトウェアがなければ、どのメールにトラッキングピクセルが含まれているかを見分けるのは簡単ではない」と指摘しています。画像の自動読み込みをオフにしている場合、リモートコンテンツの読み込みを求めるメッセージには、ピクセルが含まれている可能性があります。ウェブ版のGmailでは、「More」（その他）＞「メッセージのソースを表示」で元のメッセージを表示できます。そこに長く固有のアドレスを持つ1×1の画像があれば、ピクセルである可能性が高いでしょう。

メールを開封したら相手にわかる？

多くの場合、わかります。メールアプリが画像を読み込むなら、Gmailのようなプロキシ経由でも、ピクセルを入れた人にはたいてい、開封したことと、その日時がわかります。これは個人でも行われています。2021年に、Heyの共同創業者がBBCに語ったところでは、営業担当者やコンサルタントは「昨日メールを開いたのは見ましたが、まだお返事をいただいていません」と言えるのだそうです。開封確認はこれとは別の仕組みです。標準仕様（RFC 8098）では、まず受信者に確認することを推奨しています。個人のGmailアカウントでは開封確認を要求できず、Outlook.comではOutlook for Windowsからしか要求できません。画像をブロックするか、「“メール”でのアクティビティを保護」をオンにすれば、ピクセルから開封が伝わることはなくなります。

トラッキングピクセルとCookieは同じ？

いいえ。Cookieはブラウザが保存するもので、ピクセルはアプリが取得する画像です。ただし、規制当局は両方に同じルールを適用しています。ICOはPECRのもとでトラッキングピクセルをCookieと並べて挙げており、EDPBも両方にeプライバシー指令の同じ条項を適用しています。

メールのトラッキングは今でも有効？

有効です。ただし、わかることは以前より少なくなっています。Litmusの2026年7月のデータでは、Litmusが計測した開封のうち、Appleが62%、Gmailが27%を占めていました。LitmusはGmailでの開封をすべてGoogleの画像キャッシュ経由で記録しており、Appleの「メールプライバシー保護」による開封は信頼できるものとして数えていません。2021年にHeyがBBCのために自社のトラフィックを調べたところ、迷惑メールを除いても、ユーザーの個人アカウントに届いたメールの3分の2にピクセルが含まれていました。