Pixel espião no email: o que revela e como bloquear

O pixel espião é a forma como um remetente descobre que abriste a mensagem dele. O email contém uma imagem minúscula, normalmente invisível, guardada no servidor do remetente, num endereço web criado para ti. Quando a tua app de email a carrega, o servidor regista que abriste a mensagem, quando, em que tipo de dispositivo e a partir de que endereço IP. O endereço IP aponta para uma localização aproximada.

Para o bloquear, desativa o carregamento automático de imagens na tua app de email (passos para cada app). Um proxy de imagens como o do Gmail oculta o teu endereço IP e o teu dispositivo, mas normalmente não a abertura. A opção «Proteger atividade no Mail» do Mail da Apple faz com que todas as mensagens pareçam abertas. Os links são rastreados à parte. Os píxeis de rastreio também são conhecidos como píxeis espiões ou web beacons (em inglês, email tracking pixels), e as apps de email chamam a estas imagens conteúdo remoto ou imagens externas. O CatchNone, uma app de aliases de email para iPhone, iPad e Mac, mantém as imagens remotas, incluindo a maioria dos píxeis de rastreio, bloqueadas até as carregares, e dá a cada registo o seu próprio endereço, por isso uma abertura confirmada aponta para um alias, não para o teu email principal.

Como funciona o pixel espião no email

Um pixel de rastreio no email é uma tag de imagem comum. Eis um exemplo ilustrativo, num domínio de exemplo, que não segue o formato de nenhuma plataforma real:

<img src="https://t.example.com/open/8f2c41d7e9.gif?m=autumn-sale"
     width="1" height="1" alt="">

• t.example.com é um servidor gerido pelo remetente ou pela sua plataforma de email. A imagem não está dentro do email, por isso a tua app tem de a ir buscar.
• 8f2c41d7e9 é um identificador criado para ti e para esta mensagem. Transforma «alguém abriu isto» em «tu abriste isto». A CNIL, a autoridade francesa de proteção de dados, afirma que o endereço de um pixel tem normalmente «parâmetros individualizados relativos ao utilizador ou ao contexto em que a imagem aparece».
• width="1" height="1" e o alt vazio mantêm-no fora de vista.

Quando a tua app vai buscar a imagem, o servidor regista o identificador, a hora, o teu endereço IP e a app e o sistema indicados no cabeçalho User-Agent do pedido. O relatório do remetente passa então a mostrar que abriste o email. As páginas de ajuda do Mailchimp confirmam-no do lado de quem envia: o rastreio de aberturas não funciona em emails de texto simples nem quando a app do destinatário não apresenta imagens. É por isso que bloquear as imagens funciona.

Um rastreador não tem de ter 1×1. Qualquer imagem remota com um endereço único para ti, como um logótipo ou um banner, pode fazer o mesmo trabalho.

O que revela um pixel de rastreio no email

O Information Commissioner’s Office (ICO) do Reino Unido, a CNIL, a Apple e o Mailchimp descrevem praticamente a mesma lista. Um remetente pode ficar a saber:

• se abriste a mensagem, quando e quantas vezes;
• o tipo de dispositivo, o sistema operativo e a app de email que usas;
• o teu endereço IP e, a partir dele, uma localização aproximada;
• se a reencaminhaste, porque a cópia reencaminhada continua a levar o teu pixel.

A CNIL acrescenta que os píxeis não dão acesso aos teus outros emails nem à tua caixa de correio. Ainda assim, podem chegar para lá do remetente: um estudo de Princeton de 2018 sobre listas de correio comerciais concluiu que cerca de 30% dos emails passavam o endereço de email do destinatário a terceiros quando eram visualizados.

Um email consegue rastrear a tua localização ou o teu endereço IP?

Só de forma aproximada, e só se for o teu dispositivo a ir buscar a imagem, se clicares num link rastreado ou se abrires um anexo que vá buscar algo à internet. A MaxMind, uma das principais fornecedoras de geolocalização por IP, diz que os seus dados «nunca são suficientemente precisos para identificar ou localizar uma casa, uma pessoa ou uma morada concretas». Para endereços IP dos EUA, estima uma precisão de cerca de 66% ao nível da cidade, num raio de 50 km (cerca de 30 milhas). Conta com a tua cidade ou região e o teu fornecedor de internet. Uma VPN muda o endereço IP que o remetente vê, mas não oculta a abertura.

O Gmail funciona de outra forma. Desde 2013, o Gmail vai buscar as imagens através dos servidores da própria Google, e a Google diz que os remetentes «não podem usar o carregamento de imagens para obter informações sobre o teu computador ou a tua localização». Também diz que «por vezes, os remetentes podem saber se abriste um email que tem uma imagem». A Litmus, que mede aberturas para remetentes, continua a registar aberturas no Gmail «através da cache de imagens do Gmail». O proxy oculta o teu endereço IP, o teu dispositivo e a tua localização. Normalmente, não oculta que abriste a mensagem.

O que revela cada app de email

Verificado nas páginas de ajuda de cada fornecedor (iOS 27, macOS 27) e nas definições predefinidas do Thunderbird, em setembro de 2026. A ocultação do IP pela Apple depende de «Limit IP Address Tracking» (Limitar o rastreio do endereço IP) estar ativado na rede que usas.

Como bloquear os píxeis de rastreio

Raramente precisas de um bloqueador de píxeis à parte: a definição de imagens da tua app de email é o bloqueador. Se a tua app já vai buscar as imagens através de um proxy (Gmail, Outlook.com, Fastmail), desativar as imagens acrescenta uma coisa: o remetente deixa de saber que abriste a mensagem.

Mail da Apple

No iPhone e no iPad (iOS 27 e iPadOS 27), vai a «Definições» → «Aplicações» → «Mail» → «Privacy Protection» (Proteção da privacidade) e ativa «Proteger atividade no Mail». A Apple diz que isto também requer «Limit IP Address Tracking» (Limitar o rastreio do endereço IP), que se define para cada rede: vai a «Definições» → «Wi-Fi» e toca no botão de informações junto à tua rede (passos da Apple). Num Mac, escolhe «Mail» → «Definições» → «Privacidade» e seleciona «Proteger atividade do Mail». «Bloquear todo o conteúdo remoto», com «Ocultar endereço IP», é a alternativa se preferires que nada carregue até pedires. Como funciona a Proteção da privacidade no Mail no iPhone e no Mac explica os passos e as contrapartidas.

Gmail

A Google documenta uma definição separada para a web, para o Android e para o iPhone, por isso altera cada uma das que usas (passos da Google).

Num computador:

1. No Gmail, clica em «Definições», no canto superior direito, e depois em «Ver todas as definições».
2. No separador «General» (Geral), desloca-te até «Images» (Imagens) e seleciona «Ask before displaying external images» (Perguntar antes de apresentar imagens externas).
3. Clica em «Save Changes» (Guardar alterações), no fundo da página.

No Android:

1. Na app Gmail, toca em «Menu», depois em «Definições» e, a seguir, na tua conta.
2. Em «Data usage» (Utilização de dados), toca em «Images» (Imagens) e depois em «Ask before showing» (Perguntar antes de mostrar).

No iPhone e no iPad:

1. Na app Gmail, toca em «Menu» e depois em «Definições».
2. Em «Inbox» (Caixa de entrada), toca em «Email preferences» (Preferências de email), depois em «Images» (Imagens) e, por fim, em «Ask before displaying external images» (Perguntar antes de apresentar imagens externas).

Na web, clica em «Display images below» (Apresentar imagens abaixo) para carregar as imagens de uma mensagem.

Outlook

• O Outlook clássico para Windows bloqueia por predefinição a transferência automática de imagens, e a Microsoft aponta «ajudar a evitar píxeis de rastreio» como uma das razões. Para confirmar, vai a «File» (Ficheiro) → «Options» (Opções) → «Trust Center» (Centro de Confiança) → «Trust Center Settings» (Definições do Centro de Confiança) e verifica se a caixa que começa por «Don’t download pictures automatically» (Não transferir imagens automaticamente) está selecionada. No Outlook para Microsoft 365, as opções estão no separador «Automatic Download» (Transferência automática). Adicionar um remetente aos «Safe Senders» (Remetentes seguros) desbloqueia as imagens dele, píxeis incluídos, e os teus contactos do Outlook contam como remetentes seguros por predefinição.
• Novo Outlook para Windows: à data de setembro de 2026, as páginas de ajuda da Microsoft não descrevem uma definição de transferência de imagens para esta versão. Se queres as imagens desativadas por predefinição no Windows, o Outlook clássico e o Thunderbird bloqueiam-nas.
• O Outlook para Mac não transfere imagens da internet por predefinição. No novo Outlook para Mac, escolhe «Outlook» → «Settings» (Definições), seleciona «Reading» (Leitura) em «Email» e, em «Download external images» (Transferir imagens externas), escolhe «Ask before downloading» (Perguntar antes de transferir).
• O Outlook para iPhone e Android transfere as imagens, exceto se escolheres «Block external images» (Bloquear imagens externas) ou «Load images for safe senders» (Carregar imagens de remetentes seguros). Toca na faixa que aparece numa mensagem para carregar as imagens dela.
• O Outlook.com carrega as imagens através do proxy de imagens da Microsoft. Em «Settings» (Definições) → «General» (Geral) → «Privacy and data» (Privacidade e dados), mantém selecionada a opção «Always use the Outlook service to load images» (Utilizar sempre o serviço do Outlook para carregar imagens). A Microsoft avisa que, sem ela, «os teus dados pessoais podem estar em risco». Para impedir as imagens de remetentes que não aprovaste, vai a «Settings» (Definições) → «Mail» (Correio) → «Junk email» (Lixo Eletrónico) e, em «Security options» (Opções de segurança), seleciona «Block attachments, pictures, and links from anyone not in my Safe senders and domains list» (Bloquear anexos, imagens e links de quem não estiver na minha lista de remetentes e domínios seguros). Isto também bloqueia os links e os anexos desses remetentes.

Outras apps e serviços

• O CatchNone mantém as imagens remotas, incluindo a maioria dos píxeis de rastreio, bloqueadas em todas as mensagens até tocares em «Carregar imagens», e o seu interruptor «Carregar imagens remotas», em «Definições» → «Aspeto», está desativado por predefinição.
• A Fastmail vai buscar as imagens remotas através dos seus próprios servidores, por isso «o servidor da imagem continua sem saber o teu endereço IP nem o teu navegador». Isto só se aplica na interface web e na app móvel da Fastmail, não quando lês o email da Fastmail noutra app. Para que te pergunte primeiro, vai a «Settings» (Definições) → «Mail preferences» (Preferências de email) e, em «Reading» (Leitura) → «Remote images» (Imagens remotas), escolhe «Always ask before showing remote images» (Perguntar sempre antes de mostrar imagens remotas).
• O Proton Mail tem a opção «Block email tracking» (Bloquear rastreio de email) ativada por predefinição. Define-se para cada dispositivo: «Settings» (Definições) → «Email privacy» (Privacidade do email) na web e no computador, e «Settings» (Definições) → «Privacy and security» (Privacidade e segurança) nas apps móveis.
• O Thunderbird bloqueia o conteúdo remoto por predefinição.
• O Yahoo Mail documentou esta opção pela última vez para a sua antiga versão para computador: «Settings» (Definições) → «More Settings» (Mais definições) → «Viewing email» (Visualização de email) → «Show images in messages» (Mostrar imagens nas mensagens) → «Ask before showing external images» (Perguntar antes de mostrar imagens externas). Confirma o menu atual antes de confiares nisto.
• Os serviços de aliases de reencaminhamento, como o addy.io (nos planos pagos), o Firefox Relay e o DuckDuckGo Email Protection, podem remover píxeis conhecidos antes de reencaminharem o email para a tua caixa de entrada. Remover os píxeis não muda a forma como os links são rastreados.
• Existem extensões do navegador que assinalam rastreadores no Gmail. Vê que acesso ao teu email pedem; a definição de imagens da tua app de email é o controlo mais fiável.

Bloquear as imagens impede todo o rastreio?

Não. Bloquear as imagens trava os píxeis, mas os links são rastreados à parte. As plataformas de newsletters substituem cada link por outro que passa pelo seu próprio servidor. O Mailchimp diz que um clique «redireciona a pessoa através dos servidores do Mailchimp» até ao endereço real, e o redirecionamento fica registado. O clique abre no teu navegador, por isso esse servidor vê o teu endereço IP real, mesmo que a tua app de email use um proxy para as imagens. O Mailchimp também conta um clique como uma abertura e usa «dados de cliques» para localizar contactos cujas aberturas a Apple oculta.

A Apple diz que a Proteção da privacidade no Mail «não se estende a links nem a anexos de email». O Proton Mail remove dos links, na web, os parâmetros de rastreio conhecidos, mas diz que os parâmetros próprios das empresas podem ser difíceis de detetar. Se só queres ir ao site da loja, escreve o endereço em vez de clicares.

Os spammers sabem se abres os emails deles?

Às vezes. Se a tua app carrega as imagens diretamente do servidor do remetente, um pixel diz-lhe que o endereço funciona. A Microsoft explica que transferir uma imagem da internet «pode avisar o remetente de que o teu endereço de email está ativo e de que recebeste a mensagem».

• As imagens carregam diretamente: ficam a saber que o endereço está ativo, quando o abriste e onde estás, mais ou menos.
• As imagens carregam através de um proxy (Gmail, Outlook.com, Fastmail): normalmente, a abertura, mas não o teu endereço IP nem o teu dispositivo.
• Mail da Apple com «Proteger atividade no Mail»: todas as mensagens entregues parecem abertas, por isso o remetente não consegue saber se a leste, embora a obtenção em segundo plano mostre na mesma que a mensagem chegou a uma caixa de correio em uso.
• Imagens bloqueadas: o pixel não envia nada.

Muitas apps também retêm as imagens no spam. O Gmail não mostra imagens em mensagens que considera suspeitas, a Fastmail bloqueia sempre as imagens remotas na pasta Spam e o Mail no Mac nunca mostra conteúdo remoto em mensagens marcadas como lixo.

Em qualquer app, responder ou clicar num link confirma o teu endereço, e isto inclui os links para anular a subscrição. A forma como conseguiram o endereço é explicada em como os spammers obtêm endereços de email.

Os píxeis de rastreio no email são legais?

Depende de onde estás tu e de onde está o remetente. Em resumo: as autoridades do Reino Unido e da UE aplicam aos píxeis de email as regras sobre guardar ou ler informação no teu dispositivo (as mesmas regras que estão por trás dos avisos de cookies, a par do RGPD), por isso um remetente que rastreia as tuas aberturas individualmente precisa, em geral, do teu consentimento nesses países, salvo exceções restritas. Os EUA não têm nenhuma regra federal dirigida aos píxeis de email.

Reino Unido

O ICO concluiu as suas orientações sobre tecnologias de armazenamento e acesso a 29 de abril de 2026, depois de a Data (Use and Access) Act ter alterado as Privacy and Electronic Communications Regulations (PECR). As orientações referem expressamente os píxeis de rastreio. A maior parte do email marketing está abrangida pela regra 22, mas «quando os píxeis de rastreio guardam informação (ou acedem a informação guardada) no dispositivo de um utilizador, aplica-se a regra 6». A regra 6 exige consentimento segundo o padrão do RGPD do Reino Unido (UK GDPR), salvo se se aplicar uma exceção. A nova exceção para estatísticas «não permite monitorizar nem rastrear visitantes individuais».

UE e França

O Comité Europeu para a Proteção de Dados (CEPD) afirma, nas suas Diretrizes 2/2023 (versão 2.0, adotadas a 7 de outubro de 2024), que o artigo 5.º, n.º 3, da Diretiva Privacidade Eletrónica (ePrivacy) se aplica aos píxeis de rastreio e aos links de rastreio no email. É a regra segundo a qual guardar ou ler informação no teu dispositivo requer o teu consentimento, exceto se for estritamente necessário para um serviço que pediste.

A recomendação final da CNIL (original em francês), adotada a 12 de março de 2026 e publicada a 14 de abril de 2026, é a mais específica. Diz que, segundo a lei francesa, os remetentes precisam do teu consentimento para usar píxeis para analisar taxas de abertura e melhorar campanhas, para criar perfis que te visem noutros sítios ou para detetar fraude. Só dois usos estão isentos: a segurança da autenticação e uma verificação de entregabilidade que guarda apenas a data da tua última abertura, em emails que pediste, como confirmações de encomenda. Ignorar um pedido de consentimento conta como recusa, e podes apresentar queixa à CNIL.

EUA

A lei federal sobre email comercial, a CAN-SPAM, não menciona o rastreio de aberturas: os requisitos do guia de conformidade da FTC abrangem coisas como cabeçalhos honestos, um endereço postal e uma opção de exclusão que funcione. Em vez disso, os processos judiciais têm recorrido a leis de privacidade mais antigas. No caso Smith v. Target (13 de novembro de 2025), o Tribunal de Recurso do Arizona decidiu que os dados de «píxeis espiões» em emails de marketing ficam fora da lei do Arizona sobre registos de comunicações. Esta decisão abrange apenas a lei de um estado.

É seguro abrir spam ou emails indesejados?

Numa app de email atualizada, abrir spam tem pouco risco. O perigo está em clicar em links, abrir anexos e escrever palavras-passe ou dados do cartão. A FTC avisa que «os burlões enviam por vezes emails de phishing com anexos ou links que, se forem abertos ou clicados, instalam malware nocivo no dispositivo». A Apple aconselha: «Não sigas links nem abras ou guardes anexos em mensagens suspeitas ou não solicitadas.»

Abrir tem dois riscos menores. Se as imagens carregarem diretamente, pode confirmar o teu endereço, por isso mantém as imagens automáticas desativadas e não respondas. Além disso, houve falhas de segurança raras que foram acionadas só por receber ou abrir uma mensagem. A falha do Outlook da Microsoft CVE-2023-23397 podia ser explorada assim que o Outlook obtinha e processava a mensagem, antes de ela aparecer no «Preview Pane» (Painel de pré-visualização). Em 2020, o iOS 13.5 corrigiu duas falhas do Mail acionadas por uma mensagem manipulada. As três foram corrigidas há muito tempo, e é por isso que as atualizações são importantes.

No Gmail, o risco é ainda menor: a Google analisa todas as mensagens à procura de conteúdo suspeito e verifica as imagens para detetar software nocivo conhecido.

Ignora o link para anular a subscrição no spam óbvio. As orientações sobre phishing arquivadas da Cybersecurity and Infrastructure Security Agency (CISA) dos EUA dizem para não clicar em nenhum link, «incluindo qualquer link para “anular a subscrição”». As exceções estão explicadas em quando é seguro clicar em links para anular a subscrição. Em vez disso, marca a mensagem como spam ou lixo; o que reduz mesmo o spam vai mais longe.

Abrir spam no iPhone

Mantém o iOS atualizado. No Mail, mantém ativado «Proteger atividade no Mail» ou «Bloquear todo o conteúdo remoto» (passos acima). Não toques em links no spam; a Apple sugere manter premido um link para ver para onde leva realmente. Move o spam para «Lixo», que, no iCloud Mail, é também a forma como a Apple te pede para o denunciar.

Se já o abriste ou clicaste num link

Se só o abriste, marca-o como spam ou lixo e apaga-o. Se clicaste num link, transferiste alguma coisa ou escreveste uma palavra-passe, um número de cartão ou outros dados pessoais, segue o que fazer depois de clicar num link suspeito.

Como o CatchNone mantém os píxeis calados

O CatchNone é uma app de aliases de email para iPhone, iPad e Mac que mantém os píxeis calados por predefinição. As mensagens abrem com o JavaScript desativado, e as imagens remotas, incluindo a maioria dos píxeis de rastreio, ficam bloqueadas até tocares em «Carregar imagens» nessa mensagem. O interruptor «Carregar imagens remotas», em «Definições» → «Aspeto», está desativado por predefinição. Cada loja, newsletter ou conta também recebe o seu próprio endereço, seja um endereço @catchnone.com aleatório, que requer o Premium, seja um num domínio que é teu, e cada mensagem mostra a que alias chegou. Se um pixel chegar a confirmar um endereço, é um alias, não o teu email principal; o que usar nos registos explica porque é que isso ajuda.

O CatchNone bloqueia todo o conteúdo remoto em vez de detetar píxeis, por isso carregar as imagens de uma mensagem diz ao remetente que a abriste, e os links ficam como estão, incluindo os rastreados. Abrange o email que lês no CatchNone, que só recebe: nunca envia, responde nem reencaminha. Descarrega o CatchNone, disponível para iPhone, iPad e Mac.

Perguntas frequentes

Como sei se um email tem um pixel de rastreio?

Normalmente, não dá para perceber só de olhar. A BBC notou em 2021 que, «sem software especial, não é fácil identificar os emails que contêm um pixel de rastreio». Com as imagens automáticas desativadas, uma mensagem que pede para carregar conteúdo remoto pode ter um. No Gmail na web, «More» (Mais) → «Show original» (Mostrar original) mostra a mensagem em bruto, onde uma imagem de 1×1 com um endereço longo e único é um forte indício.

Quem me enviou um email consegue saber se o abri?

Muitas vezes, sim: um pixel pode dizer-lhes. Se a tua app de email carrega as imagens, mesmo através de um proxy como o do Gmail, quem acrescenta um pixel consegue normalmente ver que abriste a mensagem e quando. Também há particulares a fazê-lo: em 2021, o cofundador do Hey disse à BBC que vendedores e consultores podem dizer «vi que abriste o meu email ontem, mas ainda não respondeste». As confirmações de leitura são outra coisa: a norma (RFC 8098) recomenda que te perguntem primeiro, as contas pessoais do Gmail não as podem pedir e o Outlook.com só o pode fazer a partir do Outlook para Windows. Bloquear as imagens, ou ativar «Proteger atividade no Mail», impede que os píxeis mostrem as tuas aberturas.

Um pixel de rastreio é o mesmo que um cookie?

Não. Um cookie é guardado pelo teu navegador, enquanto um pixel é uma imagem que a tua app vai buscar. Ainda assim, as autoridades aplicam as mesmas regras a ambos. O ICO inclui os píxeis de rastreio ao lado dos cookies ao abrigo das PECR, e o CEPD aplica a ambos o mesmo artigo da Diretiva Privacidade Eletrónica.

Os rastreadores de email ainda funcionam?

Sim, com menos detalhe do que antes. Nos números da Litmus de julho de 2026, a Apple representou 62% das aberturas registadas e o Gmail 27%. A Litmus registou todas as aberturas no Gmail através da cache de imagens da Google e não considera fiáveis as aberturas vindas da Proteção da privacidade no Mail da Apple. Quando o Hey analisou o seu tráfego para a BBC em 2021, dois terços dos emails enviados para as contas pessoais dos seus utilizadores continham um pixel, mesmo excluindo o spam.