Ouvertures Gmail — confidentialité (28 octobre 2026)

Fonction : l’extension insère un pixel dans les messages dont le suivi est activé. Les événements sont des chargements d’image, qui peuvent être automatiques ; ils ne prouvent pas une lecture ou l’identité du lecteur. Le suivi peut être désactivé globalement ou dans une rédaction.

Stockage local : paramètres, adresse et clé du serveur, compte expéditeur, objets, destinataires, identifiants Gmail, états d’envoi et rappels. Le stockage du navigateur n’est pas un coffre chiffré. Les jetons Google restent en mémoire ; l’adresse du compte connecté est mémorisée pour rétablir une session déjà autorisée. La déconnexion efface cette préférence.

Serveur configuré : sans synchronisation, il reçoit des identifiants aléatoires, la création des suivis et les horaires de chargement des pixels, sans objet, corps de message ni adresse de destinataire via cette API. Si la synchronisation facultative est activée, objets, destinataires, dates, identifiants Gmail et états de suivi/rappel sont également transmis et chiffrés au repos avec AES-256-GCM, séparément par compte Google authentifié. Le serveur les déchiffre pour les restituer aux postes autorisés ; ce n’est pas du chiffrement de bout en bout. Le corps des messages et les pièces jointes ne sont jamais synchronisés sur ce serveur. Les anciens suivis locaux ne sont importés qu’après rattachement explicite au compte connecté.

Le serveur proposé par défaut est track.gmail.aidhabitat.fr, service Aid’Habitat hébergé chez Hetzner et réservé aux comptes autorisés. Installer publiquement l’extension ne donne pas accès à ce service. L’utilisateur peut configurer un autre serveur compatible, dont l’exploitant détermine les accès et la conservation. Le code serveur n’enregistre ni adresse IP ni User-Agent, mais l’hébergeur, le reverse proxy et les fournisseurs de messagerie peuvent traiter ces données dans leurs journaux et requêtes. Aucun service publicitaire ni télémétrie.

Google : la connexion facultative autorise la gestion des brouillons, l’envoi de copies, la consultation des métadonnées et la vérification de l’adresse. Pour les copies individuelles, les brouillons, leur corps MIME et leurs pièces jointes sont traités par l’extension puis transmis directement à l’API Gmail ; ils ne passent pas par le serveur de suivi et le MIME n’est pas conservé dans le journal local. Le jeton d’accès Gmail n’est pas transmis au serveur de suivi. Un jeton d’identité Google distinct lui est présenté pour authentifier le compte et l’organisation autorisée ; il n’y est pas enregistré. Les autorisations Google peuvent être révoquées dans le compte Google.

Pour un seul destinataire sans rappel, l’envoi utilise Gmail nativement sans lire de brouillon via son API. L’association au message envoyé nécessite la reconnaissance du pixel exact dans Messages envoyés. Pour les groupes ou rappels actifs, des brouillons et métadonnées peuvent être consultés. Les rappels vérifient les en-têtes des réponses, sans lire leur corps, lorsque le navigateur est ouvert. Aucune relance email automatique.

Conservation : 90 jours par défaut sur le serveur fourni, selon la configuration de l’exploitant. Supprimer un suivi depuis les paramètres efface ses événements du serveur. Les données locales restent jusqu’à leur suppression ou à la désinstallation ; désinstaller n’efface pas les données encore conservées sur le serveur. Des marqueurs de suppression sans objet ni destinataire évitent la réintroduction de données par un ancien poste.

L’entreprise expéditrice est responsable de l’utilisation du suivi et de l’information de ses destinataires. Contact de l’éditeur : contact@aidhabitat.fr. Les détails sont également accessibles dans la page Confidentialité de l’extension.

Vérification automatique des bulles (à partir de 0.3.14) : option distincte, nécessitant une autorisation Google gmail.readonly demandée explicitement dans les paramètres. Cette autorisation permet techniquement de lire les messages de la boîte Gmail. L’extension examine en mémoire le contenu HTML des messages SENT, hors brouillons, dans les conversations affichées en liste ou en recherche pour retrouver leur pixel exact. Le contenu ne passe pas par le serveur de suivi et n’est pas enregistré dans l’historique. Aucune pièce jointe n’est téléchargée séparément. Aucun message n’est modifié ou marqué comme lu. La préférence de consentement est conservée localement pour restaurer la session déjà autorisée. Sans consentement, l’association manuelle reste possible. Les statuts connus s’actualisent toutes les 10 secondes lorsque Gmail est visible et apparaissent dans les recherches et autres listes par identifiant exact de conversation et compte.

Protection des propres consultations (0.3.16) : un bouton distinct des paramètres demande facultativement l’accès aux images https://.googleusercontent.com/. L’extension utilise cet accès uniquement pour bloquer les pixels connus dans les onglets Gmail du navigateur. Un script exécuté au démarrage retrouve l’adresse exacte des images du proxy lorsque la requête réseau ne contient plus son adresse originale. Les images ordinaires ne sont pas bloquées. Aucune image ni aucun contenu de mail n’est transmis au serveur de suivi pour cette protection. Un compteur technique de requêtes bloquées est conservé uniquement en mémoire pour la session. Les chargements indépendants des serveurs de messagerie ne peuvent pas être distingués avec certitude ; les anciennes détections ne sont pas supprimées ou réattribuées.