La stessa misura, sei mesi dopo

02

L'archivio

Scritta una sola volta

Il messaggio grezzo, così come lo ha ricevuto il server di ricezione, viene scritto una sola volta e indirizzato tramite l'impronta del suo contenuto. Non viene mai modificato, mai eliminato, e due ricezioni dello stesso byte formano una sola prova. Ogni misurazione si basa su questa prova e su nient'altro: un messaggio ricostruito a posteriori non dimostrerebbe nulla.

Letta, mai riscritta

L'applicazione legge l'archivio, non vi scrive. Il client che vi accede rifiuta ogni scrittura sotto il prefisso del corpus; solo i depositi e gli import vengono scritti, sotto il proprio prefisso, e vengono eliminati insieme all'account che li ha creati. Nessuna pagina pubblica legge l'archivio: le anteprime sono prodotte all'ingestione e servite dal database, affinché la consultazione di un rapporto non decida mai cosa viene letto nello storage.

Ciò che ne esce, e ciò che non ne esce

Misurazioni, estratti di prova e miniature. Mai un messaggio intero. Mai gli indirizzi tramite i quali lo riceviamo: renderli visibili permetterebbe di filtrare su di essi, e quindi di sottrarsi a ogni misurazione. L'archivio è ospitato nell'Unione europea.

03

Gli analizzatori

Una funzione pura

Un analizzatore è una funzione: il messaggio grezzo e un contesto entrano, dei rilievi escono. Non ha stato, non effettua alcuna chiamata, e due passaggi sullo stesso messaggio danno lo stesso risultato, carattere per carattere.

(messaggio grezzo, contesto) → rilievi

Ciò che sa del mondo, e nient'altro

Tutto ciò di cui un analizzatore ha bisogno gli viene passato come parametro, congelato per la durata del passaggio:

• l'istante dell'analisi — iniettato, mai letto dall'orologio;
• i domini del marchio attribuito, vuoti se il messaggio è in quarantena;
• i domini di infrastruttura di invio conosciuti, che distinguono un dominio di misurazione da un dominio di marchio;
• le autorità di autenticazione riconosciute per la casella che ha ricevuto il messaggio;
• le firme delle piattaforme di invio, ricopiate anziché lette dal database;
• un indicatore: questo messaggio è un artefatto della nostra stessa iscrizione?;
• la regola del pixel di tracciamento, pubblicata qui sotto con le sue date.

Né database, né rete, né casualità. È questo contesto che rende la riesecuzione riproducibile: su due macchine, in due date, lo stesso archivio e lo stesso contesto danno gli stessi rilievi.

Ciò che un rilievo porta

Una chiave

pixel.detected, auth.dmarc — mai una frase. L'etichetta si risolve al momento della visualizzazione, per lingua.

Un segnale

Ciò che ha innescato il rilevamento, non solo il fatto che sia avvenuto. Un tracciatore individuato dal suo dominio host non si difende come un tracciatore individuato dalle sue dimensioni.

Una prova

L'estratto del sorgente, testuale, troncato a 400 caratteri e segnalato come tale. È la prova.

Una posizione

Un'intestazione con nome, o una posizione nell'HTML — quanto basta per ritrovare l'estratto nella prova.

Una firma

L'analizzatore, la sua versione, la data del passaggio.

La regola del pixel di tracciamento

Un'immagine è un pixel di tracciamento se vale uno di questi tre segnali; il rilievo dice quale. Un pixel si riconosce dalla sua dimensione, dalla forma del suo indirizzo o dall'host che lo serve — mai dal solo fatto di essere nascosto.

1. La sua dimensione. Una dimensione dichiarata — attributo width o height, o stile in linea — di al massimo 2 px. Dal 04 ottobre 2026.

   Nascosta dal suo stile in linea (display:none, visibility:hidden, width:0, height:0), un'immagine è un pixel solo se il suo indirizzo porta un identificativo del destinatario. Nascosta da una classe o da una regola @media — il passaggio tra mobile e desktop di un'immagine di contenuto —, non lo è, qualunque sia la sua dimensione. Dal 04 ottobre 2026.

   Un identificativo del destinatario è, in un segmento del percorso, un token: almeno 20 caratteri tra lettere, cifre, _ e -, che mescolano maiuscole, minuscole e cifre. In un valore di query, un token, un indirizzo email in chiaro o codificato, o un'impronta esadecimale di almeno 32 caratteri. I parametri utm_… non ne portano mai: sono etichette di campagna. Un valore breve o puramente numerico non identifica nessuno. Dal 04 ottobre 2026.

2. La forma del suo indirizzo. L'indirizzo dell'immagine contiene uno di questi motivi, senza distinzione tra maiuscole e minuscole:

   Motivo	Punto di misurazione	Dal
   /open	—	02 agosto 2026
   open?	—	02 agosto 2026
   /o.gif	—	02 agosto 2026
   /t.gif	—	02 agosto 2026
   /oo.gif	—	02 agosto 2026
   wf/open	—	02 agosto 2026
   beacon	—	02 agosto 2026
   /pixel	—	02 agosto 2026
   pixel.	—	02 agosto 2026
   /track	—	02 agosto 2026
   track?	—	02 agosto 2026
   /imp	—	02 agosto 2026
   impression	—	02 agosto 2026
   /spacer	—	02 agosto 2026
   /blank.gif	—	02 agosto 2026
   /t/o?	Connectif	12 settembre 2026
   ?esid=	Salesforce	12 settembre 2026
   &esid=	Salesforce	12 settembre 2026
   /p.png?	Boursobank	12 settembre 2026
   /tr/op/	Brevo	04 ottobre 2026
   /mk/op/	Brevo	04 ottobre 2026
   email-open	Veepee	04 ottobre 2026
   /probe.	Zalando	04 ottobre 2026

3. L'host che la serve. Un dominio di misurazione noto — quello di una piattaforma di invio, o di un motore che compone l'immagine all'apertura —, distinto dai domini del marchio.

Un motivo si aggiunge con una riga della regola e una voce nel registro dei metodi; l'archivio viene allora riletto con la nuova regola.

Non sapere è uno stato

Una piattaforma di invio assente dalla tabella delle firme non viene accostata alla più simile: è «non identificata», qualificata a mano, e la tabella si arricchisce senza bisogno di un nuovo deployment. Un invio la cui natura non è stabilita non è né campagna né transazionale: riceve la griglia comune, e nient'altro. L'autenticazione non viene mai ricalcolata: il verdetto è quello reso dal server di ricezione all'arrivo, datato per costruzione, letto al livello più alto della catena su un'autorità riconosciuta.

Ciò che è in funzione, in questo momento

26 analizzatori, ciascuno con la propria versione attuale. Un rilievo più vecchio mantiene la propria — è ciò che consente di ricostruire una decisione passata.

04

La riesecuzione

Ogni rilievo porta la propria versione

Modificare un analizzatore ne incrementa la versione. I rilievi prodotti dalla versione precedente restano; quelli nuovi si scrivono accanto. Nulla viene sovrascritto: un rapporto letto ieri si rilegge domani identico, e lo scarto tra due versioni si legge invece di essere indovinato.

Un criterio aggiunto risale nel tempo

Un nuovo analizzatore viene rieseguito su tutto l'archivio. La cronologia di un criterio inizia dal primo documento archiviato, non dal giorno in cui è nata l'idea. È ciò che permette di dire di un marchio cosa faceva a marzo su un criterio scritto a settembre.

Idempotente, ripristinabile

La terna analizzatore, versione, messaggio è unica. Rieseguire due volte lo stesso lotto produce la stessa base dati, e il framework di test lo verifica a ogni modifica. Ogni analizzatore ha i propri file di riferimento: ogni variazione dell'output appare come uno scarto esplicito, riletto prima di essere accettato.

Contestare significa rieseguire

Una cifra contestata si rifà: stessi documenti, stessa versione, stesso contesto. Ripubblichiamo il calcolo e l'estratto che lo dimostra, e correggiamo se l'errore è dalla nostra parte.

05

Quello che non facciamo mai

Ciascuno di questi gesti falserebbe il dato che si sta misurando, o la statistica del marchio che si osserva. Nessuno di essi ha eccezioni all'interno di un analizzatore.

Caricare un'immagine

Una sola richiesta verso il dominio di misurazione di un marchio registra un'apertura. L'anteprima di un messaggio blocca ogni risorsa remota e mostra al suo posto l'host che chiamava.

Seguire un link

Un link tracciato registra un clic e segna un contatto come coinvolto. I link si contano, si classificano, si leggono — non si visitano mai, nemmeno per verificare che rispondano. Un reindirizzamento avvolto si legge nell'URL stessa.

Aprire un allegato

Cosa sia un file si legge nei suoi byte iniziali e nel suo nome, mai aprendolo.

Ricalcolare l'autenticazione

Una verifica rifatta interrogherebbe il DNS di oggi. Il verdetto è quello del server di ricezione, alla data di ricezione.

Interrogare la rete da un analizzatore

L'unica richiesta che il prodotto indirizza verso l'esterno è quella della verifica di un'email sospetta, verso i registri dei nomi di dominio — mai verso il sito del mittente. Vive al di fuori degli analizzatori, ed è datata.

Aggirare un test posto a un visitatore

Un'iscrizione avviene come la farebbe un iscritto. Un modulo protetto da captcha resta fuori portata, ed è un risultato registrato, non una difficoltà da risolvere.

06

Nessun modello linguistico in una misura

Nessuna misurazione pubblicata proviene da un modello linguistico. Un modello non restituisce due volte la stessa risposta: una misurazione che ne dipendesse non potrebbe essere rieseguita, e quindi non si potrebbe difendere il giorno in cui qualcuno la contesta.

Un modello serve a leggere testo, in un livello separato: la natura di un invio quando le intestazioni non bastano, una meccanica promozionale, la formulazione di un consenso. Queste letture sono archiviate come interpretazioni, segnalate come tali nel rapporto e nei dati. Non entrano in nessun punteggio, nessuna classifica, nessun avviso.

E mai su ogni messaggio: prima l'impronta del modello, poi il modello linguistico soltanto su un modello mai incontrato prima, entro un limite giornaliero che si interrompe dichiarandolo.

Cosa cambiano «misurato» e «interpretato» in un rapporto →

07

Come si legge un rapporto

I quattro stati di un criterio

Uno stato descrive ciò che è stato osservato, mai la gravità di ciò che si osserva. Due criteri ugualmente non rispettati portano lo stesso stato, che siano gravi o meno — la gravità si legge nel peso.

Rispettato

Verificato su tutti gli invii in cui il criterio era applicabile.

Rispettato in parte

Verificato su una parte di essi. Il dettaglio indica quali.

Non rispettato

Verificato su nessuno.

Non osservabile

Il criterio non si applicava a nessun invio ricevuto. Esce dal denominatore e non viene mai contato come un fallimento.

Due regimi, un solo metodo

Gli analizzatori producono gli stessi rilievi su tutti i messaggi. Ciò che cambia con la natura dell'invio è il sistema di valutazione: i criteri considerati e il loro peso. Un pixel non pesa allo stesso modo in una promozione e in una conferma d'ordine.

Campagne

La griglia completa, disiscrizione inclusa.

Transazionali

La stessa griglia senza la prospezione commerciale — la disiscrizione qui non è applicabile — e pesi maggiori sul tracciamento.

Natura non stabilita

Solo la griglia comune. Non si inventa un obbligo per un invio di cui non si sa cosa sia.

Il calcolo di una famiglia

Ogni criterio porta un peso, e rende questo peso in proporzione agli invii in cui è rispettato: un criterio da 25 punti rispettato su quattro invii su cinque rende 20 punti. Il punteggio di una famiglia è la somma dei suoi punti sulla somma dei pesi dei suoi criteri applicabili. Un criterio non osservabile non conta né al numeratore né al denominatore; un criterio fuori dalla sua portata nemmeno — viene mostrato come «non applicabile».

Alcuni criteri sono indicatori: rispondono a una domanda — il destinatario riesce ancora a capire? può agire? — tramite più osservazioni che contano allo stesso modo. Gerarchizzarle richiederebbe numeri che nessuna fonte giustifica.

La griglia, famiglia per famiglia

I pesi qui sotto sono letti nel codice che valuta, nel momento in cui leggete questa pagina. Una riga «non applicabile» esce dal denominatore; una riga contrassegnata come bonus non vi entra mai.

«Condizionato»: una delle osservazioni dell'indicatore viene misurata solo in presenza di un'altra — non si rimprovera l'assenza di un'impostazione di tracciamento a un messaggio che non traccia nessuno.

I bonus

Un bonus è un peso che entra al numeratore quando è acquisito, mai al denominatore: non averlo non costa nulla, averlo rende. La regola che decide: non rispettare una misurazione costituisce una mancanza? Se sì, è un criterio. Se no, ma rispettarla richiede un lavoro osservabile, è un bonus.

Ne esistono solo in Tecnico et Esperienza — mai in conformità, la famiglia che si designa dicendo «ecco ciò che potrebbe esservi contestato», né in recapitabilità, i cui criteri sono verdetti presi in prestito dal server di ricezione. Il punteggio resta comunque limitato a 100.

Il punteggio globale di un marchio

Il punteggio globale è la media delle famiglie, ponderata in base al loro peso. Ciò che il marchio rischia di vedersi contestare pesa di più; nessuno è mai stato messo in mora per un DOM profondo.

Conformità

35

Recapitabilità

30

Tecnico

15

Esperienza

20

Si legge su tre livelli — alto a partire da 80, medio a partire da 55 — senza aggettivi: «buono» o «scarso» non aggiungerebbero nulla al numero e lo avvicinerebbero a un giudizio. Un rilievo squalificante resta visualizzato indipendentemente dal punteggio: il punteggio non assorbe mai l'avviso.

La lettera di un invio

Il rapporto di un invio caricato porta una lettera. Non fa una media: pesa lo scarto di ogni famiglia da 100, elevato alla potenza 1,5, poi torna a un punteggio. Una famiglia crollata costa più di due famiglie tiepide, e ogni correzione fa salire la lettera — la media diluiva un crollo, la famiglia peggiore non si muoveva quando si sistemava il resto.

note = 100 − ( Σ poids × (100 − famille)^1,5 / Σ poids )^(1/1,5)

A

a partire da 90

B

a partire da 80

C

a partire da 70

D

a partire da 60

E

a partire da 50

F

al di sotto

Un livello di rischio accompagna la lettera. Viene deciso in primo luogo dal più pesante dei criteri mancati — 25 punti o più lo rende critico, 15 o superiore lo rende elevato — poi dal punteggio globale, che può solo aggravarlo. Nessun livello porta un aggettivo rassicurante, e nessuno dice «sano».

Le soglie, e da dove vengono

La maggior parte dei criteri si basa su un documento pubblico — una RFC, una specifica del W3C o del WHATWG, una tabella di compatibilità. Ogni pagina di rapporto cita queste fonti sotto il criterio interessato, e noi le rileggiamo: una fonte che non risponde più scompare dalla pagina invece di restarvi morta.

Alcune soglie non hanno nessuna fonte di prima mano. Le assumiamo come scelte piuttosto che inventarne una, e sono lette qui nel codice che le applica:

• Il troncamento Gmail a 102 KB. Un comportamento osservato, che Google non documenta da nessuna parte e che nessuna tabella di compatibilità copre.
• Tabelle di impaginazione, al massimo 6 annidate. Nessuna specifica fissa il limite; i riferimenti sul rendering delle email ne consigliano da quattro a sei, e adottiamo il valore alto. La profondità del documento non viene più valutata: si legge nel rapporto, senza soglia.
• Almeno 200 caratteri leggibili senza le immagini. Questa soglia individua l'invio quasi interamente costituito da immagini; non è il confine della comprensibilità.
• L'esistenza di un percorso non tracciato verso il sito. Nessuno standard lo richiede. Un messaggio i cui link passano tutti per un tracciatore non lascia alcun modo di consultare il marchio senza essere misurati.
• La disiscrizione non tracciata. Stessa ragione, sul link che conta di più: esercitare la propria opposizione senza essere misurati un'ultima volta.

Queste soglie sono discutibili, ed è per questo che vengono nominate qui invece di essere confuse con le altre.

08

Le versioni

Ogni numero di questa pagina ha una versione, e ogni risultato archiviato porta la propria. Un punteggio prodotto con una versione precedente non viene mai riscritto: si ricalcola con la nuova, accanto, e lo scarto si legge.

Registro dei metodi

Ogni cambiamento di metodo che sposta constatazioni pubblicate, datato dal passaggio che lo applica all'archivio. Una voce non si riscrive: una correzione è una voce nuova.

1. 17 ottobre 2026

   La conferma dell'iscrizione si legge sulle nostre iscrizioni

   Un analizzatore legge ora, nella posta che segue ciascuna delle nostre iscrizioni, se il marchio chiede di confermare l'iscrizione: un link di conferma, un pulsante che lo chiede o un oggetto che il corpo del messaggio conferma. Legge ventitré lingue. Un'attivazione dell'account non è una richiesta.

   Un marchio conta una volta. Chiede una conferma se una delle sue iscrizioni ne ha ricevuta una; non la chiede se è arrivata una campagna senza richiesta prima. Un'iscrizione rimasta senza risposta, o che ha ricevuto solo messaggi di servizio, non conclude nulla ed esce dalla base.

   Nessuna norma francese impone questa conferma: la misurazione descrive una pratica. Rieseguita il 17 ottobre 2026 su tutto l'archivio, dà 46 marchi su 241 sul mercato francese, che l'osservatorio pubblica con la loro base.

2. 17 ottobre 2026

   Il pixel di tracciamento si legge sulle ultime tre campagne

   Il criterio «Nessun pixel di tracciamento delle aperture» si legge ora sulle ultime tre campagne ricevute da un marchio, e non più su tutte. Un marchio che rimuove il suo pixel lo vede nel suo punteggio entro i tre invii successivi; un marchio che lo aggiunge, anche.

   Gli altri criteri si leggono sempre su tutti gli invii ricevuti. La pagina nomina la finestra, «sulle ultime 3 campagne», non appena esclude un invio più vecchio, e la sua intestazione dice quando il nostro indirizzo è entrato nella base del marchio.

   Nessun peso cambia. I punteggi calcolati con la ponderazione 12 restano in base, accanto a quelli della ponderazione 13.

3. 04 ottobre 2026

   La regola del pixel di tracciamento: la dimensione, non l'occultamento

   Un pixel di tracciamento si riconosce ora dalla sua dimensione, non dal suo occultamento. Un'immagine è un pixel se vale uno di tre segnali: una dimensione dichiarata di al massimo 2 px, uno dei motivi di apertura pubblicati o un host di misurazione noto, distinto da quelli del marchio.

   Un'immagine nascosta dal suo stile in linea è un pixel solo se il suo indirizzo porta un identificativo del destinatario. Nascosta da una classe o da una regola @media, come le immagini di contenuto che cambiano tra mobile e desktop, non lo è, qualunque sia la sua dimensione.

   Entrano quattro motivi di apertura: /tr/op/ e /mk/op/ (Brevo), email-open (Veepee), /probe. (Zalando).

   Sette invii non contano più un pixel: cinque campagne di Amazon, dal 30 luglio al 5 settembre 2026, e due invii di Shopify, del 6 giugno e del 6 luglio 2026. L'unico segnale che li indicava era un'immagine di contenuto nascosta.

   Trenta invii ne contano ora uno, che la dimensione di 2 px faceva passare inosservato: Niche Beauty (diciannove), Miliboo (sei), Loberon (due), Tennis-Point, Höffner e Sconto (uno ciascuno).

   Le pagine dei marchi e dei loro invii seguono la misurazione dal nuovo passaggio. Un rapporto di audit già emesso su un'email depositata conserva le constatazioni e il voto della sua esecuzione.

   La regola completa

09

Gli altri strumenti, stessa esigenza

La verifica di un'email sospetta

Misura ciò che un messaggio dice di sé stesso, mai ciò che è. Ogni rilievo ha un peso; la loro somma è un indice, letto su tre livelli, e la soglia minima non rilascia alcuna assoluzione:

faisceau

a partire da 35

isole

a partire da 1

aucun

a 0

La soglia alta è inferiore al peso del rilievo più pesante: uno scarto solo può bastare. L'unica richiesta in uscita va ai registri dei nomi di dominio, mai al sito del mittente, e l'assenza di risposta è uno stato nominato, non una casella vuota.

Verificare un'email sospetta →

La diagnosi del pixel di tracciamento

Un sistema di punteggio, calcolato lato server — senza base dati, senza orologio, senza rete — e versionato. Qualifica prima di assegnare un punteggio: una condizione determinante è portata da un rilievo, visibile qualunque sia il punteggio. Gli assi non applicabili escono dal denominatore, e il punteggio è una misura di maturità, mai una qualificazione.

La regola della CNIL, e la diagnosi →