Se você usa o webmail do Duobox, isto é para você: por que as imagens dos seus e-mails agora aparecem sozinhas, sem o botão Mostrar imagens, e o que acontece por trás quando elas carregam.
Um e-mail em HTML quase nunca traz as imagens dentro. Traz endereços: <img src="https://boletim.exemplo.com/logo.png">. Para desenhá-las, alguém precisa buscá-las nesse servidor, que é do remetente.
O problema
Havia dois jeitos de resolver, e os dois estavam errados.
Bloquear e mostrar um botão. Era o que fazíamos: cada e-mail chegava com Imagens ocultas no topo e era preciso clicar em Mostrar. Hoje quase todo o e-mail de uma empresa —notas fiscais, boletins, avisos de um fornecedor— vem com imagens, então o botão era clicado sempre. Uma permissão que se dá sempre não protege nada: só atrapalha.
Carregar direto. O seu navegador pede cada imagem ao servidor do remetente, e nesse pedido conta o seu IP —e com ele mais ou menos onde você está e de qual rede—, qual navegador e qual dispositivo você usa. Se o e-mail ainda usa um endereço diferente para cada destinatário, o remetente sabe que foi você. E se a página não se cuida, o e-mail também carrega folhas de estilo e fontes de fora, que contam a mesma coisa.
O que fizemos
As imagens passam por um proxy nosso. O seu navegador nunca as pede ao remetente: pede a api.duobox.io/img, e o nosso servidor as busca e devolve. Do outro lado chega um pedido de um servidor do Duobox, não seu.
Um proxy aberto serviria para qualquer um usar o nosso servidor como intermediário, então ele tem três cercas:
- Assinatura. Quando você abre um e-mail, a API encontra cada imagem do HTML e assina o endereço com uma chave que só nós temos. O proxy só busca endereços assinados: não serve para pedir outra coisa.
- Só endereços públicos. Uma imagem poderia apontar para um endereço interno —localhost, a rede dos nossos servidores— para o proxy entrar por ele. Cada endereço, e cada redirecionamento que ele seguir, é resolvido e recusado se não for público. Há limite de tempo (10 segundos), de tamanho (8 MB) e de tipo: só imagens, nunca SVG, que pode trazer código.
- A página do e-mail. O e-mail é desenhado num quadro sem scripts, com uma política que só deixa carregar imagens do proxy ou as que vêm dentro do próprio e-mail. Uma imagem escrita de um jeito que não reconhecemos não aparece. Nunca vai direto ao remetente.
As imagens não ficam guardadas do nosso lado: quem as lembra é o seu navegador, por um dia.
O que não muda
O remetente ainda pode saber que você abriu o e-mail e quando: o pedido ao pixel continua acontecendo, mesmo que seja o nosso servidor a fazê-lo. O que ele deixa de saber é onde você está e com o que abriu. Buscar as imagens assim que o e-mail chega, antes de você abrir, esconderia isso também; por enquanto não fazemos.
O que você precisa fazer
Nada. Abra um e-mail com imagens e elas aparecem, sem botão. No app instalado, os e-mails que já estavam guardados são pedidos de novo uma vez para que as imagens passem pelo proxy.