¿Alguna vez has tenido la sensación de que alguien te observa incluso dentro de tu propio correo electrónico? No es imaginación: gran parte de los emails que recibes incluye rastreadores invisibles que registran cuándo los abres, desde qué dispositivo, dónde estás e incluso cuántas veces vuelves a consultarlos. Todo sin que veas nada raro en pantalla y, por supuesto, sin que nadie te pida permiso de forma clara.
Ese rastreo se basa sobre todo en pequeños rastreadores píxeles y enlaces especiales incrustados en los mensajes. La buena noticia es que puedes ponerles freno con unos cuantos ajustes y, sobre todo, aprovechando DNS locales que bloquean esos dominios de seguimiento antes siquiera de que tu equipo o tu móvil se conecten a ellos. Vamos a verlo paso a paso, con calma, y sin necesidad de ser administrador de sistemas.
¿Qué son los rastreadores de correo y por qué son tan invasivos?
Cuando abres un correo HTML aparentemente inocente, tu cliente de email (Gmail, Outlook, Apple Mail, etc.) empieza a descargar recursos externos: imágenes, iconos, logotipos… y en medio de ese contenido se cuela una imagen minúscula de 1×1 píxel o incluso de tamaño 0×0 totalmente transparente. Esa “no-imagen” se solicita a un servidor remoto, y ahí es donde empieza la fiesta para el que te rastrea.
En el momento en que se descarga el píxel, el servidor del remitente o de la plataforma de marketing registra la fecha y hora exactas de apertura, tu dirección IP, el tipo de dispositivo, sistema operativo, cliente de correo y hasta la resolución de pantalla. Como la URL del píxel suele ser única para cada destinatario, el sistema sabe perfectamente qué persona concreta ha abierto ese mensaje.
Además de los píxeles, muchos correos incluyen enlaces de rastreo con parámetros UTM u otros identificadores. Aunque tengas bloqueadas las imágenes, en cuanto haces clic en un enlace de la newsletter, un banner en la firma o un botón de “ver oferta”, pasas primero por un servidor intermedio que anota tu clic, tu IP, tu navegador y la página a la que vas después. Todo ello se suma a tu perfil de comportamiento.
Con estas dos piezas —píxel y enlace— las empresas pueden reconstruir tu patrón de uso del correo: horario de lectura, frecuencia de respuesta, dispositivos usados, lugares desde los que te conectas e incluso cuánto tardas en reaccionar a determinados mensajes. No hablamos solo de campañas de marketing masivo: muchas firmas corporativas incluyen ya este tipo de seguimiento sin que los destinatarios (ni a veces los propios empleados) lo sepan.
Código, balizas web y qué datos se recogen realmente
En la práctica, el rastreo por email funciona gracias a balizas web (web beacons) implementadas como imágenes o pequeños scripts. En páginas web suele usarse JavaScript para ir más allá de un simple píxel, pero en el correo electrónico la mayor parte del juego se la llevan esas imágenes diminutas, precisamente porque los clientes de correo bloquean el código activo casi siempre.
Cada vez que se descarga el píxel, el servidor registra una entrada que suele incluir la URL única asociada a tu dirección de email, la IP de origen, el user-agent (navegador/cliente) y la referencia del correo o campaña. Si la empresa combina ese evento con cookies del navegador o identificadores publicitarios, puede vincular lo que haces en la web con lo que haces en el correo.
De ahí sale todo tipo de inferencias: cuándo trabajas, desde qué ciudad o país te conectas habitualmente, si viajas con frecuencia, si usas más el móvil o el ordenador, qué temas te interesan, con qué marcas interactúas más o cuánto tiempo te quedas leyendo un mensaje antes de actuar. En el entorno corporativo, estas métricas se usan también para evaluar el “rendimiento” comercial de empleados a través de sus firmas.
De la analítica al delito: uso comercial y criminal de los rastreadores
No solo el marketing legítimo se aprovecha de estos mecanismos. Los ciberdelincuentes integran píxeles en campañas de phishing y correos de reconocimiento para saber qué direcciones están activas, cuándo se revisa el correo y qué dispositivos hay al otro lado.
Con esta información pueden programar ataques de spear phishing o compromiso de correo corporativo (BEC) en los momentos en que la víctima suele estar desconectada o baja de guardia, o centrar sus esfuerzos en las cuentas que más interactúan con ciertos tipos de mensajes. Además, la infraestructura de rastreo —servidores, bases de datos, paneles de analítica— puede filtrarse igual que cualquier otro sistema.
Cuando se produce una brecha en un proveedor de email marketing o automatización (Mailchimp, Klaviyo, ActiveCampaign y compañía ya han tenido incidentes), no solo se exponen listas de correos, sino también historiales de interacción: quién hizo clic en qué, cuándo y desde dónde. Ese tipo de datos es oro para campañas de fraude muy afinadas, por ejemplo dirigidas a gente interesada en criptomonedas, inversiones o determinados servicios.
Limitaciones legales y problema del consentimiento
A nivel normativo, la cosa está a medio cocinar. En la Unión Europea, el RGPD considera que el rastreo mediante píxeles en emails es tratamiento de datos personales, y por tanto exige consentimiento claro, información transparente, minimización de datos y plazos de conservación razonables.
Sobre el papel, las empresas deberían explicar de forma accesible qué rastrean, para qué y cómo puedes negarte, además de documentar ese consentimiento y permitir revocarlo fácilmente. En la práctica, lo habitual es que la mención al rastreo quede enterrada en un párrafo perdido de una política de privacidad interminable que nadie lee, o se dé por supuesto el consentimiento porque te suscribiste a algo hace años.
En Estados Unidos el panorama es más fragmentado. Leyes estatales como la CCPA en California dan cierto control al usuario sobre qué datos se recopilan y cómo se venden, y la FTC ya ha multado a empresas del sector salud por el uso de píxeles sin la debida información. Pero, en el día a día, sigue siendo complicado para un usuario medio reclamar y conseguir que se dejen de usar estos rastreadores contra su voluntad.
¿Cómo responden los principales clientes de correo?
Ante la preocupación creciente, algunos clientes y servicios de correo han empezado a plantar cara. Apple Mail incorporó la Mail Privacy Protection, que actúa como un proxy y precarga el contenido remoto desde servidores de Apple, de manera que el remitente ve una IP genérica y aperturas “falsas” que desvirtúan sus estadísticas.
Gmail, por su parte, sirve la mayoría de las imágenes a través de sus propios servidores. Eso evita que el remitente vea tu IP real, pero el sistema no deja de registrar que el mensaje se ha abierto, así que el seguimiento sigue siendo útil para el que envía campañas, aunque algo menos preciso en localización.
Outlook adopta un enfoque algo más tosco: bloquea la descarga de imágenes externas por defecto y te muestra un aviso para cargarlas manualmente. Mientras no pulses el botón de “mostrar imágenes”, el píxel no se descarga y el rastreador no se dispara. Eso sí, en cuanto decides ver el correo completo, ofreces toda la información habitual.
Frente a ellos, han ganado terreno proveedores orientados a la privacidad como Proton Mail, Tuta o StartMail, que bloquean por defecto el contenido remoto, eliminan píxeles conocidos y limpian los parámetros de rastreo en los enlaces. Muchos actúan además como proxy de imágenes para evitar que tu IP real llegue a los servidores de terceros.
Capa básica: desactiva la carga automática de imágenes
El primer cortafuegos contra los píxeles de seguimiento es muy simple: impedir que las imágenes externas se carguen solas en tus correos. Como la mayoría de rastreadores se implementan como imágenes 1×1, bloquearlas corta una buena parte del espionaje de raíz.
En Gmail puedes ir a la configuración general y cambiar la opción de imágenes a “Preguntar antes de mostrar imágenes externas”, con lo que cada mensaje HTML se mostrará sin gráficos hasta que tú lo autorices. En Outlook hay opciones similares en el Centro de confianza para evitar la descarga automática, y Apple Mail permite desactivar la carga de contenido remoto o activar la protección de privacidad del correo para que el tracking pierda precisión.
¿Pegas? Algunos boletines se verán más feos o menos legibles hasta que pulses el botón de cargar imágenes. A cambio, nadie se lleva datos sobre tus aperturas sin que tú lo decidas. Si necesitas un nivel extremo de protección, puedes incluso configurar tu cliente para ver todo en texto plano, renunciando al HTML; es incómodo, pero elimina de golpe píxeles, scripts y gran parte del seguimiento basado en enlaces embebidos en imágenes.
Extensiones y complementos anti‑tracking en el navegador
Si revisas el correo desde el navegador, tienes otra carta a tu favor: extensiones que detectan y bloquean rastreadores específicos de email y elegir navegadores más seguros ayuda también. Algunas, como Ugly Email o PixelBlock, marcan los mensajes de Gmail que llevan rastreadores píxeles e impiden que se carguen, mostrando un icono de ojo o de alerta junto al asunto.
Otras, tipo Trocker, funcionan en varios servicios (Gmail, Outlook, Yahoo…) y no solo bloquean píxeles, sino que también señalan enlaces rastreadores, mostrando dónde se esconden en el cuerpo del mensaje. Luego están los clásicos bloqueadores de contenidos, como uBlock Origin, que gracias a sus listas de filtros pueden impedir llamadas a dominios de analítica conocidos también en el contexto del webmail.
Eso sí, aquí hay que ir con cuidado: cualquier extensión que pidas que analice tu bandeja de entrada tiene acceso muy sensible a tu correo. Es fundamental instalar solo complementos de fuentes oficiales (Chrome Web Store, AMO de Firefox, etc.), revisar opiniones, código (si es software libre) y permisos solicitados, y no acumular extensiones innecesarias.
Proveedores de correo y clientes centrados en privacidad
Si de verdad te preocupa el rastreo, conviene plantearse algo más que parches: migrar parte de tu actividad de correo a servicios que han sido diseñados desde el principio para minimizar la huella. Proton Mail, Tuta o StartMail bloquean automáticamente muchos rastreadores, ofrecen cifrado de extremo a extremo y suelen estar radicados en países con leyes de privacidad más estrictas.
En combinación con estos proveedores puedes usar clientes de correo de escritorio que refuercen esa filosofía. Clientes que almacenan los datos localmente y no añaden su propia capa de analítica o nube propietaria reducen la superficie de ataque y la exposición a terceros. La idea es que ni siquiera el proveedor tenga capacidad técnica de colaborar alegremente con la vigilancia comercial, porque carece de acceso al contenido y a buena parte de los metadatos.
Alias de correo y cuentas desechables para reducir exposición
Otra pieza muy útil del puzle es aprender a separar identidades usando alias de correo electrónico o direcciones alternativas. En vez de entregar tu email principal en cada registro, newsletter o tienda online, puedes utilizar alias generados por servicios como SimpleLogin, Proton Pass u otros gestores similares.
Estos alias actúan como intermediarios: los mensajes se reenvían a tu bandeja real, pero por el camino se pueden filtrar rastreadores y, sobre todo, no expones tu dirección principal. Si un alias empieza a recibir spam, phishing o campañas con rastreadores a mansalva, lo desactivas y listo. Además, te permite detectar qué servicio ha vendido o filtrado tus datos.
Para usos más puntuales —pruebas gratuitas, registros en webs que no te dan buena espina, descargas rápidas— puedes recurrir a correos temporales o desechables. Así mantienes tu buzón habitual bastante más limpio de boletines innecesarios y reduces la cantidad de correos rastreados que realmente te afectan.
Bloqueo a nivel de red: aprovechar DNS locales filtrantes
Hasta aquí hemos hablado de defensa en el lado del cliente (aplicaciones, extensiones, ajustes del propio correo). Pero hay una capa muy potente que mucha gente pasa por alto: el bloqueo de dominios de rastreo usando DNS locales filtrantes en tu sistema o en el router de casa.
Cuando tu cliente de correo intenta cargar un píxel o resolver una URL de rastreo, lo primero que hace es preguntar al sistema DNS qué IP corresponde a ese dominio (por ejemplo, algo tipo track.ejemplo‑email.com). Si en lugar de usar los DNS del operador o de Google apuntas tus dispositivos —por ejemplo activando el modo DNS privado en Android— a un servidor DNS que filtre dominios de publicidad, analítica y tracking, muchas de esas peticiones se quedarán directamente en el camino.
Servicios de DNS filtrantes (algunos integrados en soluciones de seguridad o en VPNs, otros desplegables en tu propia red como Pi‑hole, AdGuard Home y similares) funcionan manteniendo listas de dominios conocidos por hospedar balizas, píxeles, scripts de seguimiento, redes de anuncios e incluso malware. Cada vez que tu equipo intenta resolver uno de esos dominios, el DNS devuelve una respuesta vacía o falsa, de modo que el recurso nunca se llega a descargar.
La ventaja de este enfoque es que protege a todos los dispositivos que salgan a internet a través de ese DNS: ordenadores, móviles, tablets, Smart TV, apps de correo, webmail en el navegador e incluso aplicaciones móviles que integren rastreadores. Es un blindaje global: aunque un cliente de correo no tenga opción de bloquear imágenes, el DNS le impide contactar con el servidor de tracking.
Configurar DNS locales bloqueadores de rastreadores
Para usar este enfoque tienes dos caminos: apuntar tus dispositivos a un DNS público con listas de bloqueo integradas o montar tu propio servidor DNS filtrante en la red local (por ejemplo, en una Raspberry Pi o en un pequeño servidor doméstico).
En el primer escenario, solo tienes que ir a los ajustes de red de tu sistema operativo o de tu router y cambiar los servidores DNS por los de un proveedor que ofrezca protección contra rastreadores. Muchos servicios de VPN incluyen un DNS seguro de este tipo, de modo que cuando activas la VPN también obtienes bloqueo de publicidad y rastreo. El navegador ni se entera, simplemente las llamadas a ciertos dominios dejan de resolverse.
Si prefieres llevar el control al máximo, puedes desplegar soluciones como Pi‑hole o AdGuard Home en tu red. Estas herramientas actúan como resolver DNS local, descargan listas de bloqueo, permiten añadir dominios a mano y muestran estadísticas de qué se está bloqueando. Basta con configurar el router para que entregue la IP de ese servidor local como DNS principal a todos los equipos de casa.
Desde el punto de vista de los píxeles de correo, el efecto es demoledor: cuando el cliente intenta descargar la imagen de rastreo desde el dominio de la plataforma de email marketing, la consulta DNS cae en un agujero negro, no hay IP válida y el píxel no se carga. El remitente nunca recibe el evento de apertura, aunque hayas habilitado imágenes en el cliente.
VPN y DNS: combinación para ocultar IP y cortar balizas
Una capa adicional que puedes sumar a todo lo anterior es el uso de una VPN de confianza que ofrezca tanto cifrado de tráfico como bloqueo de rastreadores a nivel de DNS. Al conectarte a través de la VPN, tu IP pública pasa a ser la del servidor VPN, no la de tu conexión doméstica o móvil.
Con eso consigues que, incluso si algún rastreador logra cargarse (porque usa un dominio no incluido en las listas de bloqueo, por ejemplo), la información de IP y ubicación que recibe el remitente no te identifique directamente. En paralelo, muchos servicios de VPN añaden una capa tipo “NetShield” que funciona igual que un Pi‑hole, pero gestionado por el proveedor, bloqueando dominios de publicidad y tracking tanto en navegación como en correo.
Conviene tener claro, aun así, que la VPN no es una solución mágica que desactiva todos los rastreadores de correo. El píxel puede seguir registrando aperturas —aunque con una IP genérica— y los enlaces de seguimiento seguirán anotando clics. Por eso la VPN debe verse como pieza complementaria a bloqueos en el cliente de email, extensiones y DNS filtrantes.
Buenas prácticas personales: hábitos que reducen el rastreo
Ninguna herramienta sustituye al sentido común ni a revisar los ajustes de privacidad de tu móvil. Una parte muy importante de la protección frente a rastreadores píxeles consiste en cambiar algunos hábitos con el correo. El primero, bastante obvio: no abrir a la ligera mensajes de remitentes que no conoces o que huelen raro, sobre todo si se trata de envíos masivos o promociones que no recuerdas haber solicitado.
Muchos clientes y servicios ofrecen vistas previas o pestañas específicas para promociones y notificaciones que permiten revisar el asunto y parte del contenido sin cargar imágenes ni activar rastreadores. Si algo te genera dudas, mejor mandarlo directamente a spam o papelera. Y si tu bandeja está llena de newsletters que ya no lees, dedicar unos minutos a darte de baja de las que sobran reduce de golpe la superficie disponible para que te rastreen.
Si compartes dispositivos o cuentas con familiares, amigos o compañeros, es importante explicar qué medidas se han tomado (bloqueo de imágenes, extensiones, DNS filtrantes) y qué tipo de correos no deberían abrir ni reenviar alegremente. De poco sirve que tú seas cuidadoso si luego otra persona hace clic en cualquier cosa que llega al buzón compartido.
Riesgos de seguridad añadidos: phishing mejorado y huella digital
Más allá de la privacidad, los rastreadores de correo abren la puerta a riesgos de seguridad serios. Hemos comentado cómo los atacantes usan píxeles para validar direcciones y horarios, pero hay más. Con los datos de dispositivo, versión de sistema, cliente de correo y navegador, un atacante puede afinar exploits y campañas de malware para tu entorno concreto.
Si además se combina la información de correo con cookies y huella digital del navegador, es posible seguir tu actividad entre dispositivos, vincular correos a historiales de navegación y correlacionar acciones online y offline. Esa huella digital persistente hace muy difícil “desaparecer” aunque cambies de dirección de email o borres cookies, porque los sistemas de tracking se basan en características casi únicas de tu hardware y software.
Perspectivas de futuro y presión del mercado
Todo apunta a que esta batalla va a ir a más. Por un lado, los reguladores están endureciendo el tono ante el uso opaco de píxeles y balizas en sectores sensibles como salud o finanzas, y ya hemos visto multas importantes a empresas que compartían datos de pacientes con plataformas publicitarias mediante estos mecanismos.
Por otro, cada vez más usuarios valoran la privacidad como un criterio decisivo al elegir servicios digitales. Proveedores de correo, VPNs, navegadores y hasta clientes de email de escritorio se han dado cuenta y utilizan la protección anti‑tracking como argumento comercial. Es probable que veamos más funciones de bloqueo integradas de serie, sin tener que recurrir a extensiones externas.
En paralelo, van madurando soluciones técnicas más avanzadas: detección de rastreadores impulsada por inteligencia artificial, protocolos de correo más descentralizados, cifrado que proteja mejor también los metadatos y almacenes de datos bajo control del usuario. Nada de esto va a desaparecer el marketing por email, pero sí puede recortar el margen de maniobra de la vigilancia silenciosa.
Teniendo todo esto en cuenta, resulta claro que la mejor defensa frente a los píxeles invisibles y demás rastreadores de correo pasa por combinar varias capas: ajustes de cliente (bloqueo de imágenes, texto plano cuando haga falta), extensiones bien elegidas, proveedores y alias centrados en la privacidad, uso inteligente de VPN y, muy especialmente, DNS locales filtrantes que corten de raíz el acceso a dominios de tracking.
Con estas piezas encajadas y unos hábitos un poco más prudentes, leer el correo vuelve a parecerse a lo que debería haber sido siempre: una actividad privada, sin cronómetros ni ojos curiosos observando cada clic por el rabillo del ojo. Comparte esta guía y otros usuarios sabrán del tema.