Czy to otwarcie to skaner poczty? Jak odróżnić skan od czytelnika

Jeśli chcesz sprawdzać własne otwarcia, zamiast zgadywać, udostępnij dokument jako śledzony link: zacznij za darmo. Każda sesja pokazuje wtedy, czy przeczytano jakąś stronę i jak długo – a to pierwsza oznaka poniżej.

Dlaczego skaner otwiera Twój link przed odbiorcą? Sprawdza linki przy dostarczeniu

Skaner otwiera Twój link pierwszy, bo sprawdzanie linków to jego praca. Firmowa poczta przechodzi przez warstwę bezpieczeństwa, która sprawdza każdy adres URL w przychodzącej wiadomości pod kątem phishingu i złośliwego oprogramowania. Żeby ocenić stronę, ta warstwa jej żąda, a dla wszystkiego, co liczy żądania, wygląda to jak otwarcie. Microsoft podaje czas w dokumentacji Safe Links, sprawdzania linków w Defender for Office 365:

“As long as Safe Links protection is turned on, URLs are scanned prior to message delivery, regardless of whether the URLs are rewritten or not. If rewriting is enabled, links are scanned on click.”

Wynikają z tego dwa momenty. Pierwsze sprawdzenie następuje, zanim wiadomość dotrze, więc otwarcie może przyjść kilka sekund po wysłaniu, gdy odbiorca jeszcze nie widział e-maila. Drugie następuje, gdy odbiorca kliknie przepisany link, więc sprawdzenie może wystąpić tuż przed prawdziwą wizytą. Mimecast opisuje to samo zadanie na swojej stronie o bezpieczeństwie poczty: ochronę, która “scans every email, attachment and URL” (skanuje każdy e-mail, załącznik i adres URL), z “on-click protection” (ochroną przy kliknięciu) – cytaty w oryginale angielskim. Microsoft cytujemy obszernie, bo jego dokumentacja podaje czas wprost.

Komunikatory mogą dodać trzecie źródło: aplikacja, która pokazuje kartę podglądu wklejonego linku, musi go pobrać, żeby ją zbudować. To nie skaner poczty, ale może zostawić podobny ślad, a lista user agentów w PDFTrackr wymienia kilka usług podglądu linków.

Oznaka 1: żadna strona nie została przeczytana. Najsilniejsza z trzech

Najsilniejsza oznaka to sesja, w której link się otworzył, a żadna strona nigdy nie została zarejestrowana. Skaner żąda linku i ocenia, co wróciło; nie ma powodu siedzieć na trzeciej stronie Twojej oferty. PDFTrackr oznacza sesję, która się otworzyła i nie zapisała żadnej strony, chyba że wizyta zostawiła jeden z trzech śladów: sygnał zamknięcia przeglądarki dokumentu zgłaszający przy wyjściu co najmniej dziesięć sekund, dokument, który skończył się ładować w przeglądarce, albo e-mail wpisany w prośbie o e-mail w linku. Sygnał zamknięcia krótszy niż dziesięć sekund się nie liczy. Bez jednego z tych śladów brak strony wystarczy, by sesja nie trafiła do Twoich liczników.

To też zdecydowanie najczęstszy powód. Spośród 1561 sesji oznaczonych w naszych danych to oznaczenie dotyczyło 1521. Jak duży jest ogólny odsetek oznaczonych sesji i jak dzieli się według domeny e-mail nadawcy, mierzymy na stronie ile otwarć dokumentów to boty lub skanery.

Te trzy ślady zamieniają tę oznakę w słabszą: sesja jest zapisywana, ale nie jest wykluczana na samej tej podstawie. Załadowany dokument pokazuje, że plik dotarł do przeglądarki. Wpisany e-mail pokazuje, że ktoś wypełnił formularz, choć adres może wpisać każdy. Jedna strona pokazana krócej niż sekundę jest podejrzana, ale pasuje też do osoby, która kliknęła przez pomyłkę; ona również jest zapisywana i sama w sobie nie jest traktowana jako automatyczna.

Czego szukać w każdym narzędziu do śledzenia: sesji z otwarciem i niczym więcej. Bez stron, bez czasu. Jeśli Twoje narzędzie raportuje tylko otwarcia, tej oznaki w ogóle nie zobaczysz.

Oznaka 2: user agent odwiedzającego sam się przedstawia. Rzadka i sama w sobie wystarczająca

Każde żądanie przeglądarki niesie user agenta – krótki ciąg znaków mówiący, jakie oprogramowanie je wysłało. Niektórzy automatyczni odwiedzający mówią w nim o sobie, słowami takimi jak bot, crawler, spider, preview, fetch, scan czy headless, albo nazwą usługi podglądu linków. PDFTrackr oznacza sesję, której user agent zawiera jedno z tych słów, i sesję w ogóle bez user agenta – już na tej podstawie.

W naszym okresie user agent wskazujący automatyzację wystąpił w 51 spośród 1561 oznaczonych sesji. Skanera, który przedstawia się jako zwykła przeglądarka, ta oznaka nie wychwyci.

Jedno ograniczenie warto powiedzieć wprost. PDFTrackr nie sprawdza, czy żądanie przyszło z sieci chmurowej lub centrum danych, więc skaner, który renderuje stronę, udając zwykłą przeglądarkę, może uchodzić za osobę. Niektóre narzędzia sprawdzają sieć; jedno z nich opisujemy niżej.

Oznaka 3: otwarcie nastąpiło, zanim ktokolwiek mógł przeczytać e-mail

Otwarcie kilka sekund po wysłaniu, zanim wiadomość dało się realnie przeczytać, wskazuje na sprawdzenie, a nie czytelnika. Podobnie seria pustych otwarć w tej samej minucie. Tę oznakę oceniasz samodzielnie: klasyfikator PDFTrackr nie używa czasu, bo szybki czytelnik i skaner mogą przyjść w tej samej minucie.

Szybkie prawdziwe otwarcia się zdarzają. W naszych danych o czasie otwarć jedna czwarta otwartych linków miała pierwsze prawdziwe otwarcie w ciągu mniej więcej 24 min od utworzenia linku, a sesje z pierwszych 10 minut były już pominięte jako sprawdzanie własnego linku przez nadawcę. Liczby i metoda są w tekście kiedy ludzie otwierają wysłany dokument. Traktuj szybkie otwarcie jako pytanie, a potem sprawdź, czy przeczytano jakąś stronę.

Sprawdzenie przy kliknięciu dodaje jeszcze jeden wzorzec. Odbiorca za Safe Links z włączonym przepisywaniem może wygenerować sprawdzenie i prawdziwą wizytę w odstępie chwil. Krótka pusta sesja, po której następuje sesja z kilkoma przeczytanymi stronami, to właśnie ten wzorzec, a działać warto na podstawie drugiej sesji.

Czego żadna z tych oznak nie potrafi: dowieść, że pojedyncza sesja to osoba

Żadna oznaka ani żadne ich połączenie nie dowodzi, czym była jedna sesja. Każda to sygnał, a nie dowód, a ograniczenia działają w obie strony.

• Brak interakcji obejmuje też ludzi. Ktoś, kto otwiera link i wychodzi, zanim załaduje się pierwsza strona, wygląda dokładnie jak skaner i jest oznaczany tak samo.
• Skaner może wyglądać jak czytelnik. Taki, który renderuje strony z normalnie wyglądającej przeglądarki w sieci, której nie sprawdzamy, uchodzi za osobę.
• E-mail w czasie rzeczywistym może wysłać się przez skaner. E-mail o otwarciu w PDFTrackr Pro wychodzi w chwili otwarcia linku, zanim jest jakiekolwiek czytanie, więc filtruje tylko po user agencie, a skaner udający przeglądarkę nadal może go wywołać.
• Panel podaje liczbę. Pokazuje, ile wyświetleń wykluczono, a nie listę sesji, które się na nią składają.
• Nie oceniliśmy skuteczności klasyfikatora. Publikujemy, co oznaczył, a nie jak często ma rację.

Wytrzymuje zachowanie przy czytaniu. Sesja z kilkoma stronami i prawdziwym czasem na nich to najsilniejsza z tych oznak, że była tam osoba. Czy dany rodzaj linku w ogóle może to raportować, omawia tekst jak sprawdzić, czy ktoś otworzył wysłany link.

Jak inne narzędzia do śledzenia opisują obsługę skanerów? Dwa, które to dokumentują

Przeczytaliśmy strony pomocy dwóch narzędzi do dokumentów, które opisują obsługę skanerów, i cytujemy każde tak, jak napisano. Centrum pomocy HummingDeck, przeczytane 30 paź 2026, mówi: “HummingDeck checks request and network signals for likely automation. Known bot traffic is excluded from standard Analytics, Pipeline, Captured Leads, account metrics, and view notifications. If a likely automated session later produces real in-view interaction, it can be treated as human activity. Bot filtering reduces noise, but it cannot identify every automated request or prove that every remaining session came from an interested person.” (cytat w oryginale angielskim; w skrócie: Centrum pomocy HummingDeck mówi, że sprawdza sygnały żądania i sieci pod kątem prawdopodobnej automatyzacji oraz wyklucza znany ruch botów z Analytics, Pipeline, Captured Leads, metryk konta i powiadomień o wyświetleniach). Jego strona pomocy o aktywności, przeczytana 30 paź 2026, dodaje, że możesz “enable Show bot sessions when you need to investigate a suspicious instant open” (włączyć „Show bot sessions”, gdy chcesz zbadać podejrzane natychmiastowe otwarcie). Żadna z tych stron, tak jak ją przeczytaliśmy, nie wymienia planu, a strona o filtrowaniu nie publikuje odsetka usuniętych sesji.

W samej obsłudze skanerów strony HummingDeck opisują więcej, niż oferujemy my: sprawdzanie sieci, znany ruch botów trzymany z dala od powiadomień o wyświetleniach i odfiltrowane sesje, które można otworzyć. PDFTrackr nie ma warstwy sieciowej, jego e-mail o otwarciu filtruje tylko po user agencie, a panel podaje liczbę wykluczonych wyświetleń.

Centrum pomocy Qwilr, przeczytane 22 paź 2026, mówi o tym ograniczeniu szczerze: “Currently, Qwilr does not support IP address blocklisting. While we monitor these instances, it may not always be possible to suppress these automated triggers.” (cytat w oryginale angielskim; w skrócie: Centrum pomocy Qwilr dokumentuje powiadomienia o wyświetleniach wywołane przez boty i skanery i mówi, że nie zawsze może je wyciszyć). Nie mówi, jakiego odsetka powiadomień to dotyczy.

Kiedy Pro staje się dobrym wyborem

Wszystko powyżej działa w ramach darmowego śledzenia PDF: klasyfikator, wykluczone sesje, czytanie strona po stronie, które odróżnia czytelnika od sprawdzenia. Konta Free dostają otwarcia w dziennym podsumowaniu w dni, w które była aktywność.

Pro zmienia to, kiedy i jak się dowiadujesz. E-mail o otwarciu przychodzi w chwili otwarcia linku, z ograniczeniem dotyczącym user agenta opisanym wyżej. Po zamknięciu wizyty przychodzi raport z czytania, oceniony na podstawie całej sesji, z jednym wierszem na czytelnika: przeczytane strony, spędzony czas, strona, na której się zatrzymał. Sesja oznaczona przez klasyfikator nie dostaje raportu, więc sprawdzenie pod kątem skanera jest zrobione, zanim e-mail do Ciebie dotrze. Przejdź na Pro, gdy wysyłasz do kilku potencjalnych klientów tygodniowo i chcesz mieć strony każdego czytelnika w skrzynce w dniu czytania, zamiast otwierać każdą sesję, żeby zdecydować, czy to był skaner. Zobacz, co obejmuje Pro, albo otwórz panel demo na żywo, żeby zobaczyć sesje strona po stronie na przykładowych danych.

Czytaj dalej: jak działa darmowe śledzenie PDF.