願わくは、言葉のみ息づかん

メールを開く体験は、一枚の紙を広げるようであってもよいはずです。言葉が先にあり、その周りに余白がある。ところが、多くのニュースレターは小さなウェブページとして作られています。リモート画像、追跡ピクセル、リダイレクトを含み、送信者のサーバーから画像を読み込んで初めて完成したように見えます。読み込みを止めると、文章まで崩れてしまうことがあります。灰色の空白、壊れた表組み、宙に浮いたボタンが残ります。

Safe Reader が扱うのはプライバシーだけではありません。最後まで読めること、落ち着いて目を置けることも大切です。リモート画像を初期設定で遮断しても、メールを読みにくい残骸にしてはいけません。言葉をもう一度読みやすい紙面へ戻す。それが「願わくは、言葉のみ息づかん」という題に込めた考えです。

開いたとき、誰が話しているか

リスクは文章ではなく、ネットワーク通信にあることが少なくありません。リモート画像を一枚読み込むだけで開封を伝えられ、追跡ピクセルも実体は小さな <img> です。次のデモは実際の追跡サーバーへ接続せず、読み込む場合と遮断する場合のログの違いだけを再現します。

Orvia は初期設定でリモート画像を遮断します。ユーザーが許可するまで、リモートの http(s) 画像ホストへリクエストを送りません。次の課題は、遮断後も読みやすい紙面を保つことです。

「なお読める」ために試した道

Safe Reader の形が決まるまで、一般的な方法をいくつも検討しました。しかし、どの方法も一方の問題を解決する代わりに、読む体験の別の部分を損ないます。

リモート画像を常に読み込む。 キャンペーンの見た目は最も忠実に再現できますが、開封追跡も最も働きやすくなります。

遮断だけ行い、元の HTML を表示する。 プライバシーは守れますが、レイアウトが崩れます。文章が HTML 内に残っていても、読みやすいとは限りません。

プレーンテキストへ変換する。 安全で簡潔ですが、見出し、リスト、引用の階層が失われ、長いメールは文字の壁になります。

すべての画像を Orvia のプロキシ経由で読み込む。 IP アドレスを隠せても、信頼がクラウド側へ集中し、遅延も増えます。文字そのものが画像に埋め込まれたデザインは直せません。読みやすく整えるためだけに、メール本文をクラウドへ渡すべきではないと考えました。

目指した初期設定は次のとおりです。プライバシー処理は Mac 上で行う。文章の構造は残す。リモート画像は明示的な操作で読み込む。読みやすさのために追跡を受け入れる必要はない。

メールを開いたときの処理

Safe Reader は、メールを開いたときに Mac 上でサニタイズ、リモート画像の保留、再レイアウトを行います。リモート画像を復元するのは、ユーザーが明示的に読み込んだ場合だけです。

初期設定ではリモート画像を読み込みません。遮断後は、Safe Reader で整えた表示と、サニタイズ済みの元の HTML 表示を選べます。送信者を信頼できる場合は、その時点でリモート画像を読み込めます。

三つの紙面

同じ架空のニュースレターを三つの表示で比べます。第三者のホストには接続しません。「リモート」表示は、装飾と文章のバランスがどう変わるかを確認するためのシミュレーションです。

美しく読むために、技術でやったこと

遮断は入口にすぎません。言葉を読みやすく保つには、サニタイズのあとにも表示を整える必要があります。

安全が先、組版はあと

受信した HTML は Mac 上で SwiftSoup を使ってサニタイズします。スクリプトや埋め込み要素、on* イベントを除去し、リンクを検査し直し、リモート画像の src / srcset を空にして元の URL を data-orvia-remote に退避します。cid: 画像は前段で data URI に変換されるため、署名や実際の添付画像は表示できます。さらに厳格な CSP を適用します。DOM のサニタイズと CSP は二重の安全策です。メールを開く操作が、見えない通信の許可になってはいけません。

再レイアウト：残骸から読み物へ

リモート画像を遮断しただけのマーケティング HTML には、表組みや絶対配置の崩れ、灰色の空白が残り、読む流れを妨げます。Safe Reader は残った内容を見出し、本文、リストとしてまとめ、Orvia の読書用タイポグラフィで描き直します。

• 行の長さ：幅が広すぎるキャンペーン表示や、細かく分断された列を避けます。
• 文字サイズと行間：販促用の強弱ではなく、長い文章を読み続けやすい値に整えます。
• 余白：段落の周囲に十分な余白を置き、落ち着いて読める紙面を作ります。
• ノイズを抑える：ティッカー、タグの集まり、壊れた画像枠、極小のフッターを弱め、文章へ注意を戻します。
• 構造を保つ：単純なプレーンテキストにはせず、見出し、リスト、引用、コードの意味と階層を残します。
• Mac 上で完結：表示を整えるためだけにメール本文をクラウドへ送りません。

サニタイズ済みの元 HTML と Safe Reader は、同じリモート画像遮断の仕組みを共有する二つの表示方法です。

消さず、保持する

元の URL は data-orvia-remote に保持します。リモート画像を読み込むときは URL を復元するため、メール本文をもう一度取得する必要はありません。画像向けの CSP を緩めるのも、その操作のあとだけです。

絵に焼いた意味には正直で

意味がリモート画像にしか含まれていない場合、遮断後の表示は不完全になります。その事実を隠し、完全さとプライバシーを同時に装うより、読める文章を丁寧に整え、画像を読み込むかどうかはユーザーの選択に委ねます。

有効性を測る：プライバシーと読みやすさ

• ネットワーク：遮断時、画像ホストへのリクエストは 0。
• 状態がわかる：遮断した画像を数え、「リモート画像 N 枚」と明確に表示できる。
• 復元：URL を戻してから CSP を緩める。
• 失敗時は安全側に倒す：解析に失敗した場合、危険な可能性がある元の HTML をそのまま表示しない。
• 読める：実際のニュースレターで、ヒーロー画像がなくても要点を理解できるか。情報の階層が残っているか。壊れた表組みより最後まで読みやすいか。
• 設定できる：リモート画像を初期設定で読み込むか、遮断時に Safe Reader を使うかを選べる。

結び

Safe Reader が守る約束は二つあります。メールを開くことが開封追跡への同意にならないこと。そして、開いたあとも文章を読みやすい紙面で表示することです。サニタイズ、CSP、URL の保持、再レイアウトによって、初期状態をウェブページよりも手紙を読む感覚へ近づけます。

キャンペーン本来の表示が必要な場合は、内容を確認してからリモート画像を読み込めます。詳しいデータの扱いは プライバシーポリシー、製品上の機能は 安全 をご覧ください。