JS-Code in E-Mail ausführen…

[cumulonimbus8]

…dürfte absolut verboten sein, korrekt? Aus Sicherheitsgründen.

Moin.

Von mir stammt das nicht, aber man will erreichen per Skript in einer (eingegangenen) Mail (beim Empfänger) eine darin 1x ›versteckt‹ untergebrachte ID per Skript zur Identifikation innerhalb angebotener Links einzusetzen. JS reagiert auf Klick und klöppelt einen Link zusammen der bestimmte Informationen neben jener ID übergibt.
Optimal könnte diese ID auch einem Betreff entnommen werden…

Ich gehe davon aus, dass dies unmöglich ist. (Was wohl auch gut so wäre.) Gehe ich recht in der Annahme, dass?

CN8

 

[hroessler]

Hallo,
zumindest würde ein moderner E-Mail Client solchen Käse unterdrücken. Es wurden ja schon früher solche Schweinerein probiert bzw. praktiziert.

Ältere Mail Clients wie Lotus Notes könnten solchen Käse noch zulassen. Ansonsten dürfte es diesbezüglich (zum Glück) schlecht aussehen!

greetz
hroessler

 

[benneq]

Keiner "verbietet" JS in Emails. HTML Mails sind einfach nur HTML. Darin kann man CSS und JS problemlos einbetten.
Es hängt vom E-Mail Programm ab, ob das auch ausgeführt wird. Oder ob nur bestimmte Features von JS zugelassen werden.

Den Rest des Textes versteh ich nicht. Geht's um Tracking, ob eine E-Mail geöffnet wurde, oder ob auf einen Link geklickt wurde? Falls ja: Dafür braucht's kein JavaScript. Dafür muss man nur ein Tracking Pixel einbinden (wird aktiviert wenn die E-Mail geöffnet wird: www.example.org/trackMail.png?recipientId=xxx ), und für die Links benutzt man eine einfache Weiterleitung und kann das genau so tracken (z.B. www.example.org/trackMail?recipientId=xxx&forwardTo=http://google.de ).

 

[Rossie]

Dafür muss man nur ein Tracking Pixel einbinden (wird aktiviert wenn die E-Mail geöffnet wird: www.example.org/trackMail.png?recipientId=xxx )

Kommt auch auf den E-Mail Client an, wie damit umgegangen wird. Man kann sich Mails davon ab auch Text-Only anzeigen lassen.

 

[benneq]

@Rossie Natürlich kann man. Aber der Großteil der Mail Clients lädt von Haus aus HTML inkl. Bilder, solang der Absender nicht irgendeine bekannte Spam Adresse hat.

 

[Andreas_]

Keiner "verbietet" JS in Emails. HTML Mails sind einfach nur HTML. Darin kann man CSS und JS problemlos einbetten.

Deswegen gibt es auch E-Mail-Clients, bei denen man HTML in Mails abstellen kann

Dafür muss man nur ein Tracking Pixel einbinden

Gibt es noch E-Mail-Clients, die das Nachladen von Webinhalten nicht unterbinden? Da kommt dann bestenfalls eine Nachfrage, ob man das Nachladen gestatten will ...

 

[snaxilian]

Falscher Ansatz meiner Meinung nach. Nicht irgendwelche ausführbaren Skripte in Mails 'verstecken', jedes halbwegs vernünftige Unternehmen blockiert dies oder filtert dies vorher raus.

Besser Ansatz meiner Meinung nach: Beim Versand solcher Mails eindeutige Links erstellen und in die Mail packen. Du machst das Skripting also auf deiner Seite beim erstellen des Mailinhalts. Diesen eindeutigen Link schickst du dann dem Lieferanten und einen anderen eindeutigen Link an den nächsten Lieferanten.
Die IDs im Link packst in eine Datenbank o.ä. und prüfst beim Webserver in den Logs oder innerhalb der Anwendung ob und wann dieser eindeutige Link aufgerufen wurde.

So kann man das vernünftig lösen denn bei Anwendern die keine HTML-Mails lesen funktioniert mein Vorschlag, ebenso bei Usern deren Mailgateway der Firma entsprechend solchen Code entfernt. Die meisten kommerziellen Mailgateways können solche Dinge z.B. automatisch entfernen, genau so wie Skripte in Office Dokumente. Ich erhalte dann trotzdem das Dokument nur eben ohne irgendwelche embedded Makros.

 

[Jesterfox]

@Rossie Natürlich kann man. Aber der Großteil der Mail Clients lädt von Haus aus HTML inkl. Bilder, solang der Absender nicht irgendeine bekannte Spam Adresse hat.

Also selbst Outlook läd schon lange keine externen Ressourcen mehr von selbst ohne das man das extra angefordert hat. Da muss man nochmal extra klicken damit die geladen werden, auch dann wenn es von bekannten Absendern kommt (man kann glaub ich aber eine Whitelist erstellen, aber auch das muss man erst einmal selbst machen).

 

[cumulonimbus8]

Keiner "verbietet" JS in Emails.

Aber die Vernunft sich was einzufangen.

Der Witz (»jedes halbwegs vernünftige Unternehmen blockiert dies oder filtert dies vorher raus.«) ist, dass ein Unternehmen (nennen wir das mal so) von uns eine Dienstleistung will.
Eine Einladungs-Mail soll auf eine Umfrage unsererseits weiterführen wobei in jener Mail selbst schon eine (Start)Frage drin ist (Antworten sind Links zu uns die eine gewisse Information übergeben).
Das Unternehmen vergibt IDs. Ob nun im Betreff oder versteckt (unsichtbar) im Mail-Text. Diese zusätzliche Info brauchen wir (in besagten Links) um eine Zuordnung bereitstellen zu können (für uns ›nur eine anonyme Nummer‹).

Frage ist ob dieses Unternehmen mit von uns angegebenen Fragmenten [Linkstruktur; Wert besagter Antwort, seine ID] ein Mail-Template (dieser ›Motor‹ möge dann von uns kommen) aufbauen oder befüllen kann. Damit das aber nicht zu komplziert wird soll mit einer einzigen Angabe der ID die Mail beim Empfänger (erst) sich alles zusammensetzen. Und das muss ein Programm organisieren, JS würde ich meinen.
Wenn aber aktuelle Browser, und reden wir nicht von der IT der Unternehmen an die wiederum jene Mails gehen, keine Skripte ausführen - dann ist die Idee schlicht gestorben. Das genügt mir.

Es geht nichts denn diese Mail, keine Trackingpixel, nichts Sonstiges.

CN8

 

[Jesterfox]

Beim Empfänger erst zusammensetzen geht nicht. Selbst wenn irgend ein exotischer Mailclient das unterstützen sollte ist das keine Grundlage dafür das man dies einsetzen könnte, denn bei der Masse an Leuten wird es schlichtweg nicht gehen.

Der einzige Weg ist die Links schon vor dem Absenden der Mail entsprechend individuell zusammenzusetzen mit der ID, den Identifiern für die Antworten usw.

 

[snaxilian]

Ausführbarer Code im Anhang oder per Mail ist schlicht DAS Einfallstor für Malware und das muss in den Schädel eures Auftraggebers rein. Wenn es ne Startfrage in der Mail sein soll dann eben so:

$Anrede,

Wir sind interessiert an deiner Meinung! Bitte hilf uns und gewinne tolle Preise:

Antwort_A: https://domain.tld/UNIQUE_ID/question1=yes

Antwort_B: https://domain.tld/UNIQUE_ID/question1=no

Mit freundlichen Grüßen
Ihr Clickbait-Unternehmen, dass ausführbaren Code per Mail versenden will

Aber auch in diesem Fall muss die Generierung der eindeutigen Links im Vorfeld geschehen. In Kombination mit dem Empfänger ist es eindeutig wer wie geklickt hat.

Email ist zur Übermittlung von statischen Informationen konzipiert.

 

[Sparta8]

Genau das was das Unternehmen von euch möchte, geht mit jedem Email Kampagnen Dienstleister. Weiß nicht warum du mit JavaScript kommst. Das was die von euch möchten, ist ne ganz normale 0815 Email Projektvorgabe.

 

[mambokurt]

@Rossie Natürlich kann man. Aber der Großteil der Mail Clients lädt von Haus aus HTML inkl. Bilder, solang der Absender nicht irgendeine bekannte Spam Adresse hat.

Nope. Thunderbird nicht, Evolution nicht, K9 Mail nicht. Outlook - keine Ahnung, hab ich nicht. Nichtmal webbasierte Mailclients binden Bilder unbedingt ein, Googlemail und Gmx jedenfalls nicht.

Ergänzung (11. September 2019)

Aber die Vernunft sich was einzufangen.

Der Witz (»jedes halbwegs vernünftige Unternehmen blockiert dies oder filtert dies vorher raus.«) ist, dass ein Unternehmen (nennen wir das mal so) von uns eine Dienstleistung will.
Eine Einladungs-Mail soll auf eine Umfrage unsererseits weiterführen wobei in jener Mail selbst schon eine (Start)Frage drin ist (Antworten sind Links zu uns die eine gewisse Information übergeben).
Das Unternehmen vergibt IDs. Ob nun im Betreff oder versteckt (unsichtbar) im Mail-Text. Diese zusätzliche Info brauchen wir (in besagten Links) um eine Zuordnung bereitstellen zu können (für uns ›nur eine anonyme Nummer‹).

Frage ist ob dieses Unternehmen mit von uns angegebenen Fragmenten [Linkstruktur; Wert besagter Antwort, seine ID] ein Mail-Template (dieser ›Motor‹ möge dann von uns kommen) aufbauen oder befüllen kann. Damit das aber nicht zu komplziert wird soll mit einer einzigen Angabe der ID die Mail beim Empfänger (erst) sich alles zusammensetzen. Und das muss ein Programm organisieren, JS würde ich meinen.
Wenn aber aktuelle Browser, und reden wir nicht von der IT der Unternehmen an die wiederum jene Mails gehen, keine Skripte ausführen - dann ist die Idee schlicht gestorben. Das genügt mir.

Es geht nichts denn diese Mail, keine Trackingpixel, nichts Sonstiges.

CN8

Dass ein Mailclient Bilder oder Js zulässt ist eher Ausnahme als Regel. Einzige sinnvolle Variante wäre die Umfrage zu hosten und einen Link mit Id in die Mail zu schreiben der auf die Umfrage zeigt, mehr ist nicht drin. Punkt.

 

[ayngush]

Den Thread muss ich mal im Auge behalten. So ein Humbug sieht man echt selten

Quasi kein E-Mail-Client der Welt lädt heutzutage mehr automatisch irgendwas nach.
Wodurch in immer mehr Newslettern der Inhalt vollständig durch Bilder im Web transportiert wird, sodass man wenigstens sagen kann: Die Leute, die die Bilder geladen haben, haben auch die Werbebotschaft gelesen, alle anderen nicht.

Zudem werden immer mehr E-Mails im privaten Umfeld quasi nur noch auf Mobilgeräten gelesen. Hatte da als letztes was von 80% gelesen.
Was da also nicht sinnvoll auf das "Canvas" passt, existiert nicht. Was zu viel Text beinhaltet existiert nicht (liest mobile niemand durch). Was irgendwelche Links ins Internet beinhaltet, auf dessen Folge man dann tausende Formulare ausfüllen soll (Umfragen) existiert nicht (macht mobile niemand). In der Regel werden Newsletter einfach stumpf gelöscht, weil sie den Posteingang verstopfen und man relevante E-Mails nicht mehr so gut überblicken kann.

Im Firmenumfeld werden E-Mails auch oftmals mobile gelesen, sofern so ein Zugang existiert, wenn nciht, dann Outlook und das lädt 1. nichts nach, führt 2. kein JS aus und drittens hat im Business-Umfeld niemand zeit für umfangreiche Umfragen. Das nervt die meisten nur. Mich "nerven" Umfragen quasi immer und ich mache das betrieblich auch nicht, da klicke ich lieber mal auf CB rum in der Pause, anstatt so Formulare auszufüllen...

Ich konnte unsere Chefs mit einer garantierten "Leserate" (über "ID-URLs" getrackt) von durchschnittlichen 0,4% (... NFC) endlich davon überzeugen unseren den Spam-Newsletter einmal im Quartal mit inkrafttreten der DSGVO und der allgemeinen "Panikmachen" drum herum einzustellen. Zudem kamen mit jeder Kampagne von ca. 2% Beschwerden über "unerwünschte E-Mails" rein, da gab es dann immer viel nachzuarbeiten. Wir haben knapp fünfstellig versendet, also auch nicht sehr groß für E-Mail Kampagnen. War auch eher gut und informativ von uns gemeint und Werbung in eigener Sache halt. Aber trotzdem: So etwas interessiert keine Sau mehr in 2019... 2015 schon nicht mehr

Zudem passt das Vorhaben von euch / euren Kunden nicht mit den üblichen IT-Sicherheitsfragen zusammen.
Was stimmt da nicht bei euch und euren Partnerunternehmen?
Der eine formuliert die wildesten Anforderungen und der andere rät davon offenbar nicht reflexartig ab.

 

[Sparta8]

@ayngush
Da gehts doch um gar keinen Newsletter sondern um eine Einladung. Die Umfrage wird auch höchstwahrscheinlich mit dem Event zutun haben, damit sie das nach den Wünschen der Gäste gestalten können.

Was der Auftraggeber jetzt noch zusätzlich will, ist dass man zuordnen können soll, wer welche Antworten bei der Umfrage gegeben hat. Stichwort Personalisierte Email mit einer Tracking ID im Umfrage Link.

Dafür braucht man kein JavaScript und das hat nix mit Inhalten nachladen zutun und jetzt wirfst du auch noch Leseraten auf mobilen Geräten mit ein.

 

[ayngush]

Joa, keine Ahnung, ist schon ziemlich wild beschrieben. Einladung / Newsletter. Ich lese das so, dass deren Auftraggeber da eine Umfrage in seinem Kundenstamm oder so durchführen möchte und auch eine Zuordnung vom Kunden zu den gegebenen Antworten herstellen können möchte. Zudem soll wohl eine (individuelle?) Startfrage in dem E-Mail-Text hinein, die sich anhand der ID von Kunden zu Kunden unterscheiden kann?!
Wie soll man aus der Beschreibung der Anforderungen schlau werden?!?

Richtig ist wohl: Baut halt ein Umfragetool (das scheint ja der Auftrag zu sein?), welches einen URL-Parameter "ID" mit den daraufhin gegebenen Antworten einer Session in Verbindung bringt und packt den URL-Parameter halt dynamisch beim Versand in die URL zusammen mit den passenden Fragetext in die E-Mail. Für den E-Mail-Massenversand braucht man ja ohnehin ein Tool, welches mit Templates (Vorlagen) umgehen kann, entweder nimmt man da einen Dienstleister oder baut sich was eigenes oder nimmt ein fertiges Programm dafür. Da liefert google ja genug Inhalte zu. Javascript ist da nicht notwendig und nachladen muss man da auch nichts.

Meine Erfahrung ist jedoch: Macht eh niemand. Aber eventuell ist das mit den Kunden ja abgesprochen, dass die das machen sollen, dann ist die Beteiligung sicherlich höher als 0,4%

 

[cumulonimbus8]

@Sparta8
Du bist auf dem Holzweg weil due die Aufgabe nicht verstanden hast.
Wir - das ist eine Firmw die Webumfragen macht. Wir - das ind Leute dei einen Auftrag bekommen bei dem der Auftraggeber einlädt, und nicht wir (weil: da hätten wir alles unter Kontrolle), nur muss das alles wieder »zu matchen« sein. Die Einladung soll personalisiert sein (seitens Auftraggeber) aber dann auf unsere Umfrage verlinken. Problem sind das Bindeglied oder/und wie dieses in die Links [Abhängig von der Frage in der Mail] zur Umfrage eingeflochten werden kann. Kann das der Auftraggeber, dessen IT, quasi Platzhalter in unseren Links ergänzen oder soll (Utopie) die Mail das selbst machen.
Hier verhandeln Chefetagen und nicht die IT-Fuzzies was möglich ist wenn ja wie. Nur sollen wir sagen »das geht so oder es geht gar nicht (gaaanz schlecht…)«

Den Thread muss ich mal im Auge behalten. So ein Humbug sieht man echt selten

Ungefähr so ein Humbug als wenn Könige Krieg führen und nicht die Generäle.

Stichwort Personalisierte Email mit einer Tracking ID im Umfrage Link.

Das wissen wir doch längst, das war Teil der Eingangsfrage: wie man so was zusammenlöppelt - und zwar quasi hinterher und nicht vorher - wie ich es täte. →
PS: Tracking ist der völlig falsche Terminus.

Einzige sinnvolle Variante wäre die Umfrage zu hosten und einen Link mit Id in die Mail zu schreiben der auf die Umfrage zeigt, mehr ist nicht drin. Punkt.

Darauf wollen die eben erwähnten Generäle ja gerne raus, aber mach das den Königen klar.

Ausführbarer Code im Anhang oder per Mail ist schlicht DAS Einfallstor für Malware und das muss in den Schädel eures Auftraggebers rein.

Den Kram habe ich eingebracht weil es das rein logisch einzige Werkzeug wäre eine ID die nur im Betreff ist in die zugehörigen Links zu frickeln. Um wenigstens eine theoretische Lösung nennen zu können. Ich selbst bin mir im Klaren, dass es so kompletter (ich zitiere) Humbug ist.
Was willste machen… Die lerne das erste wenn sie sehen, dasses nicht geht. Und dann? Wird nicht an der realen Alternative weiterverhandelt…

CN8

 

[snaxilian]

Du sagst doch selbst, dass du/ihr sagen sollt "das geht so oder das geht gar nicht (gaaaaanz schlecht...)". Also ist die Machbarkeit geklärt: Unter absolutem ausschalten des gesunden Menschenverstandes, Missachtens jeglicher IT-Sicherheitsempfehlungen des BSI, NIST und sonstigen Personen, Firmen, öffentlichen Einrichtungen und sonstigen Entitäten zum Thema IT-Sicherheit wäre es eventuell unter Umständen möglich wenn man die Empfänger dazu bringt entgegen jedweder Empfehlung oder Schulung und Sensibilisierung das nachladen von $Code aus dem Internet im Mailprogramm zu erlauben.

Wenn ich das danach trotzdem entwickeln/umsetzen müsste würde ich mir vom Auftraggeber schriftlich versichern lassen, dass dieser jegliche Verantwortung übernimmt und mein Name nirgends auftaucht. Mit sowas will ich nicht verbunden werden wobei ich mich persönlich eher weigern würde so etwas umzusetzen bzw würde dies fachlich meinem Vorgesetzten klar machen und die Übersetzung in Management-Sprech kann der das machen, der wird dafür bezahlt solchen Quatsch über sich ergehen zu lassen^^

 

[Sparta8]

Wenn sie den Betreff der Emails personalisieren können, dann können sie auch einen zusätzlichen Parameter in eurer Umfrage URL personalisieren.

 

[ayngush]

Ungefähr so ein Humbug als wenn Könige Krieg führen und nicht die Generäle.

Ja, das meine ich ja. Mit Javascript oder eigenständig auf dem Client beim Kunden usw. ist da technisch nichts möglich.

Der Auftraggeber muss zwei Dinge tun:

1. Muss er die E-Mails mit Hilfe einer template-Engine verschicken, in der dann Platzhalter im Betreff, Text und eurer Survey-URL durch entsprechende Parameter, die aus einer Datenbank (Datendatei) bei ihm stammen, ausgetauscht werden.

2. Muss er euch eine Liste mit den verwendeten URL-ID-Parametern zukommen lassen. (Hoffentlich nicht 1...n Inkremte, sondern was sinnvolles)

Ihr müsst dann folgendes Tun:
1. Den verwendeten URL-ID-Parameter beim Aufruf eurer Umfrage zusammen mit den Antworten der Umfrage während der laufenden Benutzer-Session in euren Backend speichern. (Zuordnung)

2. Den Auftraggeber nach einer Weile die Liste der URL-ID-Parameter zusammen mit den jeweils zur ID abgebenen Antworten zurück übermitteln.

Der Auftraggeber kann dann die Verbindung ID zu Kunde in seinem System herstellen und alle sind Glücklich.