Safe Links: Warum Outlook deine Kampagnen-URLs umschreibt

Wenn deine Kampagnen-Links so ankommen wie https://eur01.safelinks.protection.outlook.com/?url=https%3A%2F%2F..., ist bei deinem Versand nichts schiefgelaufen. Das ist Safe Links, ein Teil von Microsoft Defender for Office 365, das jede URL in eingehender Post umschreibt, damit das Ziel im Moment des Klicks erneut geprüft werden kann, statt nur bei Zustellung.

Das Umschreiben passiert im Tenant des Empfängers, nachdem deine Nachricht deine Plattform verlassen hat, und du kannst es nicht abschalten. Was du tun kannst, ist zu verstehen, was sich dadurch ändert: Deine Klickzahlen gewinnen Traffic dazu, den kein Mensch erzeugt hat, deine Links werden in der Klartext-Ansicht länger und hässlicher, und eine Kette, die schon zwei Hops tief war, wird zu drei. Dieser Leitfaden behandelt, was der Wrapper tut, wie du die Zahlen darum herum liest, und die Teile, die tatsächlich unter deiner Kontrolle stehen. Für das größere Messbild ist E-Mail-Link-Klicks tracken das Begleitstück.

Was Safe Links wirklich mit deiner URL macht

Bei Zustellung ersetzt der Dienst jede URL im Nachrichtentext durch einen Wrapper, der auf safelinks.protection.outlook.com zeigt und deine ursprüngliche Adresse prozent-kodiert in einem url-Parameter neben Tenant- und Nachrichten-Identifikatoren trägt. Microsoft dokumentiert das Verhalten in seiner Safe-Links-Übersicht: Der Sinn ist Time-of-Click-Schutz, sodass ein Ziel, das bei Ankunft der Mail sauber war, aber zwei Tage später kompromittiert wurde, beim Klick erwischt wird statt erst bei Zustellung.

Drei Konsequenzen folgen daraus, und nur die erste ist offensichtlich.

Die sichtbare URL ändert sich, sodass alles, was auf eine erkennbare Domain im Text der E-Mail setzte, diese Wiedererkennung verliert. Der Link wird lang, was in Klartext-Teilen und in Clients zählt, die die Adresse über mehrere Zeilen umbrechen. Und ein zusätzlicher Hop erscheint am Anfang deiner Kette, vor der Tracking-Domain deines ESP und vor deinem eigenen Kurzlink.

Keiner dieser Hops ist deiner zum Entfernen, außer denen, die du selbst hinzugefügt hast. Der Wrapper gehört der Organisation des Empfängers, die Tracking-Domain gehört deiner E-Mail-Plattform, und der einzige Teil unter deiner Kontrolle ist, deine eigene Seite auf einen Hop zu beschränken, der sauber auflöst.

Warum deine Klickzahlen verrückt spielen

Das ist der Teil, der Marketer jedes Quartal einen Vormittag kostet. Sicherheitsebenen schreiben Links nicht nur um, sie folgen ihnen auch. Scanner rufen das Ziel ab, um es zu prüfen, manchmal bei Zustellung, manchmal beim Klick, manchmal beides, und jeder Abruf kann in einem System, das Anfragen zählt, als Klick registriert werden.

Die Fingerabdrücke sind konsistent, sobald du sie kennst. Ein Schwall von Klicks, der innerhalb von Sekunden nach Zustellung eintrifft, lange bevor ein Mensch die Nachricht geöffnet hätte. Klicks auf jeden Link in der E-Mail, einschließlich Abbestellen und Datenschutzerklärung, was kein echter Leser in einem Durchgang macht. Anfragen aus Rechenzentrums-Netzwerken statt aus Consumer- oder Unternehmensnetzwerken, oft aus einem Land, in dem der Empfänger nicht ist. Und identisches Timing über mehrere Empfänger im selben Unternehmen hinweg.

Die richtige Reaktion ist nicht, der Zahl zu misstrauen, sondern sie gegen etwas Härteres zu lesen. Nachgelagerte Sessions, Formular-Einreichungen und Umsatz bewegen sich nicht, wenn ein Scanner eine URL abruft, sodass die Lücke zwischen Klicks und Ergebnissen dir sagt, was real war. Genau dafür ist Kurzlink-Analytics da, und das ist auch, warum sich die Zahl deines ESP und deine Analytics-Zahl nie ganz abstimmen lassen, eine Diskrepanz, die der E-Mail-Tracking-Leitfaden genauer behandelt.

Was du kontrollieren kannst, und was nicht

Du kannst nicht aussteigen. Es gibt keinen Absender-seitigen Header, keine Einstellung und keinen Shortener, der eine Nachricht von der Safe-Links-Richtlinie einer anderen Organisation ausnimmt, und jeder Anbieter, der etwas anderes behauptet, beschreibt etwas anderes. Die Richtlinien-Konfiguration liegt vollständig bei den Administratoren des Empfängers, einschließlich der Do-not-rewrite-Liste, die bestimmte URLs ausnehmen kann.

Diese Liste zu kennen lohnt sich, denn sie macht aus einer unmöglichen Bitte im richtigen Kontext eine vernünftige. Ein öffentliches Newsletter-Publikum zu bitten, seine Sicherheitsrichtlinie zu ändern, ist absurd. Den IT-Kontakt bei einem Partner oder einem großen Kunden zu bitten, eine bestimmte Domain zuzulassen, wenn deine Links immer wieder verstümmelt in seiner Ticket-Queue landen, ist ein normales Gespräch, und es funktioniert manchmal.

Was wirklich dir gehört: die Domain. Eine gebrandete Kurzdomain trägt nur deine eigene Reputation, und genau das ist der Unterschied zwischen einem Link, der umgeschrieben wird, und einem Link, der rundweg blockiert wird. Geteilte kostenlose Shortener-Domains erben, was auch immer ihr schlechtester Nutzer letzte Woche getan hat, derselbe Mechanismus, der hinter in Slack und Teams blockierten Kurzlinks steckt. Ebenfalls dir gehörend: Kettenlänge, Ziel-Hygiene, und nichts zu tun, das nach Cloaking aussieht. Wenn du Links willst, deren Reputation, Hop-Zahl und Klickdaten alle dir gehören, leg sie auf deine eigene Domain und lies sie in der Link-Analytics.

Einen umgeschriebenen Link lesen

Wenn dir ein Empfänger eine verstümmelte URL weiterleitet und fragt, was das ist, kannst du sie in wenigen Sekunden dekodieren. Die ursprüngliche Adresse steckt im url-Parameter, prozent-kodiert, wie RFC 3986 beschreibt:

python3 -c "import sys,urllib.parse as u; q=u.parse_qs(u.urlparse(sys.argv[1]).query); print(q['url'][0])" "PASTE_THE_SAFELINK_HERE"

Das gibt die Adresse aus, die dem Empfänger tatsächlich gesendet wurde, der schnellste Weg zu bestätigen, ob er den Link erhalten hat, den du vermutest, oder eine ältere Kampagne, oder etwas, das gar nicht von dir stammt. Achte auf Abschneiden: Mail-Clients brechen diese über mehrere Zeilen um, und ein unvollständiger Wrapper dekodiert zu einer unvollständigen URL oder schlägt ganz fehl.

Teste es vor dem nächsten Versand

Die billigste Versicherung ist ein Microsoft-365-Postfach auf der Versandliste. Keine persönliche Adresse, keine Seed-Liste bei einem Consumer-Anbieter, denn keines von beiden reproduziert den Wrapper.

1. Sende die echte Kampagne an ein Test-Postfach in einem Tenant, der Defender aktiviert hat, was für die meisten B2B-Zielgruppen der Regelfall ist.
2. Öffne sie, fahre mit der Maus über den Link, und bestätige, dass der Wrapper zu der URL dekodiert, die du gemeint hast, mit intaktem Query-String und intakten UTM-Parametern.
3. Folge ihm einmal und verfolge die ganze Kette mit curl -sIL, um zu bestätigen, dass deine Seite ein einzelner Hop ist, wie in URL weiterleiten beschrieben.
4. Prüfe nach dem Versand die erste Stunde der Klicks gegen Sessions, bevor du irgendetwas berichtest.

Ich erinnere mich noch an einen Launch, bei dem die Klickrate für etwa neunzig Minuten außergewöhnlich aussah, und die Landing-Page hatte elf Sessions aufgezeichnet. Jeder "Klick" war eine Sicherheits-Appliance eines einzigen Unternehmens, die die ganze E-Mail abgelaufen ist. Nichts war kaputt, aber real war auch nichts. Jetzt betrachte ich die erste Stunde jedes B2B-Versands mit Misstrauen statt mit Freude.

Die Cornerstone-Serie lesen

Dieser Beitrag gehört zum Tutorials-Cluster. Für die Mess-Hälfte behandelt E-Mail-Link-Klicks tracken die Technik dahinter, und schaden Kurzlinks der E-Mail-Zustellbarkeit behandelt die Reputations-Hälfte, die entscheidet, ob ein Link umgeschrieben oder verweigert wird.

Verwandte Beiträge im Blog

• E-Mail-Link-Klicks tracken: Eine Praxis-Anleitung für Marketer
• Schaden Kurzlinks der E-Mail-Zustellbarkeit? Was Sie wissen müssen
• Warum deine Kurzlinks in Slack und Teams blockiert werden
• Short-Link-Analytics - was zu messen ist und was zu ignorieren ist
• Eine URL weiterleiten: Sechs Wege, und wann welcher richtig ist
• E-Mail-Klick-Attribution für Mailchimp, Brevo und Klaviyo