Safe Links: por qué Outlook reescribe las URL de tus campañas

Si los enlaces de tu campaña llegan con este aspecto: https://eur01.safelinks.protection.outlook.com/?url=https%3A%2F%2F..., no ha pasado nada malo con tu envío. Eso es Safe Links, parte de Microsoft Defender for Office 365, reescribiendo cada URL del correo entrante para que el destino pueda comprobarse de nuevo en el momento en que alguien hace clic, y no solo en la entrega.

La reescritura ocurre en el tenant del destinatario, después de que tu mensaje sale de tu plataforma, y no puedes desactivarla. Lo que sí puedes hacer es entender qué cambia: tus números de clics ganan tráfico que ningún humano generó, tus enlaces se vuelven más largos y más feos en la vista de texto plano, y una cadena que ya tenía dos saltos de profundidad pasa a tener tres. Esta guía cubre qué hace el envoltorio, cómo leer los números que lo rodean, y las partes que realmente controlas. Para la imagen de medición más amplia, rastrear clics en enlaces de email es la pieza complementaria.

Qué le hace Safe Links realmente a tu URL

En el momento de la entrega, el servicio reemplaza cada URL del cuerpo del mensaje por un envoltorio que apunta a safelinks.protection.outlook.com, transportando tu dirección original codificada en porcentaje dentro de un parámetro url junto con identificadores de tenant y de mensaje. Microsoft documenta el comportamiento en su resumen de Safe Links: el objetivo es la protección en el momento del clic, así que un destino que estaba limpio cuando llegó el correo pero que se vio comprometido dos días después se detecta en el clic y no en la entrega.

De ahí se derivan tres consecuencias, y solo la primera es obvia.

La URL visible cambia, así que cualquier cosa que dependiera de un dominio reconocible en el texto del email pierde ese reconocimiento. El enlace se alarga, lo cual importa en las partes de texto plano y en los clientes que parten la dirección en varias líneas. Y aparece un salto extra al principio de tu cadena, antes del dominio de seguimiento de tu ESP y antes de tu propio enlace corto.

Ninguno de esos saltos es tuyo para eliminar, excepto los que tú añadiste. El envoltorio pertenece a la organización del destinatario, el dominio de seguimiento pertenece a tu plataforma de email, y la única parte bajo tu control es mantener tu propio lado en un salto que se resuelva limpiamente.

Por qué tus recuentos de clics se vuelven raros

Esta es la parte que le cuesta una mañana a los profesionales de marketing cada trimestre. Las capas de seguridad no solo reescriben los enlaces, los siguen. Los escáneres solicitan el destino para inspeccionarlo, a veces en la entrega, a veces en el momento del clic, a veces en ambos, y cada solicitud puede registrarse como un clic en un sistema que cuenta peticiones.

Las huellas son consistentes una vez que las conoces. Una ráfaga de clics que llega a los pocos segundos de la entrega, mucho antes de que un humano hubiera abierto el mensaje. Clics en cada enlace del email, incluidos el de cancelar suscripción y el de la política de privacidad, algo que ningún lector real hace de una sola pasada. Solicitudes desde redes de centros de datos en lugar de redes de consumidores o corporativas, a menudo desde un país en el que no está el destinatario. Y una sincronización idéntica entre varios destinatarios de la misma empresa.

La respuesta no es desconfiar del número, sino leerlo frente a algo más sólido. Las sesiones posteriores, los envíos de formularios y los ingresos no se mueven cuando un escáner solicita una URL, así que la brecha entre los clics y los resultados te dice qué fue real. Esa comparación es exactamente para lo que sirven las analíticas de enlace corto, y también es la razón por la que el recuento de tu ESP y el de tus analíticas nunca coincidirán del todo, una discrepancia que la guía de seguimiento de email cubre con más profundidad.

Qué puedes controlar y qué no

No puedes excluirte. No existe ninguna cabecera, configuración o acortador del lado del remitente que exente a un mensaje de la política de Safe Links de otra organización, y cualquier proveedor que afirme lo contrario está describiendo otra cosa. La configuración de la política reside por completo en los administradores del destinatario, incluida la lista de no reescritura que puede exentar URL específicas.

Vale la pena conocer esa lista, porque convierte una petición imposible en una razonable en el contexto adecuado. Pedirle a la audiencia de un boletín público que cambie su política de seguridad es absurdo. Pedirle al contacto de TI de un socio o un cliente grande que permita un dominio específico, cuando tus enlaces siguen llegando destrozados a su cola de tickets, es una conversación normal y a veces funciona.

Lo que genuinamente es tuyo: el dominio. Un dominio corto de marca transporta solo tu propia reputación, que es la diferencia entre un enlace que se reescribe y un enlace que se bloquea directamente. Los dominios de acortador gratuitos compartidos heredan lo que sea que haya hecho su peor usuario la semana pasada, que es el mismo mecanismo detrás de los enlaces cortos bloqueados en Slack y Teams. También es tuyo: la longitud de la cadena, la higiene del destino, y no hacer nada que se parezca a cloaking. Si quieres enlaces cuya reputación, número de saltos y datos de clics te pertenezcan por completo, ponlos en tu propio dominio y léelos en analíticas de enlace.

Cómo leer un enlace reescrito

Cuando un destinatario te reenvía una URL destrozada y te pregunta qué es, puedes decodificarla en unos segundos. La dirección original está en el parámetro url, codificada en porcentaje tal como describe RFC 3986:

python3 -c "import sys,urllib.parse as u; q=u.parse_qs(u.urlparse(sys.argv[1]).query); print(q['url'][0])" "PASTE_THE_SAFELINK_HERE"

Eso imprime la dirección que realmente se le envió al destinatario, que es la forma más rápida de confirmar si recibió el enlace que crees que recibió, o una campaña anterior, o algo que ni siquiera es tuyo. Ten cuidado con los truncamientos: los clientes de correo parten esto en varias líneas, y un envoltorio parcial se decodifica en una URL parcial o falla directamente.

Pruébalo antes del próximo envío

El seguro más barato es tener un buzón de Microsoft 365 en la lista de envío. No una dirección personal, no una lista de siembra en un proveedor de consumo, porque ninguna de las dos reproduce el envoltorio.

1. Envía la campaña real a un buzón de prueba en un tenant que tenga Defender activado, que para la mayoría de audiencias B2B es el caso mayoritario.
2. Ábrela, pasa el cursor sobre el enlace, y confirma que el envoltorio se decodifica en la URL que pretendías, con la cadena de consulta y los parámetros UTM intactos.
3. Síguelo una vez y traza toda la cadena con curl -sIL, confirmando que tu lado es un único salto, tal como se cubre en cómo redirigir una URL.
4. Después del envío, comprueba la primera hora de clics contra las sesiones antes de informar de nada.

Todavía recuerdo un lanzamiento en el que la tasa de clics parecía extraordinaria durante unos noventa minutos, y la página de destino había registrado once sesiones. Cada "clic" era el dispositivo de seguridad de una sola empresa recorriendo todo el email. Nada estaba roto, pero tampoco nada era real. Ahora la primera hora de cualquier envío B2B es algo que miro con sospecha en lugar de con alegría.

Lee la serie insignia

Este artículo pertenece al cluster de tutoriales. Para la mitad de medición, rastrear clics en enlaces de email cubre la fontanería, y ¿los enlaces cortos perjudican la entregabilidad del email? cubre la mitad de reputación que decide si un enlace se reescribe o se rechaza.

Relacionado en el blog

• Rastrear clics en enlaces de email: guía práctica para profesionales de marketing
• ¿Los enlaces cortos perjudican la entregabilidad del email? Lo que debes saber
• Por qué tus enlaces cortos se bloquean en Slack y Teams
• Analítica de enlaces cortos - qué medir y qué ignorar
• Cómo redirigir una URL: seis formas, y cuándo usar cada una
• Atribución de clics de email para Mailchimp, Brevo, Klaviyo