Safe Links : pourquoi Outlook réécrit les URLs de vos campagnes

Si les liens de votre campagne arrivent sous la forme https://eur01.safelinks.protection.outlook.com/?url=https%3A%2F%2F..., rien n'a mal tourné dans votre envoi. C'est Safe Links, un composant de Microsoft Defender for Office 365, qui réécrit chaque URL du courrier entrant afin que la destination puisse être vérifiée à nouveau au moment où quelqu'un clique, plutôt qu'uniquement à la livraison.

La réécriture se produit dans le tenant du destinataire, après que votre message a quitté votre plateforme, et vous ne pouvez pas la désactiver. Ce que vous pouvez faire, c'est comprendre ce qu'elle change : vos chiffres de clics gagnent un trafic qu'aucun humain n'a généré, vos liens deviennent plus longs et plus laids en affichage texte brut, et une chaîne qui comptait déjà deux sauts en compte désormais trois. Ce guide couvre ce que fait l'enveloppe, comment lire les chiffres qui l'entourent, et les parties que vous contrôlez réellement. Pour la vue d'ensemble de la mesure, suivre les clics sur les liens d'e-mail est l'article compagnon.

Ce que Safe Links fait réellement à votre URL

À la livraison, le service remplace chaque URL du corps du message par une enveloppe pointant vers safelinks.protection.outlook.com, transportant votre adresse d'origine encodée en pourcentage dans un paramètre url, aux côtés d'identifiants de tenant et de message. Microsoft documente ce comportement dans sa présentation de Safe Links : l'objectif est une protection au moment du clic, de sorte qu'une destination propre à l'arrivée du courrier mais compromise deux jours plus tard soit interceptée au clic plutôt qu'à la livraison.

Trois conséquences en découlent, et seule la première est évidente.

L'URL visible change, donc tout ce qui reposait sur un domaine reconnaissable dans le texte de l'e-mail perd cette reconnaissance. Le lien s'allonge, ce qui compte dans les parties en texte brut et chez les clients qui coupent l'adresse sur plusieurs lignes. Et un saut supplémentaire apparaît au début de votre chaîne, avant le domaine de suivi de votre ESP et avant votre propre lien court.

Aucun de ces sauts n'est le vôtre à supprimer, sauf ceux que vous avez ajoutés. L'enveloppe appartient à l'organisation du destinataire, le domaine de suivi appartient à votre plateforme d'e-mail, et la seule partie sous votre contrôle consiste à garder votre propre côté à un seul saut qui se résout proprement.

Pourquoi vos compteurs de clics deviennent bizarres

C'est la partie qui coûte une matinée aux marketeurs chaque trimestre. Les couches de sécurité ne se contentent pas de réécrire les liens, elles les suivent. Les scanners récupèrent la destination pour l'inspecter, parfois à la livraison, parfois au moment du clic, parfois les deux, et chaque récupération peut s'enregistrer comme un clic dans un système qui compte les requêtes.

Les empreintes sont cohérentes une fois qu'on les connaît. Une rafale de clics arrivant dans les secondes suivant la livraison, bien avant qu'un humain ait pu ouvrir le message. Des clics sur chaque lien de l'e-mail, y compris le désabonnement et la politique de confidentialité, ce qu'aucun vrai lecteur ne fait en une seule passe. Des requêtes provenant de réseaux de datacenter plutôt que de réseaux grand public ou d'entreprise, souvent depuis un pays où le destinataire ne se trouve pas. Et un timing identique sur plusieurs destinataires de la même entreprise.

La réponse n'est pas de se méfier du chiffre, mais de le lire face à quelque chose de plus solide. Les sessions en aval, les soumissions de formulaire et le chiffre d'affaires ne bougent pas quand un scanner récupère une URL, donc l'écart entre les clics et les résultats vous dit ce qui était réel. C'est exactement à cela que servent les analytics de liens courts, et c'est aussi pourquoi le chiffre de votre ESP et celui de vos analytics ne se réconcilieront jamais totalement, un écart que le guide de suivi des e-mails traite plus en détail.

Ce que vous pouvez contrôler, et ce que vous ne pouvez pas

Vous ne pouvez pas vous en exempter. Il n'existe aucun en-tête, aucun réglage ni aucun raccourcisseur côté expéditeur qui exempte un message de la politique Safe Links d'une autre organisation, et tout fournisseur prétendant le contraire décrit autre chose. La configuration de la politique appartient entièrement aux administrateurs du destinataire, y compris la liste de non-réécriture qui peut exempter des URLs spécifiques.

Cette liste vaut la peine d'être connue, car elle transforme une demande impossible en une demande raisonnable dans le bon contexte. Demander à l'audience d'une newsletter publique de changer sa politique de sécurité est absurde. Demander au contact IT d'un partenaire ou d'un grand client d'autoriser un domaine spécifique, quand vos liens atterrissent sans cesse mal formés dans leur file de tickets, est une conversation ordinaire, et cela fonctionne parfois.

Ce qui est vraiment le vôtre : le domaine. Un domaine court brandé ne porte que votre propre réputation, ce qui fait toute la différence entre un lien qui est réécrit et un lien qui est carrément bloqué. Les domaines de raccourcisseur gratuits et partagés héritent de ce que leur pire utilisateur a fait la semaine dernière, ce qui est le même mécanisme derrière les liens courts bloqués dans Slack et Teams. Également le vôtre : la longueur de la chaîne, l'hygiène de la destination, et le fait de ne rien faire qui ressemble à du cloaking. Si vous voulez des liens dont la réputation, le nombre de sauts et les données de clics vous appartiennent entièrement, placez-les sur votre propre domaine et lisez-les dans les analytics de liens.

Lire un lien réécrit

Quand un destinataire vous transfère une URL mal formée et vous demande ce que c'est, vous pouvez la décoder en quelques secondes. L'adresse d'origine se trouve dans le paramètre url, encodée en pourcentage comme le décrit RFC 3986 :

python3 -c "import sys,urllib.parse as u; q=u.parse_qs(u.urlparse(sys.argv[1]).query); print(q['url'][0])" "PASTE_THE_SAFELINK_HERE"

Cela affiche l'adresse réellement envoyée au destinataire, ce qui est le moyen le plus rapide de confirmer s'il a reçu le lien que vous pensez, une campagne plus ancienne, ou quelque chose qui n'est pas du tout le vôtre. Attention à la troncature : les clients de messagerie coupent ces enveloppes sur plusieurs lignes, et une enveloppe partielle se décode en une URL partielle ou échoue carrément.

Testez-le avant le prochain envoi

L'assurance la moins chère est une boîte mail Microsoft 365 sur la liste d'envoi. Pas une adresse personnelle, pas une liste de test chez un fournisseur grand public, car aucune des deux ne reproduit l'enveloppe.

1. Envoyez la vraie campagne à une boîte mail de test dans un tenant où Defender est activé, ce qui est le cas majoritaire pour la plupart des audiences B2B.
2. Ouvrez-la, survolez le lien, et confirmez que l'enveloppe se décode vers l'URL voulue, chaîne de requête et paramètres UTM intacts.
3. Suivez-le une fois et tracez toute la chaîne avec curl -sIL, en confirmant que votre côté ne compte qu'un seul saut, comme le couvre comment rediriger une URL.
4. Après l'envoi, comparez la première heure de clics aux sessions avant de rapporter quoi que ce soit.

Je me souviens encore d'un lancement où le taux de clics paraissait extraordinaire pendant environ quatre-vingt-dix minutes, alors que la page d'atterrissage n'avait enregistré que onze sessions. Chaque "clic" était l'appliance de sécurité d'une seule entreprise en train de parcourir tout l'e-mail. Rien n'était cassé, et rien n'était réel non plus. Aujourd'hui, je regarde la première heure de tout envoi B2B avec méfiance plutôt qu'avec joie.

Lire la série d'articles piliers

Cet article se situe dans le cluster tutoriels. Pour la moitié mesure, suivre les clics sur les liens d'e-mail couvre la plomberie, et les liens courts nuisent-ils à la délivrabilité des e-mails couvre la moitié réputation qui décide si un lien est réécrit ou refusé.

Sur le blog

• Suivre les clics sur les liens d'e-mail : le guide pratique du marketeur
• Les liens courts nuisent-ils à la délivrabilité des e-mails ?
• Pourquoi vos liens courts sont bloqués dans Slack et Teams
• Analytics de liens courts : quoi mesurer et quoi ignorer
• Comment rediriger une URL : six méthodes, et quand utiliser chacune
• Attribution des clics d'e-mail entre Mailchimp, Brevo et Klaviyo