Safe Links: perché Outlook riscrive gli URL delle tue campagne

Se i link della tua campagna arrivano con un aspetto simile a https://eur01.safelinks.protection.outlook.com/?url=https%3A%2F%2F..., non è successo nulla di sbagliato al tuo invio. Quello è Safe Links, parte di Microsoft Defender for Office 365, che riscrive ogni URL nella posta in arrivo così che la destinazione possa essere controllata di nuovo nel momento in cui qualcuno clicca, invece che solo alla consegna.

La riscrittura avviene nel tenant del destinatario, dopo che il tuo messaggio ha lasciato la tua piattaforma, e non puoi disattivarla. Quello che puoi fare è capire cosa cambia: i tuoi numeri di clic guadagnano traffico che nessun essere umano ha generato, i tuoi link diventano più lunghi e più brutti nella vista in plain-text, e una catena che era già profonda due hop ne diventa tre. Questa guida copre cosa fa il wrapper, come leggere i numeri attorno ad esso, e le parti che controlli davvero. Per il quadro di misurazione più ampio, tracciare i clic sui link email è il pezzo complementare.

Cosa fa davvero Safe Links al tuo URL

Alla consegna, il servizio sostituisce ogni URL nel corpo del messaggio con un wrapper che punta a safelinks.protection.outlook.com, trasportando il tuo indirizzo originale percent-encoded in un parametro url insieme a identificatori di tenant e di messaggio. Microsoft documenta il comportamento nella sua panoramica su Safe Links: il punto è la protezione time-of-click, quindi una destinazione che era pulita quando la mail è arrivata ma è stata compromessa due giorni dopo viene intercettata al clic invece che alla consegna.

Ne conseguono tre effetti, e solo il primo è ovvio.

L'URL visibile cambia, quindi tutto ciò che si basava su un dominio riconoscibile nel testo dell'email perde quel riconoscimento. Il link diventa lungo, il che conta nelle parti in plain-text e nei client che spezzano l'indirizzo su più righe. E un hop extra compare in testa alla tua catena, prima del dominio di tracciamento del tuo ESP e prima del tuo stesso short link.

Nessuno di quegli hop è tuo da rimuovere, tranne quelli che hai aggiunto tu. Il wrapper appartiene all'organizzazione del destinatario, il dominio di tracciamento appartiene alla tua piattaforma email, e l'unica parte sotto il tuo controllo è mantenere la tua parte a un hop che si risolve in modo pulito.

Perché i tuoi conteggi di clic diventano strani

Questa è la parte che costa ai marketer una mattinata ogni trimestre. I livelli di sicurezza non si limitano a riscrivere i link, li seguono. Gli scanner recuperano la destinazione per ispezionarla, a volte alla consegna, a volte al momento del clic, a volte entrambi, e ogni recupero può registrarsi come un clic in un sistema che conta le richieste.

Le impronte sono coerenti una volta che le conosci. Una raffica di clic che arriva entro pochi secondi dalla consegna, molto prima che un essere umano avrebbe aperto il messaggio. Clic su ogni link nell'email, incluso quello di disiscrizione e quello della privacy policy, cosa che nessun vero lettore fa in un solo passaggio. Richieste da reti di data center invece che da reti consumer o aziendali, spesso da un paese in cui il destinatario non si trova. E tempistiche identiche tra più destinatari nella stessa azienda.

La risposta non è diffidare del numero, ma leggerlo a confronto con qualcosa di più solido. Le sessioni a valle, gli invii di form e il fatturato non si muovono quando uno scanner recupera un URL, quindi il divario tra clic e risultati ti dice cosa era reale. Questo confronto è esattamente a cosa serve l'analytics dei short link, ed è anche il motivo per cui il conteggio del tuo ESP e quello delle tue analytics non torneranno mai a coincidere del tutto, una discrepanza che la guida al tracciamento email copre più in profondità.

Cosa puoi controllare, e cosa no

Non puoi disattivarlo. Non esiste un header, un'impostazione o uno shortener lato mittente che esenti un messaggio dalla policy Safe Links di un'altra organizzazione, e qualsiasi fornitore che affermi il contrario sta descrivendo qualcos'altro. La configurazione della policy risiede interamente presso gli amministratori del destinatario, inclusa la lista do-not-rewrite che può esentare URL specifici.

Vale la pena conoscere quella lista, perché trasforma una richiesta impossibile in una ragionevole nel contesto giusto. Chiedere al pubblico di una newsletter pubblica di cambiare la propria policy di sicurezza è assurdo. Chiedere al contatto IT di un partner o di un grande cliente di autorizzare un dominio specifico, quando i tuoi link continuano ad arrivare nella loro coda di ticket con un aspetto sfigurato, è una conversazione ordinaria e a volte funziona.

Ciò che è davvero tuo: il dominio. Un dominio breve brandizzato porta solo la tua reputazione, il che è la differenza tra un link che viene riscritto e un link che viene bloccato del tutto. I domini di shortener gratuiti condivisi ereditano qualsiasi cosa abbia fatto il loro utente peggiore la settimana scorsa, che è lo stesso meccanismo dietro gli short link bloccati in Slack e Teams. Anche tuoi: la lunghezza della catena, l'igiene della destinazione, e non fare nulla che assomigli al cloaking. Se vuoi link la cui reputazione, numero di hop e dati sui clic ti appartengono tutti, mettili sul tuo dominio e leggili nell'analytics dei link.

Leggere un link riscritto

Quando un destinatario ti inoltra un URL sfigurato e chiede cosa sia, puoi decodificarlo in pochi secondi. L'indirizzo originale si trova nel parametro url, percent-encoded come descrive RFC 3986:

python3 -c "import sys,urllib.parse as u; q=u.parse_qs(u.urlparse(sys.argv[1]).query); print(q['url'][0])" "PASTE_THE_SAFELINK_HERE"

Questo stampa l'indirizzo che è stato effettivamente inviato al destinatario, il che è il modo più rapido per confermare se ha ricevuto il link che pensi, oppure una campagna più vecchia, oppure qualcosa che non è affatto tuo. Attento al troncamento: i client di posta spezzano questi wrapper su più righe, e un wrapper parziale si decodifica in un URL parziale o fallisce del tutto.

Testalo prima del prossimo invio

L'assicurazione più economica è una casella Microsoft 365 nella lista di invio. Non un indirizzo personale, non una seed list presso un provider consumer, perché nessuno dei due riproduce il wrapper.

1. Invia la campagna reale a una casella di test in un tenant con Defender abilitato, che per la maggior parte dei pubblici B2B è il caso più comune.
2. Aprila, passa il mouse sul link, e conferma che il wrapper si decodifichi nell'URL che intendevi, con query string e parametri UTM intatti.
3. Seguilo una volta e traccia l'intera catena con curl -sIL, confermando che la tua parte sia un singolo hop, come illustrato in come reindirizzare un URL.
4. Dopo l'invio, controlla la prima ora di clic rispetto alle sessioni prima di riportare qualsiasi dato.

Ricordo ancora un lancio in cui il tasso di click-through sembrava straordinario per circa novanta minuti, e la landing page aveva registrato undici sessioni. Ogni "clic" era l'appliance di sicurezza di una singola azienda che percorreva l'intera email. Niente era rotto, e niente era nemmeno reale. Adesso la prima ora di qualsiasi invio B2B è qualcosa che guardo con sospetto piuttosto che con gioia.

Leggi la serie cornerstone

Questo articolo si inserisce nel cluster tutorials. Per la metà legata alla misurazione, traccia i clic sui link email copre l'idraulica, e gli short link danneggiano la deliverability delle email copre la metà legata alla reputazione che decide se un link viene riscritto o rifiutato.

Contenuti correlati sul blog

• Traccia i clic sui link email: una guida pratica per i marketer
• Gli short link danneggiano la deliverability delle email?
• Perché i tuoi short link vengono bloccati in Slack e Teams
• Analytics degli short link: cosa misurare e cosa ignorare
• Come reindirizzare un URL: sei modi, e quando ognuno è quello giusto
• Attribuzione dei clic email tra Mailchimp, Brevo e Klaviyo