Safe Links: por que o Outlook reescreve os URLs das suas campanhas

Se os links da sua campanha chegam parecidos com https://eur01.safelinks.protection.outlook.com/?url=https%3A%2F%2F..., não deu nada errado no seu envio. Isso é o Safe Links, parte do Microsoft Defender for Office 365, reescrevendo todos os URLs no email recebido para que o destino possa ser verificado novamente no momento em que alguém clica, em vez de apenas na entrega.

A reescrita acontece no locatário do destinatário, depois que a sua mensagem sai da sua plataforma, e você não consegue desativá-la. O que você pode fazer é entender o que ela muda: os seus números de cliques ganham tráfego que nenhum humano gerou, os seus links ficam mais longos e mais feios na visualização em texto simples, e uma cadeia que já tinha dois saltos passa a ter três. Este guia cobre o que o wrapper faz, como ler os números ao redor dele, e as partes que você realmente controla. Para o panorama mais amplo de medição, rastrear cliques em links de email é a peça complementar.

O que o Safe Links realmente faz com o seu URL

Na entrega, o serviço substitui cada URL no corpo da mensagem por um wrapper que aponta para safelinks.protection.outlook.com, transportando o seu endereço original codificado em percent-encoding num parâmetro url, junto com identificadores de locatário e de mensagem. A Microsoft documenta o comportamento na sua visão geral do Safe Links: o objetivo é proteção no momento do clique, para que um destino que estava limpo quando o email chegou, mas foi comprometido dois dias depois, seja detectado no clique em vez de na entrega.

Três consequências decorrem disso, e só a primeira é óbvia.

O URL visível muda, por isso qualquer coisa que dependesse de um domínio reconhecível no texto do email perde esse reconhecimento. O link fica longo, o que importa nas partes em texto simples e em clientes que quebram o endereço em várias linhas. E um salto extra aparece no início da sua cadeia, antes do domínio de rastreamento do seu ESP e antes do seu próprio link curto.

Nenhum desses saltos é seu para remover, exceto os que você adicionou. O wrapper pertence à organização do destinatário, o domínio de rastreamento pertence à sua plataforma de email, e a única parte sob o seu controle é manter o seu próprio lado em um único salto que resolve de forma limpa.

Por que a sua contagem de cliques fica estranha

Esta é a parte que custa uma manhã inteira aos profissionais de marketing a cada trimestre. As camadas de segurança não se limitam a reescrever links, elas os seguem. Os scanners buscam o destino para inspecioná-lo, às vezes na entrega, às vezes no momento do clique, às vezes em ambos, e cada busca pode ser registrada como um clique num sistema que conta pedidos.

As impressões digitais são consistentes assim que você as conhece. Uma explosão de cliques chegando em segundos após a entrega, muito antes de um humano ter tido tempo de abrir a mensagem. Cliques em todos os links do email, incluindo o de cancelar inscrição e o de política de privacidade, o que nenhum leitor real faz de uma só vez. Pedidos vindos de redes de datacenter em vez de redes de consumidor ou corporativas, muitas vezes num país onde o destinatário não está. E tempos idênticos entre vários destinatários da mesma empresa.

A resposta não é desconfiar do número, mas sim lê-lo em comparação com algo mais consistente. Sessões subsequentes, envios de formulário e receita não se movem quando um scanner busca um URL, por isso a diferença entre cliques e resultados diz o que era real. Essa comparação é exatamente para o que servem as análises de links curtos, e é também por isso que a contagem do seu ESP e a contagem das suas análises nunca vão reconciliar totalmente, uma discrepância que o guia de rastreamento de email cobre com mais profundidade.

O que você pode controlar, e o que não pode

Você não pode optar por sair. Não existe cabeçalho, configuração ou encurtador do lado do remetente que isente uma mensagem da política de Safe Links de outra organização, e qualquer fornecedor que afirme o contrário está descrevendo outra coisa. A configuração da política vive inteiramente com os administradores do destinatário, incluindo a lista de não reescrever, que pode isentar URLs específicos.

Vale a pena conhecer essa lista, porque ela transforma um pedido impossível num pedido razoável, no contexto certo. Pedir a uma audiência de newsletter pública para mudar a sua política de segurança é absurdo. Pedir ao contato de TI de um parceiro ou de um cliente grande para permitir um domínio específico, quando os seus links continuam chegando distorcidos na fila de tickets deles, é uma conversa comum e às vezes funciona.

O que é genuinamente seu: o domínio. Um domínio curto com marca carrega apenas a sua própria reputação, o que é a diferença entre um link que é reescrito e um link que é bloqueado de imediato. Domínios de encurtador gratuitos e compartilhados herdam o que o pior usuário deles fez na semana passada, que é o mesmo mecanismo por trás dos links curtos bloqueados no Slack e no Teams. Também é seu: o comprimento da cadeia, a higiene do destino, e não fazer nada que se pareça com cloaking. Se você quer links cuja reputação, número de saltos e dados de cliques pertencem todos a você, coloque-os no seu próprio domínio e leia-os em análises de links.

Lendo um link reescrito

Quando um destinatário te encaminha um URL distorcido e pergunta o que é aquilo, você pode decodificá-lo em poucos segundos. O endereço original está no parâmetro url, codificado em percent-encoding conforme a RFC 3986 descreve:

python3 -c "import sys,urllib.parse as u; q=u.parse_qs(u.urlparse(sys.argv[1]).query); print(q['url'][0])" "PASTE_THE_SAFELINK_HERE"

Isso imprime o endereço que o destinatário realmente recebeu, que é a forma mais rápida de confirmar se ele recebeu o link que você imagina, ou uma campanha mais antiga, ou algo que nem sequer é seu. Fique atento à truncagem: os clientes de email quebram esses wrappers em várias linhas, e um wrapper parcial decodifica para um URL parcial ou simplesmente falha.

Teste antes do próximo envio

O seguro mais barato é ter uma caixa de correio do Microsoft 365 na sua lista de envio. Não um endereço pessoal, não uma seed list num provedor de consumo, porque nenhum dos dois reproduz o wrapper.

1. Envie a campanha real para uma caixa de correio de teste num locatário que tenha o Defender ativado, o que para a maioria das audiências B2B é o caso majoritário.
2. Abra o email, passe o mouse sobre o link, e confirme que o wrapper decodifica para o URL que você pretendia, com a cadeia de consulta e os parâmetros UTM intactos.
3. Siga o link uma vez e trace a cadeia inteira com curl -sIL, confirmando que o seu lado é um único salto, como coberto em como redirecionar um URL.
4. Depois do envio, compare a primeira hora de cliques com as sessões antes de reportar qualquer coisa.

Ainda me lembro de um lançamento em que a taxa de cliques pareceu extraordinária durante uns noventa minutos, e a landing page tinha registrado onze sessões. Cada "clique" era o appliance de segurança de uma única empresa percorrendo o email inteiro. Nada estava quebrado, mas nada era real também. Hoje, a primeira hora de qualquer envio B2B é algo que eu olho com desconfiança em vez de alegria.

Leia a série pilar

Este post está no cluster de tutoriais. Para a metade de medição, rastrear cliques em links de email cobre a parte técnica, e os links curtos prejudicam a entregabilidade de email cobre a metade da reputação que decide se um link é reescrito ou recusado.

Relacionado no blog

• Rastrear cliques em links de email: guia prático para profissionais de marketing
• Os links curtos prejudicam a entregabilidade de email?
• Por que os seus links curtos são bloqueados no Slack e no Teams
• Análises de links curtos: o que medir e o que ignorar
• Como redirecionar um URL: seis formas, e quando cada uma é a certa
• Atribuição de cliques de email entre Mailchimp, Brevo e Klaviyo