Imagina una correduría de seguros de 14 personas que manda una carta mensual a sus clientes. El reporte del último envío llega con una tasa de clics tres veces mayor a la de siempre, y con un puñado de contactos que aparentemente hicieron clic en todos los enlaces del mensaje: el botón principal, los tres enlaces del cuerpo, la dirección de la oficina en el pie y la baja, todos. Nadie respondió. Nadie llamó. El segmento de "más comprometidos" que salió de ese envío está lleno de gente que nunca ha leído la carta.
Eso no es una buena campaña. Es un producto de seguridad leyendo el correo en lugar del destinatario. Pasa en casi toda lista que incluya direcciones corporativas, y hace más daño que inflar un número: esos clics deciden a quién le sigues escribiendo, a quién descartas por inactivo y a quién llama el dueño la semana que viene.
Qué está haciendo clic en realidad
Las pasarelas de seguridad de correo existen para proteger a las personas de enlaces que se vuelven maliciosos después de que el mensaje ya fue entregado. La única forma de lograrlo es mirar el enlace, antes de la entrega, en el momento del clic, o ambas.
Microsoft lo documenta para Safe Links en Defender for Office 365: analiza y reescribe las URL del correo entrante durante el flujo de correo, y verifica las URL en el momento del clic. El enlace reescrito apunta primero a un dominio envoltorio de Microsoft, y el destino se revisa antes de dejar pasar al lector. Otras pasarelas de seguridad funcionan igual con sus propios dominios envoltorio. Cada una de esas revisiones es una petición HTTP a tu enlace de seguimiento, y tu plataforma de envío no tiene manera de saber que no vino de una persona.
Dos detalles definen cómo se ve tu reporte:
- La pasarela suele recorrer todos los enlaces del mensaje, no el único que habría elegido un lector. Por eso un contacto parece hacer clic en cinco cosas distintas dentro del mismo segundo.
- El análisis puede ocurrir en la entrega, antes de que alguien vea el mensaje. Un clic sin ninguna apertura delante, repetido en varios envíos, es una de las señales más claras.
El seguimiento de aperturas tiene el problema espejo. La documentación de Kit lo explica directo: la apertura se mide cargando una imagen diminuta incrustada, así que cualquier programa automatizado que cargue imágenes queda registrado como apertura, y Kit aclara que esto es especialmente común en Apple Mail, Gmail y clientes de correo administrados por empresas e instituciones educativas. La otra mitad de esa historia la contamos en lo que Apple Mail Privacy Protection le hizo a las tasas de apertura.
Cómo distinguir un escáner de un lector
Ninguna señal basta por sí sola. Juntas suelen alcanzar para decidir si los números de una campaña se pueden creer. Esta es la tabla que recorremos cuando el reporte de un cliente se ve demasiado bien.
| Lo que muestra el reporte | Qué suele ser | Qué revisar | Qué hacemos con eso |
|---|---|---|---|
| Un contacto hizo clic en todos los enlaces del mensaje dentro del mismo segundo | Una pasarela recorriendo el mensaje | Si otros contactos del mismo dominio hicieron lo mismo | Descartar la ráfaga completa y conservar al contacto |
| Tasa de clics muy por encima de lo normal de esa lista, sin respuestas ni conversiones | Tráfico de escáneres sobre un lote de direcciones corporativas | Respuestas, conversiones y bajas del mismo envío | Comparar contra el historial de la propia lista, nunca contra un promedio publicado |
| Un bloque de clics que llega junto, horas después del envío | Un análisis diferido o programado | Las marcas de tiempo contra la ventana de envío | Leer el bloque como un solo evento, no como interés |
| Clics de un contacto que nunca registra una apertura | Revisión de enlaces sin carga de imágenes | Si ese dominio destinatario usa una pasarela de seguridad | Mantener al contacto activo y sacar el clic del puntaje de interacción |
| Una baja que nadie recuerda haber pedido | Una petición automatizada a la URL de baja | Si tu endpoint actúa con GET igual que con POST | Arreglar el endpoint primero, luego restaurar al suscriptor y disculparse |
Lee las cabeceras antes de discutir con el reporte
Cuando un cliente insiste en que un contacto nunca hizo clic, la forma más rápida de zanjarlo es el mensaje mismo. Pídele al destinatario el original del mensaje, las cabeceras completas y no un reenvío, que pierde casi todas.
La cadena Received nombra cada salto por el que pasó el mensaje al entrar. Si una pasarela de seguridad lo manejó, ese salto está en la cadena, y su envoltorio suele verse también en los enlaces. Esa es la diferencia entre decirle al dueño "creemos que algo lo escaneó" y nombrar el producto que lo hizo.
La baja que nadie pidió
Esta es la parte que cuesta suscriptores reales, y la que vale la pena arreglar hoy.
El RFC 8058, publicado en enero de 2017, define la baja en un clic. El remitente pone una URI HTTPS en la cabecera List-Unsubscribe y agrega una cabecera List-Unsubscribe-Post con una clave y un valor fijos. El proveedor que recibe el correo hace entonces un POST HTTPS a esa URI cuando el lector pide darse de baja desde el cliente de correo. El RFC es explícito en dos puntos: el receptor no debe enviar ese POST sin el consentimiento del usuario, y el remitente no debe responderlo con una redirección HTTPS, porque históricamente los POST redirigidos terminaron convertidos en GET.
List-Unsubscribe: <https://ejemplo.com/u/9f2c1a>, <mailto:baja@ejemplo.com>
List-Unsubscribe-Post: List-Unsubscribe=One-ClickEl hueco está en el otro método. El RFC señala que el destino del POST es la misma URL a la que llega una persona al hacer clic en el enlace de baja del cuerpo, así que un solo endpoint recibe los dos tipos de petición. No dice qué debería hacer ese endpoint con un GET, y ahí es donde aparece el daño. Si un GET da de baja al suscriptor, cada escáner que recorre el enlace de tu pie da de baja en silencio a un lector que nunca lo pidió, y te enteras cuando un cliente pregunta por qué dejaron de llegarle las facturas.
El arreglo es pequeño y vive por completo de tu lado. Un GET muestra una página de confirmación y no cambia nada. Un POST con el cuerpo documentado List-Unsubscribe=One-Click da de baja al suscriptor de inmediato, sin paso de confirmación y sin inicio de sesión, y la petición se atiende dentro de dos días, que es la ventana que nombran las guías para remitentes de Google. La configuración completa está en nuestra guía de baja en un clic y los dos encabezados que lee Gmail.
Lo que tu plataforma de envío ya filtra
Revisa qué hace la plataforma antes de construir nada, porque las respuestas difieren y cambian lo que deberías estar leyendo.
- Klaviyo marca cada evento
Clicked Emailcon un valorBot Clickverdadero o falso, y puedes filtrarlo en segmentos y en reportes personalizados. Su documentación aclara que esos datos empiezan el 1 de enero de 2022, así que los eventos anteriores no traen nada. - Constant Contact mantiene una lista de agentes de usuario conocidos de bots y escáneres de seguridad, y no registra la apertura ni el clic cuando reconoce uno. Su artículo, actualizado por última vez el 2 de octubre de 2025, es honesto en que no puede atraparlos todos.
- Kit tiene un filtro de actividad de bots que puedes activar o desactivar en la configuración de reportes, y cubre conteos de clics, de aperturas y el puntaje de interacción.
De ahí se desprenden dos cosas. El filtrado clasifica eventos que sí se registraron, así que no puede recuperar un clic que nunca se midió, y ningún proveedor afirma atraparlos todos. Toma el número filtrado como mejor, no como verdadero.
Qué revisamos en la cuenta de un cliente
- Sacamos los últimos tres envíos y leemos la forma de los clics, no la tasa: marcas de tiempo, enlaces por contacto y de qué dominios destinatarios salieron las ráfagas.
- Activamos el filtro de bots de la plataforma si lo tiene, y recalculamos esos mismos tres envíos para que el dueño vea el tamaño de la corrección.
- Hacemos una petición GET a la URL de baja desde un registro de suscriptor de prueba y revisamos si el registro cambió. Si cambió, ese es el primer arreglo.
- Reescribimos cada segmento y cada automatización que use interacción: activo según respuestas, compras y clics filtrados en una ventana larga, nunca según aperturas solas.
- Miramos qué hizo ya el dato falso. Reglas de supresión, flujos de reactivación y listas de seguimiento comercial construidas sobre clics inflados arrastran el error hacia adelante.
- Revisamos si los enlaces mismos son confiables, que es otra pregunta si usas un dominio de seguimiento propio.
Los números en los que sí confiamos
La tasa de spam reportada por usuarios en Postmaster Tools es la única cifra que un escáner no puede inflar, porque una máquina no presiona "reportar spam". Las guías para remitentes de Google piden a los remitentes masivos mantener esa tasa por debajo del 0.3 por ciento, y cada punto salió de una persona. Las respuestas, las conversiones y los tickets de soporte son evidencia del mismo tipo. La tasa de bajas se vuelve confiable una vez que cierras el hueco del GET, y ni un día antes. Nuestra guía de cómo activar Postmaster Tools y cómo leerlo cubre dónde viven esos números.
La tasa de clics y el clic sobre apertura siguen sirviendo. Léelas como tendencia de una lista, contra el historial de esa misma lista, recalculadas con el filtro de bots activo. Compararlas contra el promedio publicado de otra empresa nunca sirvió de mucho, y hoy sirve menos, porque no tienes idea de qué parte de esa lista vive detrás de una pasarela.
Cómo ayuda Guanacos Tech
Casi todo el trabajo aquí es de lectura, no de configuración: decidir qué mitad del reporte es real y después reparar los segmentos y las automatizaciones que se construyeron sobre la otra mitad. Repasamos los últimos envíos con el dueño, identificamos los dominios destinatarios que están escaneando, probamos el endpoint de baja con los dos métodos, activamos el filtrado que ofrezca la plataforma y reescribimos las reglas de interacción alrededor de señales que una máquina no puede producir. Si tu tasa de clics subió y tus respuestas no, eso vale una hora de consultoría de entregabilidad de correo antes de que alguien depure una lista con esos números. Una llamada de 30 minutos basta para decirte qué parte de tus datos de interacción es real y qué haría falta para limpiarlos.
Fuentes
- Microsoft Learn: Complete Safe Links overview for Microsoft Defender for Office 365
- RFC 8058: Signaling One-Click Functionality for List Email Headers (January 2017)
- Constant Contact: Preventing bot clicks from being represented in your email reporting
- Klaviyo Help Center: Understanding bot clicks
- Kit Help Center: How to manage bot activity filtering
- Google: Email sender guidelines