Cómo configurar SSL/TLS en un dominio heredado de seguimiento de clics

Qué aprenderás

Cómo configurar un certificado SSL/TLS válido para un dominio de seguimiento de clics en una configuración heredada. Klaviyo proporciona el seguimiento de clics en sí, pero en esta configuración no realiza el aprovisionamiento ni renueva el certificado, así que mantener los enlaces de seguimiento operativos depende de que tú configures uno.

Antes de empezar

Completa 2 comprobaciones antes de cambiar nada. La primera te indica si este artículo se aplica a tu dominio. La segunda te indica si tienes un problema con el certificado o con el enlace de seguimiento que corregir.

Paso 1: confirma que el dominio está en una configuración heredada

Los controles de dominio para el seguimiento de clics requieren un plan de pago de Klaviyo. Si no puedes acceder a ellos, revisa los registros en tu proveedor de DNS o ponte en contacto con el equipo de soporte de Klaviyo para confirmar la configuración.

1. Ve a Configuración > Dominios en la cuenta de Klaviyo.
2. En la sección Dominios de seguimiento de clics, busca el dominio de seguimiento de clics.
3. Selecciona el menú de tres puntos junto al dominio y elige Ver registros.

Estos son los registros que requiere tu dominio, en lugar de una lectura en tiempo real de tu DNS, por lo que puedes consultarlos en cualquier momento. Si quieres asegurarte, compáralos con los registros de tu proveedor de DNS.

• Un registro CNAME que apunta a una dirección klaviyodns.com, como dct.klaviyodns.com, significa que estás usando la configuración actual de Klaviyo. Klaviyo gestiona tu certificado y no necesitas este artículo.
• Los registros CNAME que apuntan a sendgrid.net significan que tu dominio está en una configuración heredada, y el resto de este artículo se aplica a tu caso.

Paso 2: comprueba el certificado y un enlace con seguimiento

Abre el dominio de seguimiento de clics en un navegador mediante https://. Si la página carga sin ninguna advertencia de seguridad, se está sirviendo un certificado válido para ese nombre de host exacto. Copia un enlace con seguimiento de un email reciente enviado mediante este dominio. Si empieza por http://, cambia solo ese prefijo a https://. Abre el enlace y confirma que llega a la página prevista. Una comprobación del certificado por sí sola no prueba la redirección de seguimiento. Si ves una advertencia de certificado, tus enlaces de seguimiento están en riesgo y se aplica el resto de este artículo.

Tener una configuración heredada no significa por sí solo que haya algo mal. Si el certificado es válido y los enlaces rastreados funcionan, no es necesario cambiar el certificado. Repite estas comprobaciones periódicamente, porque una configuración que funciona hoy puede dejar de funcionar más adelante, por ejemplo, cuando caduca un certificado o cambia una CDN.

Necesitarás acceder a tu proveedor de DNS y a una plataforma de CDN.

Por qué esto es importante ahora

Hay 2 motivos por los que un certificado que falta o no es válido es más grave que antes.

Los navegadores pueden actualizar los enlaces HTTP a HTTPS. Según el navegador y su configuración de seguridad, los destinatarios pueden ver una advertencia o no poder abrir un enlace de seguimiento de clics si el dominio no puede proporcionar un certificado válido.

Es posible que tu propio dominio ya requiera HTTPS. Si el dominio raíz envía una política HSTS que incluye la directiva includeSubDomains, los navegadores también aplican HTTPS en el subdominio de seguimiento de clics. En un host cubierto por esa política, un problema con el certificado se convierte en un fallo definitivo sin opción de continuar, en lugar de una advertencia que un destinatario puede ignorar y seguir adelante.

Puedes comprobar la política con una herramienta como esta prueba de HSTS, ejecutándola tanto en el dominio raíz como en el dominio de seguimiento de clics. Si la política del dominio raíz incluye includeSubDomains, la política del dominio raíz también cubre el subdominio de seguimiento de clics. Una política sin esa directiva no se extiende del dominio raíz al subdominio, pero el subdominio de seguimiento de clics puede tener su propia política de HSTS.

Qué configurar en la cuenta de tu proveedor de CDN

Cualquier CDN que pueda actuar como proxy de las solicitudes a un origen personalizado y servir tu propio certificado SSL/TLS funcionará. Klaviyo no requiere un proveedor específico. Lo importante es que la configuración cumpla todos los requisitos que se indican a continuación.

• Origen: apunta el CDN a sendgrid.net.
• Encabezado Host: envía tu dominio de seguimiento de clics como el encabezado Host en las solicitudes al origen. Este es el requisito que las directrices generales sobre la CDN pasan por alto con más frecuencia, y la configuración no funcionará sin él.
• Conexión con el origen: si tu CDN se conecta al origen a través de HTTPS, debe validar el certificado del origen frente a sendgrid.net en lugar de frente al encabezado Host que estás reenviando. Si tu CDN no puede separar esos 2 valores, conéctate al origen mediante HTTP. La conexión entre los destinatarios y la CDN sigue estando cifrada, pero la conexión HTTP desde la CDN al origen no está cifrada.
• Certificado: sirve un certificado SSL/TLS válido y de confianza pública para el nombre de host exacto de seguimiento de clics. Un certificado que solo cubra el dominio raíz no cubrirá el subdominio.
• Almacenamiento en caché: desactiva el almacenamiento en caché. Las solicitudes de seguimiento de clics son redirecciones de una sola vez y no se deben almacenar en caché.
• Cadenas de consulta: reenvía la cadena de consulta completa al origen. La información de seguimiento se transporta en la URL, y eliminarla rompe la redirección.
• DNS: configura el nombre de host de seguimiento de clics según las instrucciones de tu proveedor de CDN para que las solicitudes pasen por la CDN. Si tu proveedor te proporciona un nombre de host de destino, apunta un registro CNAME a ese nombre y confirma que el nombre de host de seguimiento se resuelve públicamente. Si usas Cloudflare como CDN, activa el proxy para el nombre de host de seguimiento; los registros con proxy devuelven direcciones IP de Cloudflare en lugar de un CNAME público. Una regla de redirección, reenvío de dominio o enmascaramiento de URL en tu proveedor de DNS no es suficiente. La CDN tiene que actuar como proxy de la solicitud y servir el certificado por sí misma.

Problemas comunes

Si los enlaces no funcionan después de configurar la CDN, estas son las causas habituales.

• Todos los enlaces de seguimiento devuelven un error 502 o bad gateway. Comprueba los detalles del error de tu CDN. Un certificado de origen que no coincide con el nombre de host usado para la validación puede provocar este error. Para corregir esa discrepancia, configura la CDN para validar el certificado de origen con respecto a sendgrid.net o utiliza HTTP hacia el origen, tal como se describe arriba. Otras causas incluyen problemas de DNS o un origen al que no se puede acceder.
• Los destinatarios ven una advertencia de certificado en la que se indica un dominio diferente. El certificado que sirve tu CDN no cubre tu nombre de host exacto de seguimiento de clics. Confirma que el nombre de host figure en el certificado y que el certificado no haya caducado.
• La CDN está pasando tráfico, pero el dominio todavía no carga a través de HTTPS. Comprueba que HTTPS está habilitado y que la CDN esté sirviendo un certificado válido para el nombre de host de seguimiento de clics. Si falta el certificado, añádelo en la configuración de TLS o SSL del proveedor.
• Los enlaces funcionaban y hace poco dejaron de hacerlo. Comprueba la fecha de caducidad del certificado y confirma que el dominio de seguimiento de clics sigue configurado en tu CDN. Si ambos son correctos, comprueba la configuración de DNS y del origen indicada arriba.

Documentación del proveedor

Klaviyo no gestiona estos servicios y no puede solucionar problemas dentro de ellos. Usa la documentación del proveedor para conocer los pasos exactos y ajusta esos pasos a los requisitos anteriores.

• Cloudflare: usa una regla de configuración para establecer el modo SSL/TLS del nombre de host de seguimiento de clics.
• Fastly: configura el host de anulación para el dominio de seguimiento de clics y configura el certificado y los nombres de host SNI para el origen. También tienes que añadir un certificado para tu dominio en la gestión de TLS, que está separada de la configuración del origen.
• Amazon CloudFront: tu certificado debe emitirse en el este de EE. UU. (N. Virginia) para que puedas seleccionarlo, y tu dominio de seguimiento de clics se añadirá como un nombre de dominio alternativo.
• bunny.net: el dominio de seguimiento de clics se añade como un nombre de host personalizado en una pull zone, y el encabezado Host se configura con una edge rule.
• KeyCDN: el dominio de seguimiento de clics se añade como alias de zona en una zona de extracción.

Si tu proveedor no aparece en la lista, busca los ajustes equivalentes: un origen personalizado, una forma de sobrescribir el encabezado Host que se envía a ese origen, un dominio personalizado con su propio certificado SSL/TLS y una forma de desactivar el almacenamiento en caché.

Indica a Klaviyo cuándo está listo el certificado

Configurar el certificado hace que el dominio de seguimiento de clics sea accesible a través de https, pero no cambia los enlaces que Klaviyo inserta en tus emails. En función de la configuración de la cuenta, es posible que esos enlaces sigan insertándose como http hasta que Klaviyo actualice el ajuste en tu dominio.

Primero, comprueba tu certificado. Abre tu dominio de seguimiento de clics en un navegador a través de https:// y confirma que la página se carga sin ninguna advertencia de seguridad y con un certificado válido para ese nombre de host exacto. Además, prueba un enlace con seguimiento de un email reciente enviado con este dominio a través de HTTPS. Si empieza por http://, cambia solo ese prefijo a https:// y, después, confirma que el enlace lleva a la página prevista.

Luego, ponte en contacto con el equipo de asistencia de Klaviyo. Pídeles que se aseguren de que el dominio heredado de seguimiento de clics esté configurado para generar enlaces https de ahora en adelante. Una vez que esté configurado, los enlaces de seguimiento de los emails que envíes a partir de entonces usarán https, que es la configuración más segura y la que los navegadores esperan cada vez más.

Este cambio se aplica a los emails que envíes después de realizarlo. No reescribe los enlaces en los emails que ya has enviado.

Cuando soporte confirme el cambio, revisa un enlace rastreado en el próximo email que envíes. Confirma que empieza por https:// y llega a la página prevista.

Si prefieres no gestionar certificados SSL/TLS mediante un CDN

En su lugar, puedes pasarte al seguimiento de clics proporcionado por Klaviyo. Con esa configuración, Klaviyo emite y renueva el certificado SSL/TLS por ti, y no hay nada que mantener.

Para configurar un nuevo dominio de seguimiento de clics, necesitas un plan de pago de Klaviyo y permiso para gestionar dominios.

Eliminar la configuración heredada en Klaviyo no elimina el registro CNAME en el proveedor de DNS. Mientras dejes ese registro y la CDN en su sitio, los enlaces de los emails que ya has enviado seguirán resolviéndose. Eliminar el dominio sí desconecta cualquier Universal Link o Android App Link asociado. Antes de eliminar el dominio, ponte en contacto con el equipo de asistencia de Klaviyo si necesitas conservar estos enlaces.

1. Cuando estés listo para cambiar, ve a Configuración > Dominios. En Dominios de seguimiento de clics, abre el menú de tres puntos junto al dominio heredado, selecciona Eliminar y confirma la eliminación.
2. En Dominios de seguimiento de clics, selecciona Añadir dominio. Elige un subdominio distinto del heredado para que el registro DNS heredado pueda permanecer en su sitio y completa la configuración de DNS.
3. Una vez verificado el nuevo dominio, selecciona Activar y confirma. Los próximos emails usarán el nuevo dominio de seguimiento de clics.

El cambio se aplica solo de ahora en adelante. Klaviyo puede proporcionar un certificado para los enlaces de los emails que envíes después de hacer el cambio, pero no para los enlaces de los emails que ya has enviado en el dominio heredado. Para esos, seguirás necesitando una CDN si quieres que se resuelvan a través de https.

Según la configuración de tu cuenta, es posible que los enlaces en los emails que ya has enviado se hayan escrito como http://. Los navegadores pueden actualizar esos enlaces a https://, por lo que el nombre de host heredado sigue necesitando un certificado válido cuando se produce una actualización. La gran mayoría de los clics se producen en las 48 horas posteriores al envío de un email, por lo que puede que no sea necesario actualizar los enlaces anteriores para todos los remitentes. Antes de decidirlo, plantéate hasta qué punto es probable que tus destinatarios hagan clic en enlaces antiguos.

Para ver los pasos de configuración, consulta Cómo configurar un seguimiento de clics exclusivo.