Como configurar SSL/TLS em um domínio legado de rastreamento de cliques

O que você vai aprender

Como configurar um certificado SSL/TLS válido para um domínio de rastreamento de cliques em uma configuração legada. A Klaviyo fornece o próprio rastreamento de cliques, mas nessa configuração ela não faz o provisionamento nem a renovação do certificado, então manter seus links de rastreamento funcionando depende de você configurar um.

Antes de começar

Conclua 2 verificações antes de mudar qualquer coisa. A primeira informa se este artigo se aplica ao seu domínio. A segunda informa se você tem um problema de certificado ou de link de rastreamento para corrigir.

Etapa 1: confirme que seu domínio está em uma configuração legada

Os controles de domínio de rastreamento de cliques exigem um plano pago da Klaviyo. Se você não conseguir acessá-los, verifique os registros no seu provedor de DNS ou entre em contato com o suporte da Klaviyo para confirmar sua configuração.

1. Acesse Configurações > Domínios na sua conta Klaviyo.
2. Na seção Domínios de rastreamento de cliques, encontre seu domínio de rastreamento de cliques.
3. Selecione o menu de três pontos ao lado do domínio e escolha Ver registros.

Estes são os registros exigidos pelo seu domínio, e não uma leitura em tempo real do seu DNS, então você pode verificá-los a qualquer momento. Se você quiser ter certeza, compare-os com os registros no seu provedor de DNS.

• Um registro CNAME que aponta para um endereço klaviyodns.com, como dct.klaviyodns.com, significa que você está usando a configuração atual da Klaviyo. A Klaviyo gerencia seu certificado, e você não precisa deste artigo.
• Registros CNAME que apontam para sendgrid.net significam que seu domínio está em uma configuração legada, e o restante deste artigo se aplica a você.

Etapa 2: verifique o certificado e um link rastreado

Abra seu domínio de rastreamento de cliques em um navegador por https://. Se a página carregar sem nenhum aviso de segurança, significa que está sendo fornecido um certificado válido para esse nome de host exato. Copie um link rastreado de um e-mail recente enviado usando esse domínio. Se ele começar com http://, altere apenas esse prefixo para https://. Abra o link e confirme se ele leva à página pretendida. Uma verificação de certificado, por si só, não testa o redirecionamento de rastreamento. Se você vir um aviso de certificado, seus links de rastreamento estarão em risco, e o restante deste artigo se aplica.

Estar em uma configuração legada não significa, por si só, que haja algo errado. Se o seu certificado estiver válido e os links rastreados funcionarem, não é necessário fazer nenhuma alteração no certificado. Repita essas verificações periodicamente, porque uma configuração que funciona hoje pode parar de funcionar mais tarde, por exemplo, quando um certificado expira ou uma CDN muda.

Você precisará de acesso ao seu provedor de DNS e a uma plataforma de CDN.

Por que isso importa agora

Duas coisas tornam um certificado ausente ou inválido mais grave do que costumava ser.

Os navegadores podem atualizar links HTTP para HTTPS. Dependendo do navegador e das configurações de segurança dele, os destinatários podem ver um aviso ou ser impedidos de abrir um link de rastreamento de cliques se o domínio não conseguir fornecer um certificado válido.

Seu próprio domínio talvez já exija HTTPS. Se o seu domínio raiz enviar uma política de HSTS que inclua a diretiva includeSubDomains, os navegadores também aplicam HTTPS ao seu subdomínio de rastreamento de cliques. Em um host coberto por essa política, um problema de certificado se torna uma falha definitiva, sem opção de continuar, em vez de um aviso que o destinatário pode ignorar e seguir em frente.

Você pode verificar sua política com uma ferramenta como este teste de HSTS, executando-a tanto no seu domínio raiz quanto no seu domínio de rastreamento de cliques. Se a política do seu domínio raiz incluir includeSubDomains, a política do domínio raiz também abrange seu subdomínio de rastreamento de cliques. Uma política sem essa diretiva não se estende do domínio raiz para o subdomínio, mas o subdomínio de rastreamento de cliques pode ter a própria política de HSTS.

O que configurar na sua conta do seu provedor de CDN

Qualquer CDN que possa fazer proxy de solicitações para uma origem personalizada e servir seu próprio certificado SSL/TLS vai funcionar. O Klaviyo não exige um provedor específico. O importante é que sua configuração atenda a todos os requisitos abaixo.

• Origem: aponte a CDN para sendgrid.net.
• Cabeçalho do host: envie seu domínio de rastreamento de cliques como o cabeçalho Host nas solicitações para a origem. Este é o requisito que as orientações gerais de CDN mais costumam deixar passar, e a configuração não vai funcionar sem ele.
• Conexão com a origem: se o seu CDN se conectar à origem via HTTPS, ele deverá validar o certificado de origem em relação a sendgrid.net, e não em relação ao cabeçalho Host que você está encaminhando. Se o seu CDN não conseguir separar esses 2 valores, conecte-se à origem via HTTP. A conexão entre os destinatários e o CDN permanece criptografada, mas a conexão HTTP do CDN com a origem não é criptografada.
• Certificado: forneça um certificado SSL/TLS válido, confiável publicamente, para o seu nome de host exato de rastreamento de cliques. Um certificado que cobre apenas seu domínio raiz não cobre o subdomínio.
• Cache: desative o cache. As solicitações de rastreamento de cliques são redirecionamentos únicos e não podem ser armazenadas em cache.
• Strings de consulta: encaminhe a string de consulta completa para a origem. As informações de rastreamento são carregadas na URL, e removê-las quebra o redirecionamento.
• DNS: configure o nome de host de rastreamento de cliques conforme as instruções do seu provedor de CDN para que as solicitações passem pela CDN. Se o seu provedor fornecer um nome de host de destino, aponte um registro CNAME para ele e confirme que o seu nome de host de rastreamento resolve publicamente. Se você usa a Cloudflare como CDN, ative o proxy para o nome de host de rastreamento; registros com proxy retornam endereços IP da Cloudflare em vez de um CNAME público. Uma regra de redirecionamento, encaminhamento de domínio ou mascaramento de URL no seu provedor de DNS não é suficiente. A CDN precisa fazer proxy da solicitação e servir o próprio certificado.

Problemas comuns

Seus links não funcionam depois que você configura o CDN? Estas são as causas mais comuns.

• Todo link de rastreamento retorna um erro 502 ou de gateway inválido. Verifique os detalhes do erro do seu CDN. Um certificado de origem que não corresponde ao nome do host usado para validação pode causar esse erro. Para essa incompatibilidade, configure a CDN para validar o certificado de origem em relação a sendgrid.net ou use HTTP para a origem, conforme descrito acima. Outras causas incluem problemas de DNS ou uma origem que não pode ser acessada.
• Os destinatários veem um aviso de certificado com o nome de um domínio diferente. O certificado que a CDN está servindo não cobre exatamente o seu hostname de rastreamento de cliques. Confirme que o hostname está listado no certificado e que o certificado não expirou.
• A CDN está transmitindo tráfego, mas seu domínio ainda não carrega via HTTPS. Verifique se o HTTPS está ativado e se sua CDN está fornecendo um certificado válido para seu hostname de rastreamento de cliques. Se o certificado estiver ausente, adicione-o nas configurações de TLS ou SSL do seu provedor.
• Links funcionavam e pararam recentemente. Verifique a data de validade do certificado e confirme se o domínio de rastreamento de cliques ainda está configurado na sua CDN. Se ambos estiverem corretos, verifique as configurações de DNS e de origem acima.

Documentação do provedor

A Klaviyo não gerencia esses serviços e não pode solucionar problemas dentro deles. Use a documentação do seu provedor para ver o passo a passo exato e relacione essas etapas aos requisitos acima.

• Cloudflare: use uma regra de configuração para definir o modo SSL/TLS do seu nome de host de rastreamento de cliques.
• Fastly: defina o host de substituição como seu domínio de rastreamento de cliques e defina o certificado e os nomes de host de SNI como a origem. Você também precisa adicionar um certificado para seu domínio em gerenciamento de TLS, que é separado das configurações de origem.
• Amazon CloudFront: seu certificado deve ser emitido no leste dos EUA (N. Virginia) para ser selecionável, e seu domínio de rastreamento de cliques é adicionado como um nome de domínio alternativo.
• bunny.net: seu domínio de rastreamento de cliques é adicionado como um nome de host personalizado em uma pull zone, e o cabeçalho Host é definido com uma regra de edge.
• KeyCDN: seu domínio de rastreamento de cliques é adicionado como um alias de zona em uma pull zone.

Se o seu provedor não estiver listado, procure as configurações equivalentes: uma origem personalizada, uma forma de substituir o cabeçalho Host enviado para essa origem, um domínio personalizado com seu próprio certificado SSL/TLS e uma forma de desativar o cache.

Informe ao Klaviyo quando seu certificado estiver pronto

Configurar o certificado torna o domínio de rastreamento de cliques acessível via https, mas não altera os links que a Klaviyo insere nos seus e-mails. Dependendo das configurações da sua conta, esses links ainda podem ser inseridos como http até que a Klaviyo atualize a configuração no seu domínio.

Primeiro, verifique seu certificado por conta própria. Abra seu domínio de rastreamento de cliques em um navegador usando https:// e confirme se a página carrega sem nenhum aviso de segurança e com um certificado válido para esse nome de host exato. Teste também um link rastreado de um e-mail recente enviado usando esse domínio via HTTPS. Se começar com http://, altere apenas esse prefixo para https:// e confirme se o link leva à página pretendida.

Em seguida, entre em contato com o suporte da Klaviyo. Peça para verificarem se seu domínio legado de rastreamento de cliques está configurado para gravar links https daqui para frente. Depois que isso estiver em vigor, os links de rastreamento nos e-mails que você enviar a partir de então usarão https, que é a configuração mais segura e a que os navegadores esperam cada vez mais.

Essa mudança se aplica aos e-mails que você enviar depois que ela for feita. Ela não reescreve os links em e-mails que você já enviou.

Depois que o suporte confirmar a alteração, verifique um link rastreado no próximo e-mail que você enviar. Confirme se começa com https:// e chega à página pretendida.

Se preferir não gerenciar certificados SSL/TLS usando um CDN

Em vez disso, você pode usar o rastreamento de cliques fornecido pela Klaviyo. Nessa configuração, a Klaviyo emite e renova o certificado SSL/TLS para você, e não há nada que você precise manter.

Para configurar um novo domínio de rastreamento de cliques, você precisa de um plano pago da Klaviyo e permissão para gerenciar domínios.

Remover a configuração legada no Klaviyo não exclui o registro CNAME no seu provedor de DNS. Desde que você mantenha esse registro e a sua CDN como estão, os links em e-mails que você já enviou continuam sendo resolvidos. Remover o domínio desconecta quaisquer Universal Links ou Android App Links associados. Antes de remover o domínio, entre em contato com o suporte da Klaviyo se você precisar preservar esses links.

1. Quando você estiver pronto para mudar, acesse Configurações > Domínios. Em Domínios de rastreamento de cliques, abra o menu de três pontos ao lado do domínio legado, selecione Remover e confirme a remoção.
2. Em Domínios de rastreamento de cliques, selecione Adicionar domínio. Escolha um subdomínio diferente do subdomínio legado para que o registro DNS legado possa permanecer no lugar e conclua a configuração do DNS.
3. Depois que o novo domínio for verificado, selecione Ativar e confirme. Os próximos e-mails vão usar o novo domínio de rastreamento de cliques.

A mudança só se aplica daqui para frente. A Klaviyo pode fornecer um certificado para links nos e-mails que você enviar após a mudança, mas não para links em e-mails que você já enviou no seu domínio legado. Esses ainda precisam de uma CDN se você quiser que eles sejam resolvidos via https.

Dependendo das configurações da sua conta, links em e-mails que você já enviou podem ter sido escritos como http://. Os navegadores podem atualizar esses links para https://, então o nome do host legado ainda precisa de um certificado válido quando ocorrer uma atualização. A grande maioria dos cliques acontece nas primeiras 48 horas após o envio de um e-mail, então talvez não seja necessário atualizar links antigos para todos os remetentes. Antes de decidir, considere até quanto tempo atrás é provável que seus destinatários cliquem.

Para ver as etapas de configuração, consulte Como configurar o rastreamento de cliques exclusivo.