你寄了一封行銷郵件給企業聯絡人名單，不到一分鐘，後台數據就熱鬧起來。點擊率比以往任何一次都高，信裡的每個連結似乎都有人關注，還有幾位收件人像是在同一時間點遍了所有連結。
再看轉換數據，卻沒有任何變化。
這幾乎可以確定是企業郵件安全掃描器產生的自動點擊。它們會開啟並造訪來信中的連結，檢查是否有威脅，而在你的分析系統看來，這些請求就像真人造訪一樣。點擊時間、請求模式和到達頁面上的活動，可以協助區分自動檢查與真實點擊。
#什麼是郵件連結掃描器？
大多數企業郵件在進入收件匣之前，都會經過安全過濾。Microsoft Defender for Office 365 的 Safe Links、Mimecast、Proofpoint、Barracuda 等工具會檢查來信中的連結，保護組織免於網路釣魚和惡意軟體的威脅。
檢查方式有幾種。許多工具會改寫郵件中的每個連結，讓造訪先經過安全服務商的系統，以便在使用者點擊當下檢查目的地。許多工具也會在郵件送達時擷取連結，沿著轉址造訪最終頁面進行檢查，有時還會在沙箱瀏覽器中開啟。有些工具會同時採用這兩種方式。
對你而言，這些自動擷取看起來就是點擊。短網址或追蹤用的轉址服務會記錄請求、裝置和位置，並計入點擊次數，處理方式與真人點擊相同。
#為什麼點擊次數會虛高？
掃描器通常會檢查信裡的每一個連結，不只是讀者可能選擇的那一個。因此，郵件頂端的 Logo、頁尾連結、社群圖示和主要行動呼籲，都可能在短短幾秒內產生「點擊」。
即使信件根本沒人讀，掃描器也會點擊裡面的連結。一封一直躺在收件匣、從未被開啟的郵件，仍可能顯示有點擊，因為掃描器在信件送達時就檢查過了。
這種影響主要集中在 B2B 情境。Gmail 或 Outlook.com 等個人信箱也會掃描威脅，但企業郵件閘道會更積極地擷取連結。如果名單裡有大量企業網域，尤其是大型組織和受監管產業的網域，記錄到的點擊中可能有很大一部分來自安全工具。
結果就是：點擊率看起來很好，點擊後的轉換率卻很差。A/B 測試也可能讓你得出錯誤結論，只因其中一個版本剛好寄給了更多安全過濾嚴格的網域。
#不只數據分析會受影響
數字虛高還算是較輕微的問題。只要連結一被擷取就會執行某個動作，就可能被掃描器觸發。
取消訂閱連結是典型例子。如果點擊連結就會立即取消訂閱，掃描器可能在收件人不知情的情況下替他取消。這也是定義郵件標頭一鍵取消訂閱機制的 RFC 8058 要求透過 POST 請求執行動作，而非單純擷取連結的部分原因。
免密碼登入連結和一次性確認連結也有同樣的問題。掃描器可能在收件人點擊前就用掉一次性權杖，讓真正的使用者看到「連結已過期」的錯誤。雙重確認訂閱流程中的確認動作也可能被自動觸發，失去原本的用意。
基本原則是：郵件連結發出的 GET 請求不應觸發敏感的狀態變更。適當時應加入確認動作。RFC 8058 的一鍵取消訂閱是獨立的 POST 流程，仍應維持真正的一鍵完成。
#如何辨識機器人點擊？
時間是最明顯的線索。掃描器點擊通常在郵件送達後幾秒內出現，這時真人可能連信都來不及開，更不用說讀完。如果寄出後的第一分鐘內出現一波密集點擊，尤其來自企業網域，就很值得懷疑。
點遍所有連結也是一個訊號。如果某位收件人看起來在一兩秒內點了信裡的全部連結，連頁尾和圖片都沒漏掉，通常就是掃描器在逐一造訪。
再看看點擊來自哪裡。掃描器請求通常來自雲端服務與資料中心網路，例如 Microsoft、Google、Amazon 或安全服務商自己的基礎架構，而非家用或行動網路。位置資料可能顯示的是資料中心所在城市，而不是收件人的工作地點。
User-Agent 與造訪行為也能提供線索。有些掃描器使用明顯的機器人 User-Agent，有些則模仿真實瀏覽器。不過，它們進入頁面後很少表現得像真人：不捲動、不繼續瀏覽其他頁面、不與表單互動，而且往往不執行 JavaScript。
#如何從資料中過濾機器人點擊？
沒有任何單一方法能辨識所有機器人，因此需要搭配幾種做法。
設定從送達至點擊的時間門檻。例如，將郵件送達後 10 到 30 秒內發生的點擊標記為可疑，並分開統計。真人很少能這麼快完成開信、閱讀和點擊。不過，有些積極互動的收件人確實會迅速點擊，因此應依自己的資料調整門檻。
加入隱藏的蜜罐連結。在信裡放一個透過樣式隱藏、也不會連往重要頁面的連結。讀者看不到，自然不會點；逐一檢查所有連結的掃描器卻會造訪。蜜罐請求是這封信出現自動化活動的線索，但收件人之後仍可能有真實點擊。應標記個別事件，搭配其他訊號判斷，不要把該收件人的所有點擊都排除。
依網路來源過濾。排除或標記來自已知資料中心與雲端網路的點擊。連結分析工具可能會顯示每次點擊背後的網路或組織；若沒有，也能從 IP 位址查出所屬的自治系統。注意別把透過雲端企業 VPN 連線的真實使用者也排除掉。
衡量到達頁面上的互動。將 JavaScript 執行、頁面捲動、停留時間和互動行為當作輔助訊號，而非真人造訪的證明。有些掃描器會執行指令碼，真實訪客卻可能封鎖指令碼或很快離開。許多掃描器根本不執行指令碼，即使會執行，也很少表現得像真人。
最後，用實際結果評估行銷活動。註冊、購買、回信和預約產品展示，都比一次點擊更難被機器人偽造。如果活動的點擊增加，轉換卻沒有起色，兩者之間的落差往往來自機器人。
#用短網址區分真實點擊與自動造訪
短網址和連結分析讓機器人過濾更容易，因為每次點擊都會經過你能查看紀錄的轉址服務。S.EE 的連結分析提供每次點擊的時間戳記、國家與城市、裝置、瀏覽器和來源頁面，這些原始資料能協助找出密集點擊、資料中心所在地及不合理的造訪模式。
幾個使用習慣會有幫助。為信裡的每個連結分別建立短網址，不要在頂端、內文和頁尾重複使用同一個，才能看出它們是否同時出現點擊。不同活動、不同寄送批次也使用獨立連結，便於比較送達後最初幾分鐘與當天其他時間的表現。
郵件連結也應使用自己的品牌網域。除了我們在短網址是否影響郵件送達率一文中介紹的好處，它還能讓連結更容易辨認，並讓你更能掌握網域信譽。分析資料能否分開統計，取決於平台的帳號與連結紀錄，光是擁有網域並不足夠。
#開信率虛高又是怎麼回事？
開信率也有類似問題，但成因不同。對於啟用 Mail Privacy Protection 的使用者，Apple 會預先載入郵件圖片，包括追蹤像素，因此許多信件不論有沒有人看過，都會被記錄為已開啟。有些安全掃描器在檢查郵件時也會載入圖片。
這就是為什麼對許多寄件者而言，開信率已經不太能說明問題。過濾機器人後的點擊和轉換，更能反映真實互動。我們關於訪客封鎖 Cookie 時如何進行連結分析的指南，也介紹了追蹤方式的其他變化。
#結語
企業郵件連結掃描器會造訪來信中的連結來檢查威脅，而在分析系統裡，這些檢查看起來就是點擊。常見訊號包括郵件送達後幾秒內出現點擊、所有連結同時被點擊，以及流量來自資料中心網路而非真實使用者。
搭配點擊時間門檻、隱藏的蜜罐連結、依網路來源排除和到達頁面互動來過濾，並以轉換而非原始點擊次數評估活動。不要讓擷取連結的 GET 請求觸發敏感操作，同時保留符合標準、以 POST 為基礎的一鍵取消訂閱。
感謝閱讀！如果你需要足夠詳細的點擊資料來辨識機器人，以及方便分開統計郵件流量的品牌連結，S.EE 將短網址、自訂網域和即時數據分析整合在同一處。
準備開始了？建立你的第一個連結，或查看價格，找到適合郵件寄送量的方案。
#關於郵件連結掃描器與機器人點擊的常見問題
##為什麼我的郵件點擊率高得不正常？
Microsoft Safe Links、Mimecast 和 Proofpoint 等企業郵件安全工具，經常會造訪來信中的每個連結來檢查威脅。這些自動擷取會在分析系統中被記錄為點擊，造成點擊率虛高。
##如何判斷郵件點擊是否來自機器人？
留意郵件送達後幾秒內發生的點擊、同一收件人同時點擊所有連結、來自雲端或資料中心網路的點擊，以及點擊後在到達頁面上沒有任何互動的情況。
##郵件掃描器會自動替人取消訂閱嗎？
會，前提是取消訂閱連結一被擷取就立即執行動作。應使用帶有按鈕的確認頁面，並支援 RFC 8058 一鍵取消訂閱；後者要求使用 POST 請求，而非單純擷取連結。
##什麼是郵件中的蜜罐連結？
它是對讀者隱藏、只有自動掃描器會造訪的連結。對它發出的請求能指出自動化活動，但不能證明該收件人的其他點擊也全是自動產生的。
##郵件連結掃描器會影響 A/B 測試結果嗎？
會。如果其中一個版本的收件人有更多使用積極掃描的安全閘道，就可能產生更多機器人點擊，看起來像是勝出的版本。應依過濾後的點擊判斷測試結果，更好的做法是看轉換。
##個人信箱服務商也會掃描連結嗎？
個人信箱服務商也會掃描威脅，但企業安全閘道通常會更積極地擷取連結。名單中有許多企業信箱時，機器人點擊的情況最明顯。
