Sender Authentication Package en Marketing Cloud

¿Qué es el Sender Authentication Package?

El Sender Authentication Package (SAP) es una herramienta de Salesforce Marketing Cloud que permite configurar y preparar los dominios que se usarán para el envío de comunicaciones por email, de forma que estos sean seguros, personalizados de acuerdo al branding de la compañía y se garantice la entregabilidad. Las funciones de SAP incluyen Private Domains para el envío de correo electrónico, Private Domains para CloudPages (landings), Account Branding con la opción de 'view as web page', IP dedicada y Reply Mail Management para la gestión automática de respuestas. Si bien estas funciones se pueden comprar individualmente, la opción de 'view as web page' y el wrapping de links e imágenes solo están disponibles con el SAP.

• Dominio privado para email - Este producto permite configurar un dominio para enviar emails. Este dominio actúa como la dirección "De:" para los envíos de correo electrónico. Salesforce Marketing Cloud autentica los envíos de correo electrónico utilizando Sender Policy Framework (SPF), Sender ID y la autenticación DomainKeys / DKIM.
• Dominio privado para landings - Por defecto, las CloudPages desarrolladas en SFMC tendrán referencias a Marketing Cloud en la URL, pero un dominio privado para CloudPages cambia la URL a una dirección de marca personalizable y que nos identificará mejor de cara a los clientes.
• Dirección IP dedicada - Este producto asigna una dirección IP única a la cuenta para que la reputación sea completamente nuestra. Todos los mensajes de correo electrónico enviados desde la cuenta a través de Marketing Cloud utilizan esta dirección IP. Esta dirección IP representa la mayor parte de la reputación de envío de email.
• Gestión de correo de respuesta - Este producto controla las respuestas que recibimos de los suscriptores. Se pueden asignar filtros para mensajes de fuera de la oficina y solicitudes de cancelación de suscripción manual.

¿Cómo se configura?

Para poder realizar la configuración del Sender Authentication Package es necesario analizar y decidir previamente una serie de cuestiones, todas ellas relacionadas con los dominios a usar. Cada uno de estos puntos deberá revisarse con los equipos funcionales y técnicos de la compañía, trasladándoles las implicaciones de cada decisión.

Primera decisión: ¿un único SAP o varios?

La primera decisión consiste en elegir cuantos SAP (Sender Authentication Package) serán necesarios configurar para la cuenta de SFMC. La recomendación (y lo más habitual) es tener un único SAP para toda la cuenta, que será compartido por las distintas Business Units. No obstante, también existe la posibilidad de tener un SAP distinto por cada BU (lo cual implica un mayor coste de licencia, configuración, etc.).

La implicación de tener un SAP o varios está en el wrapping de las imágenes y links. Cada SAP permite elegir un dominio/subdominio base que será el que marque el branding que aparecerá en todos los links/imágenes incluidos en los emails, independientemente del sender o remitente usado. Por ejemplo, si tenemos un SAP y elegimos como dominio base 'mimarca.com':

• Cuando un cliente vaya a hacer click sobre un enlace de nuestras comunicaciones le aparecerá un enlace de tipo https://click.mimarca.com/?Secuencial
• Cuando un cliente pase por encima de una imagen dentro de nuestras comunicaciones le aparecerá un enlace de tipo https://view.mimarca.com/?Secuencial

Esta decisión no afecta a los remitentes (senders) de los emails ni a las URLs de landings, que podrán estar personalizados por país, área, marca, etc.

Segunda decisión: ¿qué dominio/subdominio base elegimos para configurar el SAP?

Para poder iniciar la configuración del Sender Authentication Package necesitamos elegir el dominio/subdominio que se usará como base del SAP. Como se ha comentado en el punto anterior, este dominio base que seleccionemos marcará cual es el dominio a partir del cual se sirven las imágenes y los links de los emails (link and image wrapping).

La recomendación es elegir un dominio/subdominio genérico ya que será común a todas las comunicaciones enviadas independientemente del remitente que se use.

Como ya se ha comentado en el punto anterior, esta decisión no afecta a los remitentes (senders) de los emails ni a las URLs de landings, que podrán estar personalizados por país, área, marca, etc., sino simplemente al branding de links e imágenes.

NOTA: el dominio/subdominio seleccionado como base del SAP no podrá cambiarse una vez configurado.

Tercera decisión: ¿el dominio a elegir será compartido por otros sistemas/aplicaciones o será de uso exclusivo por SFMC?

La recomendación por parte de Salesforce es la utilización de un dominio o subdomino para el envío de emails de forma exclusiva por SFMC. De esta forma no se mezcla la reputación de los envíos por distintos sistemas y se evitan posibles conflictos en los registros DNS:

https://help.salesforce.com/s/articleView?id=000314909&type=1

Setting an existing domain (such as one hosting a corporate website) as a SAP domain is not recommended, as DNS records required by Marketing Cloud will likely conflict with existing records. If choosing this route, ensure you understand any potential DNS conflicts and that you are prepared to self-manage DNS.

En estos casos, la best practice es crear un subdominio del tipo email.mimarca.com o digital.mimarca.com que se use específicamente para SFMC aunque también es posible utilizar el dominio global mimarca.com de forma compartida con otros sistemas, teniendo en cuenta que deberán coexistir distintos registros DNS (los actuales + los que apunten a SFMC).

En caso de usar un dominio compartido y ya existente para otras aplicaciones, es muy importante confirmar con el equipo de IT/DNS que no hay problema en la coexistencia de registros DNS que apuntan a distintos sistemas y que son capaces de gestionar los posibles conflictos. Se podrá pasar ejemplos de registros DNS que se necesitan configurar para SFMC, por ejemplo:

@           IN MX 10    reply.s10.exacttarget.com.
@           IN A        11.111.11.11
bounce      IN MX 10    bounce.s10.exacttarget.com.
@           IN TXT      "v=spf1 include:cust-spf.exacttarget.com -all"
bounce      IN TXT      "v=spf1 include:cust-spf.exacttarget.com -all"

Cuarta decisión: una vez elegido el dominio/subdominio base del SAP, ¿será self-hosted o se puede delegar a Salesforce?

• Autogestionar dominio (self-hosted): Esta opción requiere una mayor configuración en el DNS por parte del departamento de IT de la compañía (requiere conocimiento y expertise técnica en este ámbito) y participación del área de seguridad que suele ralentizar el proceso de configuración. El departamento de IT se hace responsable del mantenimiento del dominio/subdominio y el DNS. Salesforce proporcionará un fichero de zona con el detalle de las entradas DNS que deben incorporarse para ese dominio, por ejemplo:​​​​​​​

$TTL 1H
$ORIGIN mimarca.com.
@                   IN MX 10        reply.s10.exacttarget.com.
## the above MX record is not needed if you currently have a MX record and use this domain for other purposes and want to continue using the same exchange server and avoid issues with your current setup
@                   IN A            11.111.11.11
## the above A record is not needed if you already have an A record for the domain
bounce              IN MX 10        bounce.s10.exacttarget.com.
10dkim1._domainkey  IN TXT          ("v=DKIM1; k=rsa; p=MIIB11ANBgkqhkiG9w0BAQEFAAOCgKCAQEAtJSh7KoLT+LnUDMK"" )
##the above TXT record should be a single multi-line TXT record
@           IN TXT                  "v=spf1 include:cust-spf.exacttarget.com -all"
bounce      IN TXT                  "v=spf1 include:cust-spf.exacttarget.com -all"

• Delegar dominio a Salesforce: Esta opción simplifica la configuración del DNS, que sería realizada por Salesforce en su mayor parte. El departamento de IT de la compañía realizaría cambios mínimos, para asociar los subdominios a los servidores DNS de Marketing Cloud. Salesforce sólo actuaría sobre el subdominio delegado, no sobre el resto de los subdominios que estén bajo el ámbito del mismo dominio. Ejemplo de entradas para delegar dominio:

;Delegate email.example.com to Salesforce Marketing Cloud
email       IN NS       ns1.exacttarget.com
email       IN NS       ns2.exacttarget.com
email       IN NS       ns3.exacttarget.com
email       IN NS       ns4.exacttarget.com

Una vez aclarados y decididos todos los puntos anteriores, estaremos en disposición de iniciar las tareas de configuración del SAP.

Pasos de configuración SAP:

• Contactar con el Account Executive de Salesforce para iniciar el proceso de set-up del SAP. En ocasiones, esto puede realizarse a través de la apertura de un caso a soporte de Salesforce. En este caso o petición deberá indicarse el MID (Id de la instancia) y un email de contacto para gestionar el proceso.
• Nos llegará un email con las instrucciones iniciales de configuración:

• Tendremos que rellenar un formulario web al que podremos acceder desde el email anterior. En este formulario hay que completar los siguientes datos:
  • Nombre completo
  • Compañía
  • Email
  • Account ID (MID)
  • ¿Se necesita Reply Mail Management?
  • Buzón donde se reenviarán las respuestas de email de clientes
  • Dominio base a usar para el SAP
  • A qué BUs aplica el SAP
  • Si el dominio será self-hosted. En caso de que se decida delegar a Salesforce, es necesario realizar la delegación (en el DNS) antes de enviar el formulario.
  • Si se requiere de una IP dedicada (más de 250K emails por mes)

• Tras enviar el formulario Salesforce realizará las configuraciones necesarias y nos contactará por email para aquellas tareas en las que necesite nuestra acción. En caso de haber elegido la opción de autogestión del dominio (self-hosted) se nos proporcionará un fichero de zona con las entradas necesarias. Deberemos reenviar este archivo al equipo de IT/Seguridad de la compañía para que realice la actualización DNS.
• Tras realizar todas estas tareas quedará configurado y verificado el Sender Authentication Package con el dominio base listo para envíos de email, landing pages, y para la gestión del branding de clicks e imágenes contenidos en los correos electrónicos, y estaríamos en disposición de configurar otros ajustes de Email dentro de nuestra org de Marketing Cloud:
  • From Addresses
  • Sender Profiles
  • Send Classifications

¿Cómo confirmar que la configuración se ha realizado correctamente?

• Si accedemos a Salesforce Marketing Cloud y navegamos a Setup > Company Settings > Account Settings podremos ver que en la sección de ‘Authenticated Domains’ aparecerá nuestro Sender Authentication Domain (dominio base configurado). De igual forma, si accedemos a Setup > Feature Settings > From Address Management, deberá aparecer el dominio base del SAP con estado ‘Verified’.

Fuentes y referencias:

https://help.salesforce.com/s/articleView?id=mc_es_sender_authentication_package.htm&language=en_US&type=5

https://help.salesforce.com/s/articleView?id=sf.mc_es_dns_record_maintenance.htm&type=5

https://help.salesforce.com/s/articleView?id=sf.mc_es_subdomain_delegation_guide.htm&type=5

https://help.salesforce.com/s/articleView?id=000314909&type=1