Los bloqueadores de publicidad y el seguimiento de afiliación: lo que es cierto

Lo que bloquea exactamente un bloqueador de publicidad

Un bloqueador de publicidad no tiene opinión. Aplica una lista de reglas escritas por voluntarios, publicada abiertamente, que cualquiera puede leer. Las más extendidas —EasyList, EasyPrivacy, las listas de uBlock Origin— ocupan unas decenas de miles de líneas, y una línea tiene este aspecto:

||exemple-affiliation.com^$third-party
||tracking.exemple.net^
/affiliate-click.php$script

Tres formas, y conviene distinguirlas porque no se sortean de la misma manera.

• Un dominio. Todo lo que procede de exemple-affiliation.com se rechaza. Es la regla más frecuente y la más tajante: no mira ni la ruta ni el contenido.
• Un patrón en la dirección. /affiliate-click, /track/, utm_, ref=. El dominio puede ser cualquiera; es la palabra la que activa la regla.
• Un nombre de host sospechoso. track., pixel., analytics., stats., tag. usados como subdominio. Varias listas los tratan como dominios de seguimiento incluso en un sitio que no conocen.

Existe una cuarta familia, cosmética, que oculta elementos de una página sin bloquear ninguna solicitud. No afecta al seguimiento de afiliación y aquí se puede dejar de lado.

Por qué las plataformas de afiliación figuran en esas listas

Una plataforma de afiliación clásica atiende a todos sus clientes desde su propio dominio. El enlace de su afiliado se parece a go.laplateforme.com/xyz123, y el de su competidor también. Para el autor de una lista de filtros es el caso ideal: una línea, y el seguimiento de varios miles de comerciantes deja de funcionar. La relación entre esfuerzo y resultado es inmejorable, así que la línea se escribe, y se queda.

No se trata de hostilidad hacia usted. Es una consecuencia mecánica de la decisión de arquitectura de la plataforma: compartir el dominio también comparte el riesgo de quedar catalogado.

Lo que cuesta en la práctica

El visitante hace clic. El navegador rechaza la solicitud hacia el dominio bloqueado. Dos situaciones, según cómo esté construido el enlace:

• Si la redirección pasa por el dominio bloqueado, el visitante no llega. Ve una página de error, o nada. Usted pierde la visita entera.
• Si el enlace apunta directamente a su sitio y solo se bloquea un script de seguimiento, el visitante llega pero el clic no se registra. La venta se produce, y nadie recibe el crédito.

El segundo caso es el más costoso, porque es invisible. Sus ventas son normales, su afiliado no entiende por qué su panel está vacío, y usted no tiene ningún medio para decidir entre «no aportó nada» y «no lo contamos».

La solución: servir el enlace desde su propio dominio

Si el enlace de su afiliado es acme.com/a7f3c2/marie, no hay nada que bloquear sin bloquear acme.com, es decir, su sitio entero, cosa que ninguna lista hace. La cookie que se instala es una cookie de origen propio, del mismo dominio que la página que el visitante está leyendo.

Dos maneras de lograrlo, y una tercera que conviene conocer para evitarla.

Una regla de proxy inverso en su servidor

Usted añade una regla que dice: todo lo que llega a /a7f3c2/… se reenvía al servicio de seguimiento. Una línea en nginx, una regla en Cloudflare, un archivo de configuración en Vercel, un formulario en Shopify. El visitante nunca ve otra cosa que su dominio, y la solicitud no tiene ningún patrón con el que coincidir.

El prefijo importa. /track/ o /pixel/ en su propio dominio quedan atrapados por la segunda familia de reglas, la que mira los patrones. Un prefijo opaco —seis caracteres sin significado— no forma parte de ninguna.

Un subdominio que usted delega

Un registro CNAME, y go.acme.com apunta al servicio. Nada que instalar, y el certificado se emite por usted. El navegador ve un subdominio del suyo.

Es algo menos sólido que la primera solución, por una razón precisa: algunas listas señalan los subdominios cuyo nombre pertenece al vocabulario del seguimiento. De ahí la regla sencilla: no llame a ese subdominio track, analytics, pixel, tag ni stats.

El dominio compartido de la plataforma

Es el punto de partida, el que acaba bloqueado. Tiene un uso: comprobar en diez minutos que todo funciona antes de tocar su DNS o su servidor. No es un lugar donde quedarse.

Lo que el origen propio no resuelve

Hay que ser honesto sobre los límites; de lo contrario, la promesa no aguanta seis meses.

Safari limita a siete días las cookies que un script instala en un dominio delegado: es el comportamiento de ITP, y no depende de la ventana de atribución que usted haya elegido. Para una comisión recurrente, siete días evidentemente no bastan. Además, los navegadores seguirán acortando la vida de las cookies: es la tendencia general, y apostar por lo contrario es una mala idea.

La conclusión no es que el seguimiento de origen propio no sirva de nada. Es que hay que dejar de hacer descansar la atribución únicamente en la cookie.

Lo que dura más que una cookie

La cookie sirve para una cosa: vincular el clic con la venta que sigue, unos días más tarde. En el momento del pago, su servidor conoce dos datos a la vez: el identificador del clic, leído en la cookie, y el identificador que usted asigna a ese cliente en su sistema. Una llamada que diga «este clic pertenece a este cliente» basta para convertir una atribución frágil en una atribución duradera.

Después, la cookie puede desaparecer. La renovación del undécimo mes, hecha desde otro dispositivo, llega con el identificador de cliente, y la comisión va a parar al lugar correcto.

La cookie trae la primera venta. Es el identificador de cliente el que paga las once siguientes.

Cómo comprobarlo usted mismo, esta noche

1. Instale uBlock Origin en un navegador limpio.
2. Abra un enlace de afiliado de su programa actual. Si no se abre, o si el panel no ve el clic un minuto después, ya tiene su respuesta.
3. Abra el registro de solicitudes del bloqueador de publicidad; en uBlock, la pestaña «Registro». Las solicitudes rechazadas aparecen ahí con la regla exacta que las rechazó. Es la prueba, no una estimación.
4. Repita la prueba con un enlace servido por su propio dominio.

Esta prueba lleva diez minutos y no exige creer a nadie bajo palabra. Es más o menos lo único honesto que se puede decir sobre el tema.

Para leer después