Stai portando traffico, vedi clic nel tracker, ma le commissioni non crescono o vengono attribuite ad altri webmaster? Non sempre si tratta di un bug della piattaforma: spesso è un furto mirato di conversioni tramite cookie stuffing e sostituzione dei tag. Analizziamo come funziona e forniamo 6 controlli che possono aiutarti a cogliere il truffatore sul fatto.
Cos'è il furto di conversioni: sostituzione dei tag e cookie stuffing
Il furto di conversioni nel marketing di affiliazione è una situazione in cui una vendita reale o un lead che è arrivato tramite il tuo link viene accreditato a un altro webmaster. Di solito, ciò avviene in due modi: cookie stuffing e sostituzione dei tag.
Il cookie stuffing è l'installazione forzata di un cookie di affiliazione nel browser dell'utente senza che questi clicchi su un link reale. Il truffatore posiziona un pixel invisibile, un iframe o uno script su un sito di terze parti che "inietta" migliaia di cookie di diversi programmi contemporaneamente. Quando l'utente successivamente effettua un acquisto, il sistema accredita la conversione a chi ha il cookie "ultimo" o "primo" — a seconda del modello di attribuzione, e non a chi ha realmente portato il cliente.
La sostituzione dei tag funziona in modo diverso: il truffatore o un sub-partner disonesto intercetta il Click ID, SubID o i parametri UTM nel link e li sostituisce con i propri prima che il traffico venga inviato alla landing page dell'inserzionista. Di conseguenza, l'offerta riceve traffico estraneo, mentre la commissione va a chi ha sostituito il tag, anche se il vero lavoro di attrazione del clic è stato fatto da un altro.
Entrambi i metodi colpiscono i guadagni degli arbitraggisti onesti e la reputazione delle reti di affiliazione: l'inserzionista vede statistiche gonfiate, il budget viene speso in modo inefficace e i webmaster onesti perdono guadagni. Per i programmi di affiliazione, ciò significa anche analisi ROI distorte e una distribuzione errata del budget tra i canali.
Come il cookie stuffing ruba le tue commissioni
La meccanica del cookie stuffing si basa sul fatto che la maggior parte dei sistemi di affiliazione utilizza un'attribuzione basata sui cookie con una finestra che va da 24 ore a 90 giorni. Al truffatore non serve che l'utente clicchi sul tuo link: è sufficiente che il suo browser "catturi" un cookie ovunque: su un forum, in un'estensione del browser, su un sito di contenuti pirata, in un banner pubblicitario con un iframe nascosto di dimensioni 1x1 pixel.
Poi scatta una semplice statistica: se il cookie stuffer ha caricato un milione di cookie in un giorno, una certa parte degli utenti acquisterà comunque un prodotto sul sito dell'inserzionista nelle settimane successive — semplicemente perché ne avevano bisogno. Il sistema di attribuzione vedrà il cookie dello stuffer e accrediterà la conversione a lui, anche se non ha avuto alcun impatto reale sulla decisione d'acquisto.
Ci sono diversi scenari tipici che si incontrano nelle reti CPA e di affiliazione:
- Estensioni del browser che sostituiscono in massa i cookie di affiliazione esistenti con i propri durante la visita ai negozi — uno schema noto nei servizi di cashback e "assistenti per gli acquisti";
- Pixel nascosti su siti di traffico (forum, torrent, streaming), che caricano decine di link di affiliazione in background senza il coinvolgimento dell'utente;
- Malware e adware che integrano codice di cookie stuffing direttamente nel sistema dell'utente tramite installer dannosi;
- Iframe sovrapposti su siti apparentemente legittimi, che si attivano semplicemente aprendo la pagina.
Per un arbitraggista che porta onestamente traffico su Facebook Ads o TikTok Ads, il cookie stuffing è un colpo diretto al ROI: l'offerta mostra un EPC basso, anche se la qualità del tuo traffico è in realtà alta, poiché le commissioni vanno a terzi.
Sostituzione dei tag: Click ID, SubID e UTM a rischio
Se il cookie stuffing è un attacco di massa, la sostituzione dei tag è più spesso mirata e rivolta a una specifica catena di affiliazione. Gli oggetti più comuni di sostituzione sono:
- Click ID — un identificatore unico del clic, che il tracker invia all'offerta per il successivo postback (S2S). La sostituzione del Click ID porta a una conversione accreditata non al clic che ha realmente portato l'utente;
- SubID — un parametro che gli arbitraggisti usano per suddividere il traffico per fonti, creatività, geolocalizzazione. La sostituzione del SubID distorce l'analisi e può reindirizzare la commissione su un altro account nell'affiliazione;
- UTM tags — utilizzati per l'attribuzione in Google Analytics e nei pannelli pubblicitari. La sostituzione degli UTM a livello di redirect si verifica presso intermediari disonesti, attraverso i quali passa il traffico (ad esempio, alcuni tracker di passaggio o servizi CDN con redirect aperti).
Tecnologicamente, la sostituzione dei tag viene realizzata tramite un server di redirect intermedio, che modifica i parametri di query del link prima della reindirizzazione finale alla landing page dell'inserzionista. Se lavori attraverso una catena di più intermediari (ad esempio, sub-partner → tracker → offerta), ogni anello di questa catena è un potenziale punto di sostituzione.
Una categoria di rischio separata è il lavoro tramite proxy condivisi o IP di datacenter economici senza controllo qualità, che a volte vengono utilizzati dagli intermediari per "far passare" il traffico attraverso i propri server con modifica dei titoli e dei parametri della richiesta al volo.
6 controlli per identificare il furto di conversioni
Per non dover indovinare e determinare con certezza se ti stanno rubando le conversioni, segui questi sei controlli. Ognuno richiede dai 15 minuti a un paio d'ore, ma insieme forniscono un quadro completo.
Controllo 1: intervallo di tempo tra clic e conversione
Apri il report sui clic e le conversioni nel tuo tracker (Keitaro, Binom, RedTrack) e guarda la dispersione temporale tra il clic e la conversione accreditata. Se una parte significativa delle conversioni ha questo intervallo anormalmente breve (secondi) o anormalmente lungo con una finestra di cookie breve, è un segnale di cookie stuffing: il cookie è stato iniettato in anticipo, e non tramite un clic reale dell'utente.
Controllo 2: verifica del referrer e della fonte di traffico
Controlla il referrer HTTP delle conversioni. Se la conversione proviene da "tuo" clic, ma il referrer indica un dominio sconosciuto, un forum o un'estensione del browser — significa che il cookie è stato iniettato non sulla tua landing page. Un clic legittimo dovrebbe avere un referrer corrispondente alla piattaforma dove hai realmente pubblicato l'annuncio (Facebook, TikTok, Instagram).
Controllo 3: più cookie per un singolo utente
Il cookie stuffing spesso lascia una traccia digitale: lo stesso utente (per ID dispositivo o fingerprint) ha più cookie di affiliazione attivi da diversi webmaster contemporaneamente. Richiedi all'inserzionista o alla rete di affiliazione un report sulle attribuzioni multiple per un singolo ID dispositivo in un breve periodo — questo è un indicatore diretto di un'iniezione massiccia di cookie.
Controllo 4: incongruenza tra User-Agent e fingerprint
Confronta l'User-Agent e i parametri del fingerprint (risoluzione dello schermo, fuso orario, lingua del browser) del clic e della conversione finale. Se il clic è stato effettuato da un dispositivo mobile tramite TikTok Ads, mentre la conversione è stata registrata con un User-Agent desktop e un altro fuso orario — questo è un segnale di sostituzione dei tag tramite un server intermedio, che modifica i parametri della richiesta.
Controllo 5: discrepanza geografica degli IP
Confronta la geolocalizzazione degli indirizzi IP del clic e della conversione. Se la tua campagna è impostata rigorosamente su una sola regione (ad esempio, traffico dalla Germania su Facebook Ads), e le conversioni arrivano da IP di altri paesi senza VPN o roaming mobile da parte degli utenti reali — è probabile che ci sia una sostituzione del traffico tramite server di terze parti. Per un controllo incrociato, è utile eseguire clic di prova tramite proxy residenziali della regione desiderata e confrontare come il sistema gestisce i dati geografici in entrambe le direzioni della catena.
Controllo 6: verifica Postback/S2S con un tracker indipendente
Il controllo più affidabile è il tracciamento parallelo. Configura un postback server-to-server (S2S) indipendente tramite il tuo tracker invece di fare affidamento solo sui report della rete di affiliazione. Confronta il numero e gli ID delle conversioni che vede il tuo tracker con quelli mostrati dal pannello dell'affiliazione. La differenza nel Click ID o nel numero di conversioni è una prova diretta che i tag vengono sostituiti da qualche parte nella catena.
| Controllo | Cosa rivela | Tempo per il controllo |
|---|---|---|
| Intervallo di tempo clic-conversione | Cookie stuffing | 15-30 minuti |
| Verifica del referrer | Cookie stuffing, siti estranei | 20 minuti |
| Cookie multiple su ID dispositivo | Iniezione massiccia di cookie | 1-2 ore |
| User-Agent / fingerprint | Sostituzione dei tag nella catena | 30-40 minuti |
| Discrepanza geografica IP | Sostituzione del traffico e della sua fonte | 30 minuti |
| Verifica Postback/S2S | Sostituzione del Click ID in qualsiasi fase | Monitoraggio continuo |
Strumenti per l'audit del traffico e protezione
Per un audit sistematico del traffico di affiliazione, gli arbitraggisti e i proprietari di programmi di affiliazione utilizzano una combinazione di tracker, servizi antifrode e strumenti per testare il traffico:
- Tracker con postback S2S — Keitaro, Binom, RedTrack forniscono una registrazione indipendente dei clic e delle conversioni, che può essere confrontata con i dati della rete di affiliazione;
- Browser anti-detect — Dolphin Anty, AdsPower, Multilogin, GoLogin sono utili non solo per la creazione di account pubblicitari, ma anche per simulare sessioni utente reali durante il test del funnel con diversi profili di fingerprint;
- Piattaforme antifrode — servizi specializzati che analizzano i pattern di clic e identificano anomalie nelle fonti di traffico;
- Proxy per test di esecuzione — per verificare come la catena di redirect gestisce geolocalizzazione e IP in diverse fasi, è utile eseguire traffico di test attraverso IP di diverse regioni e subnet, senza legarsi a un singolo indirizzo statico.
Per testare la catena di redirect per la sostituzione dei tag, è conveniente utilizzare proxy mobili — imitano il comportamento di un utente reale da un dispositivo mobile, il che è particolarmente importante quando si controllano offerte destinate a traffico da TikTok Ads o applicazioni mobili.
Checklist per la protezione delle conversioni affiliate
Se i controlli sopra hanno confermato il problema, ecco i passi concreti per proteggere le tue commissioni e i tuoi dati:
- Passa all'ultimo clic con una finestra di cookie breve dove possibile — questo riduce l'efficacia del cookie stuffing;
- Configura il tuo postback S2S parallelamente ai dati dell'affiliazione e confrontali settimanalmente;
- Utilizza SubID unici e difficili da prevedere con hashing invece di semplici identificatori incrementali — questo rende più difficile la sostituzione manuale dei tag;
- Richiedi alla rete di affiliazione un report sugli IP e gli ID dispositivo delle conversioni, se noti anomalie nei controlli 3 e 5;
- Evita di lavorare tramite intermediari e sub-partner senza trasparenza nei report sui redirect;
- Testa regolarmente il tuo funnel con profili puliti tramite un browser anti-detect e proxy, per vedere la catena di redirect attraverso gli occhi di un utente reale;
- Documenta tutte le discrepanze trovate con timestamp e Click ID — questo sarà utile in caso di controversia con l'inserzionista o la rete di affiliazione.
Il ruolo dei proxy nell'audit del traffico affiliate
I proxy in questa storia non sono uno strumento di attacco, ma uno strumento diagnostico. Per verificare come il tuo link di affiliazione viene elaborato in diverse fasi della catena di redirect, è necessario emulare utenti reali da diverse regioni e subnet, senza legarsi al proprio IP d'ufficio o domestico, che potrebbe essere nella whitelist dell'inserzionista e fornire un quadro distorto.
Per un controllo mirato dell'attribuzione geografica e della verifica del referrer, i proxy residenziali sono i più adatti — hanno IP di utenti domestici reali e non suscitano sospetti nei sistemi antifrode degli inserzionisti, permettendo di vedere un quadro onesto dell'elaborazione del clic senza distorsioni legate al blocco degli IP dei datacenter.
Se l'obiettivo è il monitoraggio massivo di un gran numero di offerte e link contemporaneamente, dove la velocità e il volume delle richieste sono più importanti dell'anonimato perfetto, è più sensato utilizzare proxy di datacenter — sono più veloci e più economici per IP, il che è conveniente per la scansione automatizzata regolare di decine di catene di affiliazione per la sostituzione dei tag.
La combinazione di diversi tipi di proxy per diverse esigenze di audit — datacenter per la scala, residenziali e mobili per la precisione — fornisce il quadro più completo di ciò che accade con il tuo traffico dal clic alla conversione accreditata.
Conclusione
Il cookie stuffing e la sostituzione dei tag non sono una minaccia teorica, ma una realtà quotidiana del marketing di affiliazione, che erode direttamente le tue commissioni e distorce l'analisi degli inserzionisti. Il confronto regolare dei clic con le conversioni tramite un postback S2S indipendente, il controllo del referrer e dell'attribuzione geografica, così come il test periodico del funnel tramite profili puliti aiutano a identificare il furto di conversioni in una fase iniziale.
Se prevedi di condurre regolarmente audit delle catene di affiliazione e controllare la correttezza dell'attribuzione geografica da diversi punti, ti consigliamo di provare proxy residenziali per controlli accurati e IP mobili per simulare il traffico da dispositivi mobili — questo fornirà un quadro onesto di ciò che accade con le tue conversioni in ogni fase della catena di affiliazione.