Las cookies de afiliación son pequeños identificadores que se guardan en el navegador cuando alguien hace clic en un enlace de afiliado, para atribuir a ese afiliado la venta o el registro que ocurra después, dentro de una ventana de tiempo pactada. Hoy ya no bastan por sí solas: los navegadores las bloquean o las acortan, y en España necesitan consentimiento del usuario. Por eso conviene combinarlas con seguimiento servidor a servidor y con reglas claras de validación.
Cómo funciona una cookie de afiliación
El recorrido típico tiene cuatro pasos:
- El usuario hace clic en un enlace del afiliado, que lleva su identificador (y a menudo un identificador único de clic).
- La red o el anunciante guarda ese identificador en el navegador, en una cookie u otro almacenamiento.
- El usuario convierte: compra, se registra o rellena un formulario.
- La página de confirmación lee el identificador y la conversión se asigna al afiliado, que cobra según el modelo pactado (CPA, CPL, etc.).
Técnicamente, una cookie es un dato que el servidor pide al navegador guardar y devolver en las siguientes peticiones, tal como lo define el RFC 6265. Puede ser de primera parte (del dominio que el usuario visita, el del anunciante) o de tercera parte (de otro dominio, por ejemplo el de la plataforma de tracking).
Si vienes de cero, primero repasa qué es el marketing de afiliación y cómo se reparten los papeles entre anunciante, red y afiliado.
Qué es la duración de la cookie (ventana de atribución)
La duración de la cookie es el plazo, contado desde el clic, durante el que una conversión todavía se acredita al afiliado. La fija cada programa en sus condiciones. No es un estándar legal ni técnico: es una cláusula comercial.
Elegirla es un equilibrio. Una ventana larga atrae a los afiliados y recoge compras pensadas, pero también acredita ventas en las que el afiliado influyó poco. Una ventana corta protege tu margen, pero puede dejar fuera conversiones legítimas y hacer tu programa menos atractivo.
| Tipo de conversión | Ventana razonable | Por qué |
|---|---|---|
| Registro o lead (CPL, corregistro) | Muy corta, a menudo la misma sesión | El registro suele ocurrir en el momento. Si pasan días, es difícil defender que lo generó ese clic. |
| Compra impulsiva o ticket bajo | Corta (días) | La decisión es rápida; ventanas largas pagan ventas que habrían llegado igual. |
| Compra meditada o ticket alto | Media o larga (semanas) | El usuario compara y vuelve. Una ventana corta penaliza al afiliado que hizo el trabajo. |
| Suscripción o servicio con alta posterior | Según el ciclo de venta medido | Usa tu propio dato de tiempo entre primer contacto y alta, no una cifra de otro sector. |
La regla práctica: mide en tus datos cuánto tarda de verdad un usuario en convertir desde el primer clic y ajusta la ventana a ese ciclo.
Qué pasa con las cookies de afiliación en Safari, Firefox y Chrome
Aquí está lo que casi ningún artículo sobre duración de cookies explica: la ventana que pactas en el contrato no es la que el navegador respeta. Situación consultada en octubre de 2026:
- Safari (WebKit): según la documentación de Tracking Prevention de WebKit, bloquea por defecto todas las cookies de terceros, sin excepciones. Además, borra las cookies creadas con JavaScript y el resto de almacenamiento escribible por script tras 7 días sin interacción del usuario con el sitio. Una cookie de afiliación de 30 días puesta por un script puede durar mucho menos en un iPhone.
- Firefox: tiene activada por defecto la Total Cookie Protection, que aísla las cookies de cada sitio en su propio «tarro». Una cookie de tercera parte no se comparte entre webs, así que el seguimiento cruzado clásico deja de funcionar.
- Chrome: Google anunció en abril de 2025 que mantiene el enfoque actual de elección del usuario sobre cookies de terceros, sin el aviso independiente que había planteado. El modo incógnito ya las bloquea por defecto, y el usuario puede bloquearlas en la configuración.
Consecuencia directa: si tu programa depende solo de una cookie de tercera parte, ya estás perdiendo conversiones en una parte del tráfico, sobre todo en tráfico de iOS.
Cookies de afiliación y consentimiento: qué dice la normativa española
El artículo 22.2 de la LSSI (Ley 34/2002) permite usar dispositivos de almacenamiento y recuperación de datos en el equipo del usuario solo si ha dado su consentimiento tras recibir información clara y completa. Las únicas excepciones son el almacenamiento técnico para transmitir la comunicación o el estrictamente necesario para prestar un servicio que el usuario ha pedido expresamente.
La Guía sobre el uso de las cookies de la AEPD (actualizada en julio de 2023) aclara tres puntos que afectan de lleno a la afiliación:
- La norma cubre cookies y tecnologías similares: almacenamiento local, web beacons o píxeles, e incluso técnicas de fingerprinting. Cambiar la cookie por otro sistema que guarde o lea datos del dispositivo no te saca del ámbito de la ley.
- Las cookies de análisis o medición, incluida «la cuantificación de los impactos de los anuncios», no están exentas del deber de obtener consentimiento.
- Las cookies exentas son las técnicas, de sesión, seguridad o preferencias elegidas por el usuario. El seguimiento de qué afiliado te trajo un cliente no aparece en esa lista.
Lectura prudente: una cookie cuya finalidad es atribuir conversiones a un afiliado para pagarle una comisión es una cookie de medición publicitaria y necesita consentimiento previo. Si el usuario rechaza las cookies en tu banner, no deberías instalarla. Esto es información general, no asesoramiento legal; revisa tu caso con tu asesor.
Esto no se aplica solo a cookies. Si después vas a usar los datos captados para enviar comunicaciones comerciales, entran también las reglas de consentimiento del email, que explicamos en qué es el corregistro y cuándo es legal.
Alternativas: seguimiento servidor a servidor y cookies de primera parte
La industria ha ido moviendo el tracking del navegador al servidor. Las opciones habituales son:
Postback servidor a servidor (S2S)
El clic genera un identificador único (click ID) que viaja en la URL hasta la web del anunciante. Cuando el usuario convierte, el servidor del anunciante avisa a la red con ese ID mediante una llamada directa (postback). No depende de que el navegador conserve una cookie de tercera parte, así que resiste mejor los bloqueos.
Ojo: si para recordar el click ID entre la llegada y la conversión lo guardas en el navegador (cookie propia, localStorage), sigues almacenando datos en el dispositivo y la LSSI sigue aplicando. S2S mejora la fiabilidad técnica; no sustituye al consentimiento.
Cookie de primera parte puesta por el servidor
Que sea tu propio dominio quien guarde el identificador, y desde el servidor (no desde JavaScript), evita el bloqueo de terceros y el límite de 7 días que WebKit aplica a cookies creadas por script. Pero WebKit también detecta trucos de «camuflaje» vía CNAME o IP de terceros y limita esas cookies a 7 días, así que no sirve disfrazar un tracker externo de primera parte.
Conversión en el mismo flujo
En captación de leads, lo más robusto es que la conversión ocurra en la misma sesión que el clic y que el identificador del afiliado viaje con el propio registro. Así no dependes de ventanas largas y cada lead lleva su origen pegado.
Atribución: a quién se paga cuando hay varios afiliados
Si un usuario hace clic en dos afiliados antes de convertir, alguien tiene que decidir quién cobra. Lo habitual en redes es último clic: gana el último afiliado dentro de la ventana. Es simple y auditable, pero favorece a quien está al final del recorrido (cupones, cashback, comparadores) frente a quien generó el interés.
Puntos que deberías dejar por escrito en las condiciones del programa:
- Modelo de atribución (último clic u otro) y si tus canales propios, como SEO o email, «rompen» la cookie del afiliado.
- Duración de la ventana por tipo de conversión.
- Qué pasa si el usuario rechaza cookies: sin consentimiento, esa conversión puede no ser atribuible.
- Política sobre cupones y marca en buscadores (puja por tu marca).
- Criterios de validación y plazo para rechazar conversiones.
Estos criterios pesan tanto como la comisión cuando decides cómo elegir una red de afiliación.
Atribuir una conversión no es lo mismo que pagar un cliente
Que la cookie funcione solo te dice de dónde vino la conversión. No te dice si vale algo. En captación de leads hay que separar cuatro niveles:
- Lead registrado: el formulario se envió y quedó atribuido.
- Lead válido: datos reales, sin duplicados, con consentimiento demostrable.
- Lead cualificado: encaja con tu público y tu oferta.
- Lead convertido: acabó siendo cliente.
El fraude de afiliación vive justo en la atribución. El caso clásico es el cookie stuffing: instalar cookies de afiliado sin que el usuario haya hecho clic, para cobrar ventas que no se generaron. Señales de alerta: muchas conversiones con tiempos de clic a venta imposibles, tráfico sin páginas vistas previas o picos que coinciden con tus propias campañas.
Por eso el CPL que pagas por un lead atribuido es una métrica operativa, no un indicador de rentabilidad. Lo que importa es el coste por cliente que resulta después de validar y convertir. Te lo explicamos paso a paso en cómo calcular el CPL objetivo.
Checklist rápido para revisar tu tracking de afiliación
- ¿La cookie de afiliación solo se instala tras el consentimiento del banner?
- ¿Tienes postback S2S con click ID, además o en lugar del píxel?
- ¿El identificador se guarda como cookie de primera parte desde el servidor?
- ¿La ventana de cada tipo de conversión está basada en tu ciclo real de compra?
- ¿Está escrito el modelo de atribución y cómo conviven afiliados y canales propios?
- ¿Cruzas conversiones atribuidas con ventas reales y rechazas las no válidas en plazo?
- ¿Vigilas el tiempo entre clic y conversión para detectar cookie stuffing?
Preguntas frecuentes sobre cookies de afiliación
¿Cuánto dura una cookie de afiliación?
Lo que fije cada programa en sus condiciones; no hay una duración legal ni estándar. Además, el navegador puede acortarla: Safari borra las cookies creadas por script tras 7 días sin interacción con el sitio.
¿Las cookies de afiliación necesitan consentimiento en España?
Según el artículo 22.2 de la LSSI y la guía de la AEPD, las cookies de medición publicitaria no están exentas, así que la lectura prudente es pedir consentimiento antes de instalarlas. No es asesoramiento legal.
¿Qué pasa si el usuario rechaza las cookies?
No deberías instalar la cookie de afiliación, y esa conversión puede quedar sin atribuir. Conviene dejar en las condiciones del programa cómo se tratan esos casos.
¿El postback servidor a servidor evita pedir consentimiento?
No por sí mismo. Mejora la fiabilidad frente a bloqueos, pero si guardas el click ID en el navegador sigue aplicando la LSSI.
¿Qué es el cookie stuffing?
Un fraude en el que se instalan cookies de afiliado sin un clic real del usuario, para cobrar comisiones por ventas que el afiliado no generó.
¿Qué ventana de cookie conviene en campañas de leads?
Corta, idealmente la propia sesión, con el identificador del afiliado viajando dentro del registro. Así cada lead lleva su origen y se puede validar.
Cómo te ayuda Afilead
En Afilead trabajamos la captación por resultados, y sabemos que atribuir bien cada registro y distinguir lead válido de cliente es lo que decide si una campaña de afiliación es rentable. Si quieres revisar cómo atribuyes y pagas a tus afiliados, mira nuestros servicios o cuéntanos tu caso.
Fuentes
Consultadas en octubre de 2026.
- Ley 34/2002 (LSSI), texto consolidado, artículo 22.2. BOE.
- Guía sobre el uso de las cookies, julio 2023. AEPD.
- Tracking Prevention in WebKit.
- Total Cookie Protection en modo estándar. Mozilla.
- Next steps for Privacy Sandbox and tracking protections in Chrome. Google.
- RFC 6265, HTTP State Management Mechanism. IETF.
