Un postback en afiliación es un aviso automático que el servidor del anunciante envía al de la red o del afiliado cuando se produce una conversión, con el identificador del clic que la originó. Sustituye o complementa al píxel del navegador, así que no depende de cookies de terceros ni de bloqueadores. Bien montado, también sirve para comunicar si esa conversión se valida o se rechaza, que es lo que de verdad decide qué se paga.
Qué es un postback y por qué se usa en afiliación
En una campaña de afiliación hay tres partes que necesitan ponerse de acuerdo sobre la misma cifra: el anunciante, la red y el afiliado. El postback es la forma de que lo hagan sin pasar por el navegador del usuario.
El nombre técnico es seguimiento servidor a servidor (S2S). En la práctica es una petición HTTP, normalmente una URL con parámetros, que un sistema llama cuando ocurre un evento: un registro, una venta, una alta de cliente.
Se ha extendido por un motivo simple: el seguimiento basado en el navegador pierde datos. Safari limita cookies y almacenamiento creados por script, según la documentación de prevención de rastreo de WebKit (consultado octubre 2026), y los bloqueadores de anuncios impiden que muchos píxeles se carguen. Ya lo contamos en la guía sobre cookies de afiliación; aquí vamos al detalle del postback.
Cómo funciona un postback, paso a paso
- Clic. El usuario hace clic en el enlace del afiliado. El sistema de seguimiento genera un identificador único (click ID o transaction ID) y registra de qué afiliado, campaña y creatividad viene.
- Redirección. El usuario llega a la landing del anunciante con ese click ID en la URL, por ejemplo
?clickid=8f3a2c. - Guardado. La web del anunciante conserva el click ID hasta que haya conversión: en la sesión, en el propio formulario como campo oculto o en su base de datos.
- Conversión. El usuario se registra o compra.
- Aviso. El servidor del anunciante llama a la URL de postback de la red con el click ID y los datos acordados.
- Atribución. La red busca ese click ID, asigna la conversión al afiliado correcto y, si este lo ha configurado, le reenvía su propio postback.
Todo el sistema depende de una cosa: que el click ID llegue intacto del paso 1 al 5. Casi todos los fallos de postback vienen de ahí.
Postback frente a píxel: diferencias
| Aspecto | Píxel en el navegador | Postback S2S |
|---|---|---|
| Quién lo dispara | El navegador del usuario, en la página de gracias | El servidor del anunciante |
| Bloqueadores y restricciones del navegador | Le afectan | No le afectan en el aviso de conversión |
| Instalación | Pegar una etiqueta | Desarrollo en el servidor y pruebas |
| Conversiones diferidas (validación días después) | Difícil: el usuario ya no está en la web | Natural: se envía cuando se valida |
| Manipulación | Más expuesto a disparos falsos desde el navegador | Más controlable si se autentica |
No son excluyentes. Muchos programas usan píxel como respaldo y postback como fuente principal, deduplicando por ID de transacción.
Qué parámetros lleva una URL de postback
Una URL de postback típica tiene esta forma:
https://tracking.ejemplo.com/pb?clickid={clickid}&txid={txid}&status={status}&payout={payout}
Lo que va entre llaves son macros: huecos que el sistema que envía sustituye por valores reales en el momento de la llamada. Cada plataforma usa sus propios nombres, así que hay que mapearlos uno a uno.
- Click ID: obligatorio. Es la llave que une conversión y clic.
- ID de transacción o de pedido: identifica la conversión y evita contarla dos veces. Google recomienda lo mismo para sus conversiones en su ayuda sobre usar un ID de transacción para minimizar duplicados (consultado octubre 2026).
- Estado: pendiente, aprobado o rechazado.
- Importe o comisión: imprescindible en CPA con importe variable o revenue share.
- Tipo de evento: si el programa paga por más de un hito (registro y primera compra, por ejemplo).
Lo que no debe ir: email, teléfono, nombre o cualquier dato personal en claro. La especificación de HTTP advierte de que las URL se registran y se muestran en muchos sitios, y que no es prudente incluir en ellas información sensible o identificable (RFC 9110, apartado 17.9). Encaja además con el principio de minimización del RGPD, art. 5.1.c: para atribuir una conversión basta con el click ID.
Lead registrado, lead válido y cliente: el postback por estados
Aquí es donde el postback deja de ser un tema técnico y pasa a ser de negocio. En captación a CPL, un registro no es lo mismo que un lead válido, y un lead válido no es lo mismo que un cliente.
- Registro: el formulario se ha enviado.
- Lead válido: pasa los filtros acordados (datos reales, consentimiento acreditado, no duplicado, dentro del perfil).
- Lead cualificado o convertido: el call center contacta, hay interés real, se firma o se compra.
Si solo envías un postback en el momento del registro, la red y el afiliado optimizan hacia volumen. Si envías también los cambios de estado (aprobado, rechazado y el motivo), optimizan hacia calidad. Es la diferencia entre comprar formularios y comprar clientes.
Por eso conviene acordar por escrito qué estados se comunican, en qué plazo y con qué motivos de rechazo. Con esos datos puedes calcular no solo el CPL, sino el coste por cliente por afiliado y fuente, que es la métrica que dice si la campaña es rentable. Lo explicamos en cómo calcular el CPL objetivo y en modelos de comisión en afiliación.
Si además inviertes en buscadores, la misma lógica se aplica a Google Ads: puedes importar conversiones que ocurren fuera de la web, como un lead cualificado en CRM, según su ayuda sobre importaciones de conversiones offline (consultado octubre 2026).
Cómo configurar un postback sin errores
- Define el evento que se paga. Registro, lead validado, venta. Cada uno puede tener su postback.
- Acuerda el nombre del parámetro. El que llega en la URL de la landing (
clickid,subid,tid) debe ser el mismo que devuelves. - Conserva el click ID en todo el recorrido. Formularios en varios pasos, redirecciones o cambios de dominio suelen perderlo. Guárdalo junto al registro en tu base de datos.
- Dispara desde el servidor, no desde JavaScript en la página de gracias.
- Autentica la llamada. Un token secreto en la URL, o mejor una firma HMAC del mensaje (RFC 2104), para que nadie pueda inventarse conversiones si conoce la URL.
- Usa HTTPS siempre.
- Prueba de punta a punta con una conversión real de test antes de abrir tráfico.
- Concilia cada semana tus conversiones internas con las que registra la red.
Reintentos y duplicados
Si el servidor receptor no responde, el emisor suele reintentar. Eso está bien, siempre que el receptor ignore el segundo aviso de la misma conversión. Dicho en términos técnicos: el tratamiento debe ser idempotente, que varias peticiones idénticas tengan el mismo efecto que una (RFC 9110, apartado 9.2.2). En la práctica, deduplica por ID de transacción más estado.
Errores habituales y cómo detectarlos
| Síntoma | Causa probable | Qué revisar |
|---|---|---|
| La red no ve ninguna conversión | El click ID no llega o se envía con otro nombre | URL de la landing y parámetro devuelto |
| Conversiones duplicadas | Reintentos sin deduplicar, o píxel y postback a la vez | ID de transacción único |
Macros vacías o literales ({payout}) | Nombre o formato de macro incorrecto | Lista de macros de cada plataforma |
| Diferencias grandes entre tu CRM y la red | Click ID perdido en un paso del formulario o en una redirección | Porcentaje de registros sin click ID |
| Conversiones que nunca pasan a aprobadas | Solo se envía el evento inicial | Postback de cambio de estado |
Un pico de conversiones desde una sola IP o con click IDs inexistentes es otra señal a vigilar, en la línea de lo que contamos sobre cómo detectar leads falsos.
Postback y privacidad: lo justo
El postback en sí es una comunicación entre servidores. Pero para recordar el click ID entre la llegada y la conversión, muchas webs lo guardan en el navegador con una cookie o en almacenamiento local. Eso es almacenar información en el equipo del usuario, y el art. 22.2 de la LSSI exige consentimiento para ello salvo excepciones técnicas, criterio que desarrolla la guía de cookies de la AEPD (consultado octubre 2026). Si el click ID viaja con el propio registro dentro de la misma sesión, el planteamiento cambia. Revísalo con tu asesor. Esto no es asesoramiento legal.
Checklist rápido
- ¿Está definido por escrito qué evento dispara cada postback?
- ¿El click ID se guarda junto a cada registro en tu base de datos?
- ¿La URL de postback va por HTTPS y lleva token o firma?
- ¿Hay un ID de transacción único para deduplicar?
- ¿Comunicas los estados aprobado y rechazado, con motivo?
- ¿La URL no lleva datos personales en claro?
- ¿Concilias cada semana con la red?
Preguntas frecuentes sobre el postback en afiliación
¿Qué diferencia hay entre postback y píxel?
El píxel se dispara desde el navegador del usuario y puede bloquearse. El postback lo envía el servidor del anunciante directamente a la red, sin depender del navegador.
¿Qué es una URL de postback?
Es la dirección que la red o el afiliado facilita para recibir avisos de conversión. Lleva macros como el click ID, el estado o el importe, que se sustituyen por valores reales al enviarla.
¿El postback sustituye al consentimiento de cookies?
No por sí mismo. Si para guardar el click ID usas cookies o almacenamiento en el navegador, sigue aplicando la LSSI.
¿Qué datos no deben ir en un postback?
Datos personales en claro como email, teléfono o nombre. Para atribuir basta con el click ID y el ID de transacción.
¿Por qué no coinciden mis conversiones con las de la red?
Lo más habitual es que el click ID se pierda en algún paso, que haya duplicados por reintentos o que no se envíen los cambios de estado. Concilia con el ID de transacción.
¿Se puede enviar un postback cuando el lead se valida días después?
Sí, y es recomendable. Enviar el estado aprobado o rechazado cuando se conoce permite optimizar por leads válidos y por coste por cliente, no solo por volumen.
Cómo te ayuda Afilead
En Afilead trabajamos campañas de captación por resultados donde lo que importa es cuántos registros acaban siendo clientes, no solo cuántos llegan. Si quieres revisar cómo medir y validar los leads de tu campaña, echa un vistazo a nuestros servicios o cuéntanos tu caso.
Fuentes
Consultadas en octubre de 2026.
- RFC 9110, HTTP Semantics (apartados 9.2.2 y 17.9).
- RFC 2104, HMAC.
- Ayuda de Google Ads: ID de transacción para minimizar conversiones duplicadas.
- Ayuda de Google Ads: importaciones de conversiones offline.
- WebKit: Tracking Prevention.
- Ley 34/2002 (LSSI), BOE.
- AEPD: Guía sobre el uso de las cookies.
- Reglamento (UE) 2016/679 (RGPD).
