Plataforma de rastreamento de afiliados: alugar um SaaS, operar um tracker ou construir a sua

O rastreamento de afiliados registra qual parceiro enviou um cliente e o que esse cliente fez depois, para que o parceiro certo receba o valor certo. Há três caminhos. Você pode alugar uma plataforma de software como serviço (SaaS) operada por um fornecedor. Pode instalar um tracker nos seus próprios servidores, sob licença. Ou pode escrever o seu próprio sistema de rastreamento e pagamentos. Eles diferem em quem guarda os dados brutos e em quem pode alterar as regras de comissão.

O que uma plataforma de rastreamento de afiliados faz, do clique ao pagamento?

Um parceiro, também chamado de afiliado ou publisher, recebe um link de rastreamento. Quando um visitante clica nele, a plataforma registra o clique e lhe dá um ID de clique, um código único para aquele clique. A Everflow, um dos fornecedores, diz que o rastreamento responde “qual parceiro enviou este cliente?” e o faz “atribuindo um ID único a cada clique”. O visitante chega ao site do anunciante com o ID do clique anexado. Quando o visitante depois se cadastra ou compra, o sistema do anunciante informa a conversão, a ação que você paga, junto com esse ID de clique. A plataforma cruza os dois, aplica a regra de comissão e soma um pagamento, o valor devido ao parceiro, ao saldo desse parceiro. Todas as páginas citadas neste artigo foram lidas em 10 de novembro de 2026.

Usar pixels de navegador ou postbacks servidor a servidor?

Um pixel de navegador é um pequeno trecho de código na página de agradecimento. Ele roda no navegador do visitante e informa a conversão. Um postback é uma mensagem que um servidor envia a outro quando ocorre uma conversão. Isso se chama rastreamento servidor a servidor, ou S2S: o servidor do anunciante chama a plataforma de rastreamento e devolve o ID do clique. A documentação da Voluum o chama de “um método de rastreamento de conversão servidor a servidor (S2S)”. A Everflow diz que a chamada vem “do seu servidor, não do navegador do usuário”.

A central de ajuda da Everflow diz que um pixel “pode falhar com bloqueadores de anúncios ou com a limpeza de cookies”, enquanto um postback é “imune a bloqueadores de anúncios e a problemas de cookies”. Essas são afirmações da Everflow, e a lógica vale para o postback em si: uma chamada entre dois servidores não depende do navegador do visitante. O clique que vem antes ainda depende. O preço é trabalho do seu lado. Seu sistema precisa guardar o ID do clique na chegada e enviá-lo de volta depois, inclusive a partir do seu sistema de gestão de relacionamento com o cliente (CRM) para vendas fechadas offline.

Como os limites de cookies do Safari e do Chrome afetam o rastreamento hoje?

Um cookie é um pequeno arquivo que um site guarda no navegador para reconhecer o visitante depois. O WebKit, o motor por trás do Safari, publica suas regras. A Intelligent Tracking Prevention (ITP) dele “bloqueia por padrão todos os cookies de terceiros”. A ITP também observa links que levam um ID no endereço web, que é como os IDs de clique costumam viajar. Quando detecta isso, a ITP “limita a 24 horas a validade dos cookies criados em JavaScript na página de destino”. Ela também apaga cookies criados por script e outros dados armazenados “após 7 dias sem interação do usuário com o site”.

O Chrome seguiu outro caminho. Em 22 de abril de 2025, o Google escreveu que iria “manter a nossa abordagem atual de oferecer aos usuários a escolha sobre cookies de terceiros no Chrome”. Em 17 de outubro de 2025, disse que iria “aposentar as seguintes tecnologias do Privacy Sandbox”, entre elas a Attribution Reporting API, uma ferramenta do navegador para medir conversões de anúncios. A página de cookies do Google, atualizada pela última vez em 26 de outubro de 2026, diz que os cookies “podem ser bloqueados pelo design do navegador, por política Enterprise ou por escolha do usuário”. Portanto, um ID de clique guardado apenas em um cookie do navegador será perdido para alguns visitantes. Guarde-o no seu próprio servidor quando o visitante chegar.

Por que dois sistemas de rastreamento de afiliados discordam sobre quem recebe o crédito?

Atribuição é a regra que decide qual parceiro recebe o crédito quando mais de um tocou o cliente. O último clique dá o crédito ao parceiro cujo clique veio por último antes da conversão. Para conversões baseadas em cookie, o padrão da Everflow faz isso: ele “atribui a conversão ao Parceiro que gerou o último clique antes de a conversão ocorrer”. O primeiro clique dá o crédito ao parceiro mais antigo. A janela de atribuição é até onde o sistema olha para trás em busca de um clique, e um clique mais antigo não rende nada. O guia de fraude da Everflow diz: “a atribuição por clique de 7 dias é o padrão, e alguns anunciantes têm atribuição por clique de 30 dias”.

Dois sistemas discordam quando usam uma regra ou uma janela diferente, cortam o dia em outro fuso horário, tratam repetições de forma diferente ou perdem um ID de clique. Escreva a regra, a janela e o fuso horário nos termos do parceiro antes do primeiro pagamento.

O que uma plataforma SaaS inclui, e do que você abre mão?

Uma plataforma SaaS costuma reunir, em uma só conta, links de rastreamento hospedados, cadastro de parceiros, relatórios, pagamentos e ferramentas antifraude. A TUNE se descreve como “uma plataforma SaaS totalmente personalizável” com uma “base baseada em API com mais de 650 endpoints”. A impact.com se define como “a plataforma de gestão de parcerias que conecta marcas a publishers afiliados, criadores e defensores para gerar resultados e receita mensuráveis”. A Everflow e a Affise vendem para anunciantes e redes, e a Voluum é um tracker hospedado.

Você abre mão de parte do dinheiro, do controle e do histórico. A página de preços da Everflow pede que você “Request Personalized Pricing” e diz “We require a 6-month commitment for our Everflow plans”. A página de planos para anunciantes da TUNE lista o Scale a “$1,500 per month paid annually”, com “2,500 / month” em conversões incluídas, e marca pagamentos a parceiros e onboarding como “Fee Based”. O plano de entrada da Affise lista “7 000 conversions” e “Unlimited clicks”. A Voluum lista “Up to 1,000,000 events” em um plano. Limites como esses decidem a sua conta à medida que o volume cresce.

O que é preciso para operar um tracker, hospedado ou auto-hospedado?

Um tracker é um software que registra cliques e conversões. Um tracker hospedado é operado pelo fornecedor, como qualquer SaaS. Um auto-hospedado roda no seu próprio servidor, sob licença, como o Keitaro. A página de preços dele oferece “planos individuais para marketers e media buyers”, ou seja, é voltado a quem compra tráfego. Verifique o que ele oferece para cadastro de parceiros, aprovações e pagamentos.

A documentação dele diz que é preciso um “servidor (VPS ou VDS) para instalar e executar o Keitaro” e indica o CentOS Stream como sistema operacional. Um servidor pré-instalado ainda precisa de licença. Ela dimensiona o servidor pelos cliques diários, e “Updating the tracker and server version” consta como tarefa de manutenção. Você é dono do servidor, dos backups, das correções, da capacidade e da disponibilidade.

Que fraudes esperar, e o que cada caminho oferece?

O click spamming é o primeiro padrão. A Everflow descreve um fraudador que “dispara o seu link de rastreamento de clique toda vez que um usuário vê o anúncio dele”. O parceiro então leva o crédito por vendas que teriam acontecido de qualquer jeito. O cookie stuffing coloca um cookie em um visitante que nunca clicou; a impact.com lista “evidência de cookie-stuffing” entre o tráfego suspeito. O click injection dispara um link logo antes de uma conversão se completar, e, em instalações de aplicativos, a Everflow chama tempos entre clique e conversão abaixo de 15 segundos de “quase sempre suspeitos”.

Uma plataforma SaaS traz ferramentas prontas. As regras SmartSwitch da Everflow “bloqueiam tráfego, reprovam tráfego ou enviam alertas”, e por padrão a Everflow rejeita uma segunda conversão do mesmo ID de clique. Os códigos de motivo da impact.com sinalizam proxies e recomendam “uma revisão manual cuidadosa de qualquer evento sinalizado com este código de motivo antes de você aprovar os pagamentos”. A TUNE lista “Proactive Fraud Prevention”. Um tracker auto-hospedado dá a você logs e regras que você configura. Uma solução própria dá todos os sinais e a tarefa de escrever a detecção. Em qualquer caminho, retenha os pagamentos por um período de revisão antes de torná-los definitivos.

Como funcionam os pagamentos, a conciliação e as disputas com parceiros?

As regras de pagamento dizem quem recebe quanto, e quando. A impact.com documenta um modelo. Uma conversão começa como pendente, e as ações pendentes “podem ser modificadas ou revertidas dentro do período de bloqueio”. Depois da data de bloqueio, elas “se tornam ações bloqueadas”, e “o valor da comissão devido nas ações bloqueadas é definitivo”. O seu próprio programa precisa das mesmas duas datas por escrito: até quando uma conversão ainda pode ser revertida e quando ela é paga.

Conciliação significa comparar a lista de conversões da plataforma com os pedidos ou os registros de CRM do próprio anunciante, linha a linha, a cada período: quantidade, valor, status e reembolsos. As divergências costumam vir de reembolsos posteriores, duplicatas, fusos horários e conversões que chegaram sem ID de clique. Combine nos termos do parceiro os registros de qual lado decidem. Uma disputa se resolve com um registro: o clique, o seu ID e a conversão. Só com totais, você não consegue mostrar a um parceiro por que uma conversão foi rejeitada.

O que as regras de privacidade da UE e dos EUA significam para o rastreamento e para os dados de parceiros?

Na UE, as Guidelines 2/2023 do Comitê Europeu para a Proteção de Dados sobre a Diretiva ePrivacy, versão 2.0 de 7 de outubro de 2024, tratam dos links de rastreamento e dão o marketing de afiliados como exemplo. Elas descrevem links rastreados entregues a parceiros para que uma loja saiba a quem pagar uma comissão, “uma prática conhecida como marketing de afiliados”. Tratam a entrega desse link ao dispositivo de um usuário como armazenamento, de modo que “o artigo 5(3) da ePD é aplicável, mesmo que esse armazenamento não seja permanente.” Se a sua configuração exige consentimento ou se enquadra em uma exceção é uma questão para o seu advogado.

Nos EUA, as regras variam por estado. O Procurador-Geral da Califórnia lista “o direito de optar por não ter suas informações pessoais vendidas ou compartilhadas, inclusive por meio do GPC”. O GPC é o Global Privacy Control, uma configuração do navegador que diz a um site para parar de vender ou compartilhar os dados de uma pessoa. Os logs de cliques guardam endereços IP, e os registros de parceiros guardam nomes, dados bancários e formulários fiscais. Com um fornecedor, pergunte quem decide por que os dados são usados e quem apenas os trata em nome do outro. A UE os chama de controlador e operador. A Califórnia os chama de business e service provider. Pergunte também quem assina os termos de tratamento de dados.

Como testar uma plataforma em comparação com o seu sistema atual?

Rode os dois ao mesmo tempo. O FAQ da página de preços da Everflow descreve uma migração em que você continua rodando o seu programa existente “e os dados serão coletados nas duas plataformas”.

• Envie os mesmos cliques e conversões reais para os dois sistemas durante várias semanas inteiras, guardando o ID de clique de cada sistema.
• Defina primeiro a pergunta e a linha de aprovação: cliques, conversões e valor por parceiro, e o intervalo entre a conversão e o relatório.
• Inclua casos difíceis: visitantes do Safari, navegadores embutidos em outros aplicativos, reembolsos e conversões que acontecem offline.
• Explique cada divergência antes de mudar qualquer pagamento, usando números do seu próprio banco de dados.

O que você mantém se sair de um fornecedor de rastreamento de afiliados?

A tabela da Everflow dá aos cliques “Raw-level 90 days High-level 2 years” e às conversões “Raw-level 1 year High-level 2 years”. Para reter uma cópia dos dados de conversão, ela diz para usar a API ou “request an export through the UI”. O plano Profit da Voluum mostra “6 Months of Data Retention”; os outros planos listam de 12 a 24 meses. A Everflow diz também: “We provide free data migrations from all networks and platforms”. Isso diz respeito a entrar; a página de preços não diz nada sobre sair.

Peça por escrito uma exportação contínua dos cliques e conversões brutos para um armazenamento que você controle, durante todo o prazo do contrato. Use um domínio de rastreamento que seja seu (o endereço web para o qual os links dos parceiros apontam), para poder redirecionar os links dos parceiros a um novo sistema depois de uma troca; a tabela de planos da TUNE lista um “Secure Custom Application and Tracking Domain”. Peça também as regras de comissão em formato legível, o histórico de pagamentos e um prazo de aviso prévio.

Quando se justifica construir o seu próprio sistema de rastreamento e pagamentos?

Raramente, e em geral depois de uma plataforma ter mostrado onde fica aquém. Estes motivos podem justificar:

• O seu volume é tão alto que as tarifas por evento custam mais do que uma equipe que mantém o seu próprio sistema.
• As regras de comissão dependem de dados que uma plataforma não alcança, como a receita líquida depois de reembolsos, faixas entre produtos ou regras por contrato de parceiro.
• Rastreamento e pagamentos são um produto que você vende a terceiros, por exemplo a sua própria rede de afiliados, com um portal de parceiros sob a sua própria marca.
• Contratos ou regras exigem que todos os registros de cliques e conversões permaneçam dentro dos seus sistemas.

Não construa só porque dois relatórios divergem. Um sistema novo acrescenta mais um conjunto de números. Construir exige um serviço que colete cliques mesmo em picos de tráfego, um armazenamento para os IDs de clique e um endereço de postback que aceite a mensagem de novo se a primeira falhar. Exige também regras de comissão, filtros antifraude, um livro-razão de pagamentos (o registro do que é devido e do que foi pago), um portal de parceiros e relatórios, além de manutenção.

O que perguntar a um fornecedor ou a uma empresa que faria a construção?

• O que exatamente vocês cobram, o que conta como evento e o que acontece acima do limite?
• Podemos exportar cliques e conversões brutos de forma contínua, em que formato e por quanto tempo eles ficam guardados?
• Como vocês guardam e cruzam os IDs de clique, e como o rastreamento se comporta com visitantes do Safari?
• Quais regras e janelas de atribuição podemos definir por parceiro e por oferta?
• Como vocês detectam click spam e cookie stuffing, e podemos ver os sinais por trás de um alerta?
• Como os pagamentos são retidos, revertidos e exportados, e como conciliamos com os nossos próprios registros?
• Quem é o operador de dados, e quais termos de tratamento de dados vocês assinam?
• Vocês rodam ao lado do nosso sistema atual com tráfego real, e o que mantemos ao sair?

Onde a amBrain se encaixa?

A amBrain publica este blog. Nas palavras dela: “A amBrain constrói pipelines de análise de eventos para ad tech: coleta, processamento e relatórios de eventos de impressão e de clique.” Eventos de clique são uma das entradas do rastreamento de afiliados. Essa frase não abrange conversões, comissões nem pagamentos.

A amBrain desenvolve software desde 2019. Sobre como trabalha com clientes, ela diz: “Três formatos: entrega completa, uma equipe dedicada ou engenheiros integrados à sua equipe.” Sua frase sobre propriedade é “O cliente mantém a propriedade total do produto e do código, exceto os nossos componentes reutilizáveis.” Peça a lista desses componentes, pelo nome, antes de assinar.

Este artigo não é um estudo de caso e não descreve trabalho para clientes. As frases acima não citam nenhum cliente, e nada aqui diz que a amBrain tenha construído um sistema de rastreamento de afiliados ou de pagamentos para qualquer empresa. O artigo não traz preços nem prazos da amBrain e não afirma relação com nenhum fornecedor citado. Toda fonte externa é citada a partir da sua própria página.

Também não é aconselhamento jurídico. Peça a um advogado que leia os contratos com fornecedores, os termos de tratamento de dados e a sua configuração de consentimento antes de assinar. Se a amBrain estiver na sua lista de candidatos, faça a ela as mesmas perguntas que faria a qualquer outra empresa.