Qué es el cookie stuffing y cómo roba comisiones de afiliado
El cookie stuffing planta una cookie de afiliado sin un clic real y se queda con el crédito del último clic por ventas que no generó. Mecánica, casos, ley y detección.
El cookie stuffing consiste en colocar una cookie de seguimiento de afiliado en el navegador de un visitante sin un clic real ni intención de compra, de modo que quien la planta cobra la comisión del último clic por ventas que no generó. El comerciante paga por un cliente que habría conseguido de todos modos, y el afiliado que realmente refirió al comprador pierde la comisión.
Es una forma de fraude de afiliados con larga trayectoria que ha pasado del código oculto en las páginas a las extensiones de navegador.
Qué es el cookie stuffing
En el marketing de afiliados y la publicidad de performance, una cookie de seguimiento debería registrar un solo hecho: una persona decidió hacer clic en el enlace de un partner. El cookie stuffing rompe el vínculo entre esa decisión y el crédito. La cookie, o la etiqueta que cumple su función, la coloca un código que el visitante nunca ve.
Como definición práctica, abarca cualquier método que deposite o sobrescriba un identificador de afiliado sin una acción genuina del usuario. También se le llama cookie dropping o cookie forcing.
El daño va más allá de una venta concreta: los informes del programa premian al partner equivocado, así que el presupuesto y las mejores condiciones fluyen hacia el fraude.
Cómo funciona la atribución de afiliados y por qué el stuffing sale rentable
El visitante hace clic en un enlace de seguimiento que lleva el ID del afiliado. El servidor de seguimiento registra el clic y guarda el ID en una cookie o como click ID. Si el visitante compra o se registra dentro de la ventana de atribución del programa, la venta se asocia a ese ID. Tanto si el acuerdo es un CPA fijo como un revenue share (en qué se diferencian esos modelos), este registro decide quién cobra.
Muchos programas acreditan solo el último clic de afiliado antes de la venta, así que una cookie más reciente sustituye a la anterior. Eso es lo que hace rentable el stuffing. Quien lo practica no convence a nadie; solo necesita tener su ID en el navegador antes de una compra que iba a producirse igualmente.
Supongamos que un lector elige una casa de apuestas en la tabla comparativa de un sitio de reseñas y empieza a registrarse. En el paso del depósito, una extensión de cupones dispara en silencio su propio enlace de afiliado. Con el modelo de último clic, al dueño de la extensión se le paga por el depósito y el sitio de reseñas no recibe nada.
Cómo se ve el cookie stuffing
El cookie stuffing se esconde en el código de las páginas, en widgets, redirecciones y software que el visitante nunca percibe. Estos son los patrones que vigilan los equipos de compliance, descritos para poder reconocerlos, no para copiarlos.
Elementos ocultos en la página. Imágenes invisibles, frames de tamaño cero o scripts que llaman a una URL de seguimiento en segundo plano.
Herramientas y widgets gratuitos. Código incluido en un widget que otros propietarios de sitios insertan, de modo que las visitas a sus páginas disparan el enlace de quien hace el stuffing. Este fue el método del caso eBay.
Redirecciones forzadas, pop-ups y pop-unders. El visitante pasa por un enlace de seguimiento que nunca eligió.
Extensiones de navegador y apps. Software que añade una etiqueta de afiliado, o cambia una existente por la suya, en la página de una tienda o en el checkout. Las acusaciones contra Honey y Phia se refieren a este patrón.
Dominios parecidos y spam de enlaces. Dominios con errores tipográficos y enlaces en foros o comentarios que pasan por una URL de seguimiento.
Cookie stuffing vs. click spamming vs. click injection
Los tres suelen meterse en el mismo saco, pero se manifiestan de forma distinta en los datos.
| Cookie stuffing | Click spamming | Click injection | |
|---|---|---|---|
| Qué ocurre | Se coloca o sustituye una cookie o etiqueta de afiliado sin un clic real | Se reportan cantidades masivas de clics falsos con la esperanza de que algunos usuarios conviertan más tarde por su cuenta | Código malicioso de una app dispara un clic justo antes de que termine una instalación |
| Dónde | Programas de afiliados web, extensiones de navegador | Campañas de instalación de apps y web | Campañas de instalación de apps |
| En los datos | Clics sin impresiones ni referrers; conversiones minutos después de un clic de compradores que ya estaban en el sitio | Ráfagas de clics casi sin conversiones y sin agrupación en torno a un retraso típico entre clic y conversión | Instalaciones que se producen casi al instante después del clic acreditado |
Ejemplos de cookie stuffing: eBay, Honey y Phia
Los casos documentados van desde penas de prisión (eBay) hasta una demanda pendiente (Honey) y un reportaje de prensa (Phia).
eBay: el caso que acabó con penas de prisión
Según la US Attorney's Office del Distrito Norte de California, Brian Dunning admitió que, aproximadamente entre mayo de 2006 y junio de 2007, operó un esquema de cookie stuffing contra el programa de afiliados de eBay a través de su empresa, Kessler's Flying Circus. Unas aplicaciones gratuitas en dos de sus sitios web contenían código que entregaba a los navegadores de los visitantes una cookie con el ID de afiliado de la empresa, aunque no hubieran hecho clic en un enlace de eBay.
Se declaró culpable de fraude electrónico en abril de 2013. Las comisiones de eBay de la empresa en ese periodo sumaron unos 5,2 millones de dólares, y ambas partes acordaron que entre 200.000 y 400.000 dólares procedían del esquema. En agosto de 2014 fue condenado a 15 meses de prisión; no se ordenó restitución debido a un acuerdo civil separado con eBay.
Shawn Hogan, otro afiliado de eBay procesado por cookie stuffing, se declaró culpable de fraude electrónico y en mayo de 2014 fue condenado a cinco meses de prisión federal, según la cobertura de prensa.
Honey (PayPal): acusaciones en una demanda pendiente
A partir de finales de 2024, varios creadores de contenido demandaron a PayPal ante un tribunal federal de California (el caso está ahora consolidado como In re PayPal Honey Browser Extension Litigation, n.º 5:24-cv-09470). Alegan que la extensión Honey sustituía su seguimiento de afiliado por el de PayPal en el checkout y se llevaba el crédito del último clic por ventas que ellos habían referido. Su demanda enmendada lo califica de cookie stuffing mediante redirecciones. PayPal rechaza las acusaciones.
En 2025 el tribunal desestimó la primera demanda con permiso para enmendarla. El 22 de junio de 2026, la jueza Beth Labson Freeman denegó la moción de PayPal para desestimar la segunda demanda enmendada. Ninguna de las dos resoluciones decide si las acusaciones son ciertas.
Phia: un reportaje de 2026
En julio de 2026, Bloomberg informó, según lo recogió Engadget, de que Phia, una app de compras con IA y extensión de navegador cofundada por Phoebe Gates y Sophia Kianni, había vinculado su código de afiliado a ventas que no generó. Engadget describió un vídeo del investigador Ben Edelman que mostraba el enlace de afiliado de Phia «cargado de forma invisible en una segunda pestaña» en iOS después de que un usuario visitara la web de un comerciante. Phia dijo a Bloomberg que «en una versión reciente, nuestro código estaba causando atribuciones erróneas» para un subconjunto de usuarios, y afirmó que el problema estaba resuelto. Esto es información de prensa, no una conclusión judicial.
¿Es ilegal el cookie stuffing?
El cookie stuffing puede ser ilegal, y su gravedad depende del nivel: contrato, normas de plataforma, demandas civiles o derecho penal.
Condiciones del programa. Los acuerdos de afiliación suelen prohibirlo; un incumplimiento normalmente supone comisiones revertidas y el cierre de la cuenta. Algunos lo nombran expresamente, como un acuerdo de Staples citado en la demanda contra Honey. Las Associates Program Policies de Amazon prohíben abrir una página de Amazon de cualquier forma que no sea el clic de un cliente en un Special Link, así como los Special Links en pop-ups o pop-unders, los clics generados artificialmente y los Special Links en extensiones de navegador.
Normas de plataforma. La política de anuncios de afiliados de Chrome Web Store, actualizada en marzo de 2025, exige una acción relacionada del usuario antes de que una extensión añada cada código, enlace o cookie de afiliado, y prohíbe sustituir un código de afiliado existente sin el conocimiento explícito del usuario.
Demandas civiles. Los comerciantes o los afiliados desplazados pueden demandar por fraude, incumplimiento de contrato o competencia desleal. eBay llegó a un acuerdo civil con Dunning, y los creadores que demandan a Honey se apoyan en parte en la ley de competencia desleal de California.
Derecho penal. En el caso eBay, la fiscalía imputó el cookie stuffing como fraude electrónico federal según el 18 U.S.C. 1343. Los casos penales son la excepción; la mayoría de las disputas terminan en el nivel del programa o en la vía civil.
Esto es un resumen general, no asesoramiento legal.
Cómo detectar el cookie stuffing
El cookie stuffing se detecta a través de patrones en muchas conversiones, no por una venta extraña. Los programas y las redes revisan:
Tiempo entre clic y conversión. Conversiones agrupadas segundos o minutos después del clic, sobre todo cuando la sesión empezó en el sitio del comerciante a través de otro canal.
Clics sin exposición. Sin impresión correspondiente, sin referrer, o con una página de referencia sin ningún enlace visible.
Tasas de conversión que no cuadran. La tasa de conversión o el EPC de un partner se dispara sin cambios en el tráfico. El stuffing a gran volumen muestra lo contrario: un número de clics totalmente desproporcionado respecto a las ventas.
Patrones de sobrescritura. Un mismo partner aparece una y otra vez como último clic minutos después del clic de otro partner.
Mix de clientes y agrupaciones. Una proporción inusualmente alta de clientes recurrentes, o clics concentrados en los mismos rangos de IP, user agents o centros de datos.
Recorridos de prueba. Compras en navegadores limpios y con extensiones de cupones populares instaladas, comprobando qué ID llega al checkout.
El cookie stuffing en iGaming
Los programas de casinos y casas de apuestas pagan por primer depósito o como porcentaje de los ingresos del jugador, así que una cookie forzada hace que el operador pague dinero de adquisición por un jugador que su propia publicidad de marca habría atraído. Las condiciones de afiliación de otros sectores, como las de Amazon y Staples mencionadas arriba, prohíben estos métodos, y los programas de iGaming suelen seguir el mismo patrón. Revisa las cláusulas de tráfico prohibido y de reversión de comisiones de cada programa al que te unas.
En los estados regulados de EE. UU., el afiliado también es una parte regulada. La Division of Gaming Enforcement de Nueva Jersey registra o licencia a los afiliados que hacen marketing para casinos online, y Pensilvania exige a los afiliados de casinos online una certificación o un registro, según cómo se les pague. Allí, una constatación de fraude puede convertirse en una cuestión de licencia, no solo en una disputa contractual.
Qué hacer si sospechas de cookie stuffing
El primer paso son las pruebas: marcas de tiempo, click IDs y recorridos de prueba que muestren qué etiqueta llegó al checkout.
Si eres afiliado:
Compara la comisión por comerciante con los clics. Una caída de las comisiones con clics estables es la primera señal de que te están sobrescribiendo.
Prueba tus enlaces con extensiones de cupones y cashback habituales instaladas, y comprueba si tu etiqueta llega al checkout.
Guarda marcas de tiempo, click IDs y capturas de pantalla, y envíalos al affiliate manager o al equipo de compliance de la red.
Si gestionas un programa:
Revisa cada mes a los principales partners en tiempo entre clic y conversión, proporción de clientes nuevos y referrers.
Enumera los métodos prohibidos en tus condiciones, incluido el software que añade o sustituye etiquetas sin una acción del usuario.
Retén los pagos el tiempo suficiente para revisarlos, y audita por separado a los partners de cupones y cashback.
¿Sigue importando el cookie stuffing sin cookies de terceros?
Sí, porque el objetivo es el registro del clic, no la cookie. Los navegadores llevan años endureciendo las reglas sobre cookies, y muchos programas ahora guardan un click ID y confirman las conversiones mediante seguimiento por postback. Eso cambia la mecánica, no el incentivo. Un software que abre un enlace de seguimiento en una pestaña oculta, el patrón descrito más arriba en el reportaje sobre Phia, genera un clic que al tracker le parece real.
Preguntas frecuentes
¿Es ilegal el cookie stuffing?
El cookie stuffing incumple las condiciones de los programas de afiliados y puede fundamentar demandas civiles. En el caso eBay, la fiscalía estadounidense lo imputó como fraude electrónico federal y dos afiliados fueron condenados a prisión.
¿Cuál es un ejemplo de cookie stuffing?
El ejemplo de cookie stuffing más conocido es el caso eBay: en 2006 y 2007, las herramientas web gratuitas de un afiliado colocaban la cookie de eBay de su empresa en los navegadores de los visitantes sin ningún clic en un enlace de eBay. Se declaró culpable de fraude electrónico en 2013.
¿Cómo se detecta el cookie stuffing?
El cookie stuffing se manifiesta como conversiones segundos después de un clic, clics sin impresiones ni referrers, y un partner que sobrescribe repetidamente a otro justo antes del checkout.
¿Es lo mismo el cookie stuffing que el cookie dropping o el click spamming?
Cookie dropping suele ser otro nombre del cookie stuffing. El click spamming inunda un tracker con clics falsos para reclamar conversiones más tarde, sobre todo en campañas de apps.
¿Pueden las extensiones de navegador hacer cookie stuffing?
Las extensiones de navegador pueden hacer cookie stuffing añadiendo o sustituyendo etiquetas de afiliado en el checkout, algo que la política de Chrome Web Store prohíbe sin una acción relacionada del usuario.
¿Sigue funcionando el cookie stuffing sin cookies de terceros?
El cookie stuffing se adapta a un mundo sin cookies de terceros. Con click IDs y seguimiento server-to-server, el ataque pasa a generar clics mediante pestañas ocultas, redirecciones o extensiones.
Fuentes
US Attorney's Office, N.D. Cal., Dunning sentencing release, August 4, 2014
MarTech, Hogan sentencing report, May 2014
Courthouse News Service, PayPal unlikely to dodge class action from influencers over lost commissions
Amazon Associates Program Policies, updated April 14, 2026
Chrome Web Store, Affiliate Ads policy, updated March 11, 2025
New Jersey Division of Gaming Enforcement, Vendor Licensing
Pennsylvania Bulletin, 51 Pa.B. 5389 (58 Pa. Code ch. 807a)
