O que é cookie stuffing e como rouba comissões de afiliados
O cookie stuffing planta um cookie de afiliado sem um clique real e fica com o crédito de último clique por vendas que não gerou. Mecânica, casos, lei e detecção.
Cookie stuffing é colocar um cookie de rastreamento de afiliado no navegador de um visitante sem um clique real nem intenção de compra, para que quem o planta receba a comissão de último clique por vendas que não gerou. O anunciante paga por um cliente que conquistaria de qualquer forma, e o afiliado que realmente indicou o comprador perde a comissão.
É uma forma antiga de fraude de afiliados que migrou do código oculto nas páginas para as extensões de navegador.
O que é cookie stuffing
No marketing de afiliados e na publicidade de performance, um cookie de rastreamento deveria registrar um único fato: uma pessoa escolheu clicar no link de um parceiro. O cookie stuffing corta a ligação entre essa escolha e o crédito. O cookie, ou a tag que faz o papel dele, é definido por um código que o visitante nunca vê.
Como definição prática, abrange qualquer método que grave ou sobrescreva um identificador de afiliado sem uma ação genuína do usuário. Também é chamado de cookie dropping ou cookie forcing.
O dano vai além de uma venda isolada: os relatórios do programa recompensam o parceiro errado, e assim o orçamento e as melhores condições vão para a fraude.
Como funciona a atribuição de afiliados e por que o stuffing compensa
O visitante clica em um link de rastreamento que carrega o ID do afiliado. O servidor de rastreamento registra o clique e armazena o ID em um cookie ou como click ID. Se o visitante comprar ou se cadastrar dentro da janela de atribuição do programa, a venda é associada a esse ID. Seja o acordo um CPA fixo ou um revenue share (como esses modelos diferem), é esse registro que decide quem recebe.
Muitos programas creditam apenas o último clique de afiliado antes da venda, então um cookie mais novo substitui o mais antigo. É isso que faz o stuffing compensar. Quem o pratica não convence ninguém; só precisa que seu ID esteja no navegador antes de uma compra que aconteceria de qualquer jeito.
Digamos que um leitor escolha uma casa de apostas na tabela comparativa de um site de reviews e comece o cadastro. Na etapa do depósito, uma extensão de cupons dispara silenciosamente o próprio link de afiliado. No modelo de último clique, o dono da extensão é pago pelo depósito e o site de reviews não recebe nada.
Como o cookie stuffing aparece
O cookie stuffing se esconde no código das páginas, em widgets, redirecionamentos e softwares que o visitante nunca percebe. Estes são os padrões que as equipes de compliance monitoram, descritos para que possam ser reconhecidos, não copiados.
Elementos ocultos na página. Imagens invisíveis, frames de tamanho zero ou scripts que chamam uma URL de rastreamento em segundo plano.
Ferramentas e widgets gratuitos. Código embutido em um widget que donos de outros sites incorporam, de modo que as visitas às páginas deles disparam o link do fraudador. Esse foi o método do caso eBay.
Redirecionamentos forçados, pop-ups e pop-unders. O visitante passa por um link de rastreamento que nunca escolheu.
Extensões de navegador e apps. Softwares que adicionam uma tag de afiliado, ou trocam uma existente pela própria, em uma página de loja ou no checkout. As acusações contra Honey e Phia dizem respeito a esse padrão.
Domínios parecidos e spam de links. Domínios com erros de digitação e links em fóruns ou comentários que passam por uma URL de rastreamento.
Cookie stuffing vs. click spamming vs. click injection
Os três costumam ser colocados no mesmo saco, mas aparecem de forma diferente nos dados.
| Cookie stuffing | Click spamming | Click injection | |
|---|---|---|---|
| O que acontece | Um cookie ou tag de afiliado é definido ou substituído sem um clique real | Massas de cliques falsos são reportadas na esperança de que alguns usuários convertam depois por conta própria | Código malicioso de um app dispara um clique pouco antes de uma instalação terminar |
| Onde | Programas de afiliados web, extensões de navegador | Campanhas de instalação de apps e web | Campanhas de instalação de apps |
| Nos dados | Cliques sem impressões nem referrers; conversões minutos depois de um clique, vindas de compradores que já estavam no site | Picos de cliques quase sem conversões e sem concentração em torno de um intervalo típico entre clique e conversão | Instalações que ocorrem quase instantaneamente após o clique creditado |
Exemplos de cookie stuffing: eBay, Honey e Phia
Os casos documentados vão de penas de prisão (eBay) a um processo em andamento (Honey) e uma reportagem (Phia).
eBay: o caso que terminou em penas de prisão
Segundo a US Attorney's Office do Distrito Norte da Califórnia, Brian Dunning admitiu que, aproximadamente entre maio de 2006 e junho de 2007, operou um esquema de cookie stuffing contra o programa de afiliados do eBay por meio da sua empresa, Kessler's Flying Circus. Aplicativos gratuitos em dois de seus sites continham código que entregava aos navegadores dos visitantes um cookie com o ID de afiliado da empresa, embora eles não tivessem clicado em um link do eBay.
Ele se declarou culpado de fraude eletrônica em abril de 2013. As comissões do eBay recebidas pela empresa no período somaram cerca de US$ 5,2 milhões, e as duas partes concordaram que de US$ 200.000 a US$ 400.000 desse total vieram do esquema. Em agosto de 2014, ele foi condenado a 15 meses de prisão; não houve ordem de restituição por causa de um acordo civil separado com o eBay.
Shawn Hogan, outro afiliado do eBay processado por cookie stuffing, se declarou culpado de fraude eletrônica e foi condenado em maio de 2014 a cinco meses de prisão federal, segundo a imprensa.
Honey (PayPal): acusações em um processo em andamento
A partir do fim de 2024, criadores de conteúdo processaram o PayPal em um tribunal federal da Califórnia (o caso agora está consolidado como In re PayPal Honey Browser Extension Litigation, nº 5:24-cv-09470). Eles alegam que a extensão Honey substituía o rastreamento de afiliado deles pelo do próprio PayPal no checkout, ficando com o crédito de último clique por vendas que eles haviam indicado. A petição emendada chama isso de cookie stuffing por meio de redirecionamentos. O PayPal contesta as alegações.
Em 2025, o tribunal rejeitou a primeira petição, permitindo que fosse emendada. Em 22 de junho de 2026, a juíza Beth Labson Freeman negou o pedido do PayPal para rejeitar a segunda petição emendada. Nenhuma das decisões define se as alegações são verdadeiras.
Phia: uma reportagem de 2026
Em julho de 2026, a Bloomberg noticiou, conforme repercutido pelo Engadget, que a Phia, um app de compras com IA e extensão de navegador cofundado por Phoebe Gates e Sophia Kianni, havia atrelado seu código de afiliado a vendas que não gerou. O Engadget descreveu um vídeo do pesquisador Ben Edelman mostrando o link de afiliado da Phia "carregado de forma invisível em uma segunda aba" no iOS depois que um usuário visitou o site de um lojista. A Phia disse à Bloomberg que "em uma versão recente, nosso código estava causando atribuições incorretas" para uma parte dos usuários, e afirmou que o problema foi resolvido. Trata-se de uma reportagem, não de uma conclusão judicial.
Cookie stuffing é ilegal?
O cookie stuffing pode ser ilegal, e a gravidade depende da camada: contrato, regras de plataforma, ações cíveis ou direito penal.
Termos do programa. Os contratos de afiliados geralmente o proíbem; uma violação costuma significar estorno de comissões e encerramento da conta. Alguns o mencionam explicitamente, como um contrato da Staples citado na ação contra a Honey. As Associates Program Policies da Amazon proíbem abrir uma página da Amazon de qualquer forma que não seja pelo clique de um cliente em um Special Link, além de Special Links em pop-ups ou pop-unders, cliques gerados artificialmente e Special Links em extensões de navegador.
Regras de plataforma. A política de anúncios de afiliados da Chrome Web Store, atualizada em março de 2025, exige uma ação relacionada do usuário antes que uma extensão adicione cada código, link ou cookie de afiliado, e proíbe substituir um código de afiliado existente sem o conhecimento explícito do usuário.
Ações cíveis. Anunciantes ou afiliados prejudicados podem processar por fraude, quebra de contrato ou concorrência desleal. O eBay fez um acordo civil com Dunning, e os criadores que processam a Honey se apoiam em parte na lei de concorrência desleal da Califórnia.
Direito penal. No caso eBay, a promotoria enquadrou o cookie stuffing como fraude eletrônica federal com base no 18 U.S.C. 1343. Casos criminais são a exceção; a maioria das disputas termina no nível do programa ou na esfera cível.
Este é um resumo geral, não aconselhamento jurídico.
Como detectar cookie stuffing
O cookie stuffing é detectado por padrões em muitas conversões, não por uma venda estranha. Programas e redes verificam:
Tempo entre clique e conversão. Conversões concentradas segundos ou minutos após o clique, principalmente quando a sessão começou no site do anunciante por outro canal.
Cliques sem exposição. Nenhuma impressão correspondente, nenhum referrer, ou uma página de origem sem nenhum link visível.
Taxas de conversão que não batem. A taxa de conversão ou o EPC de um parceiro dispara sem mudança no tráfego. O stuffing em volume mostra o oposto: um número de cliques totalmente desproporcional às vendas.
Padrões de sobrescrita. Um mesmo parceiro aparece repetidamente como último clique minutos depois do clique de outro parceiro.
Perfil de clientes e agrupamentos. Uma proporção incomumente alta de clientes recorrentes, ou cliques concentrados nas mesmas faixas de IP, user agents ou data centers.
Jornadas de teste. Compras em navegadores limpos e com extensões de cupons populares instaladas, verificando qual ID chega ao checkout.
Cookie stuffing no iGaming
Programas de cassino e de apostas esportivas pagam por primeiro depósito ou como participação na receita do jogador, então um cookie forçado faz o operador pagar dinheiro de aquisição por um jogador que a própria publicidade de marca teria trazido. Termos de afiliados de outros setores, como os da Amazon e da Staples citados acima, proíbem esses métodos, e os programas de iGaming geralmente seguem o mesmo padrão. Confira as cláusulas de tráfego proibido e de estorno de comissões de cada programa em que você entrar.
Nos estados regulados dos EUA, o afiliado também é uma parte regulada. A Division of Gaming Enforcement de Nova Jersey registra ou licencia afiliados que fazem marketing para cassinos online, e a Pensilvânia exige que afiliados de cassinos online tenham certificação ou registro, dependendo de como são remunerados. Lá, uma constatação de fraude pode virar uma questão de licenciamento, não apenas uma disputa contratual.
O que fazer se você suspeitar de cookie stuffing
O primeiro passo são as evidências: timestamps, click IDs e jornadas de teste que mostrem qual tag chegou ao checkout.
Se você é afiliado:
Acompanhe a comissão por anunciante em relação aos cliques. Comissões em queda com cliques estáveis são o primeiro sinal de que você está sendo sobrescrito.
Teste seus links com extensões comuns de cupons e cashback instaladas e verifique se sua tag chega ao checkout.
Guarde timestamps, click IDs e capturas de tela, e envie-os ao affiliate manager ou à equipe de compliance da rede.
Se você administra um programa:
Revise mensalmente os principais parceiros quanto ao tempo entre clique e conversão, à proporção de clientes novos e aos referrers.
Liste os métodos proibidos nos seus termos, incluindo softwares que adicionam ou substituem tags sem uma ação do usuário.
Retenha os pagamentos por tempo suficiente para revisar, e audite separadamente os parceiros de cupons e cashback.
O cookie stuffing ainda importa sem cookies de terceiros?
Sim, porque o alvo é o registro do clique, não o cookie. Os navegadores vêm endurecendo as regras de cookies há anos, e muitos programas agora armazenam um click ID e confirmam conversões por meio de rastreamento por postback. Isso muda a mecânica, não o incentivo. Um software que abre um link de rastreamento em uma aba oculta, o padrão descrito acima na reportagem sobre a Phia, produz um clique que parece real para o tracker.
Perguntas frequentes
Cookie stuffing é ilegal?
O cookie stuffing viola os termos dos programas de afiliados e pode embasar ações cíveis. No caso eBay, promotores dos EUA o enquadraram como fraude eletrônica federal e dois afiliados foram condenados à prisão.
Qual é um exemplo de cookie stuffing?
O exemplo de cookie stuffing mais conhecido é o caso eBay: em 2006 e 2007, as ferramentas web gratuitas de um afiliado gravavam o cookie do eBay da empresa dele nos navegadores dos visitantes sem nenhum clique em um link do eBay. Ele se declarou culpado de fraude eletrônica em 2013.
Como detectar cookie stuffing?
O cookie stuffing aparece como conversões segundos após um clique, cliques sem impressões nem referrers, e um parceiro sobrescrevendo outro repetidamente pouco antes do checkout.
Cookie stuffing é o mesmo que cookie dropping ou click spamming?
Cookie dropping geralmente é outro nome para cookie stuffing. O click spamming inunda um tracker com cliques falsos para reivindicar conversões depois, principalmente em campanhas de apps.
Extensões de navegador podem fazer cookie stuffing?
Extensões de navegador podem fazer cookie stuffing adicionando ou substituindo tags de afiliado no checkout, algo que a política da Chrome Web Store proíbe sem uma ação relacionada do usuário.
O cookie stuffing ainda funciona sem cookies de terceiros?
O cookie stuffing se adapta a um mundo sem cookies de terceiros. Com click IDs e rastreamento server-to-server, o ataque passa a gerar cliques por meio de abas ocultas, redirecionamentos ou extensões.
Fontes
US Attorney's Office, N.D. Cal., Dunning sentencing release, August 4, 2014
MarTech, Hogan sentencing report, May 2014
Courthouse News Service, PayPal unlikely to dodge class action from influencers over lost commissions
Amazon Associates Program Policies, updated April 14, 2026
Chrome Web Store, Affiliate Ads policy, updated March 11, 2025
New Jersey Division of Gaming Enforcement, Vendor Licensing
Pennsylvania Bulletin, 51 Pa.B. 5389 (58 Pa. Code ch. 807a)
