Cómo configurar la protección contra el fraude en Post Affiliate Pro

La protección contra el fraude solo sirve si está activada y ajustada a tu programa. Post Affiliate Pro tiene un conjunto de reglas que examinan cada clic, venta, registro de afiliado e inicio de sesión, y cada regla tiene su propio interruptor y su propia acción. Tú decides qué ocurre con el tráfico que coincide.

Este tutorial muestra cómo configurar la protección contra el fraude en Post Affiliate Pro. Recorre los ajustes de protección contra el fraude pestaña por pestaña y después cubre los dos controles que quedan fuera de ellos: las claves secretas para las ventas y la aprobación de comisiones. Para una visión más amplia sobre cómo detectar el fraude, lee nuestra guía para la detección y prevención del fraude de afiliados . Si primero necesitas lo básico, empieza por qué es el fraude de afiliados .

En resumen

• Abre Configuration > Tracking Settings > Fraud Protection y recorre las cuatro pestañas.
• Configura la prevención de pedidos duplicados y detecta los clics repetidos, y elige Decline mientras pruebas.
• Mantén listas de direcciones IP, URLs de referrer y países que quieras bloquear o permitir.
• Protege los registros de afiliados y los inicios de sesión con sus propias reglas y límites.
• Valida las ventas con una clave secreta si puedes modificar el código de tu checkout.
• Aprueba las comisiones manualmente, o tras un número determinado de días, antes de que se paguen.

Antes de empezar

Necesitas acceso al panel del comerciante con permiso para cambiar ajustes. Reserva media hora y anota las direcciones IP, los dominios de referrer y los países que ya sabes que son un problema.

Cada regla te pregunta qué hacer con una coincidencia, y las dos respuestas principales son diferentes:

• Decline: el clic o la transacción se registra y se marca como rechazado, así que aún puedes revisarlo.
• Don’t save (que aparece como “Dont save” en el menú): se ignora en silencio y no deja ningún registro.

Si no estás seguro sobre una regla, elige Decline primero. Puedes comprobar qué captura y cambiar a Don’t save más adelante.

Lanza tu programa de afiliados hoy

Configura el seguimiento avanzado en minutos. No se requiere tarjeta de crédito.

Solicitar demo Comenzar prueba gratuita de 30 días

Paso 1: abre la pantalla Fraud Protection

1. Inicia sesión en el panel del comerciante.
2. Ve a Configuration > Tracking Settings > Fraud Protection.
3. Verás cuatro pestañas: Clicks, Sales / Action commissions, Affiliate signups y Logins.
4. Guarda cada pestaña antes de pasar a la siguiente.

El propio texto de ayuda de la pantalla nombra las dos situaciones para las que está diseñada: transacciones repetidas o fraudulentas que provienen de la misma dirección IP, o con el mismo ID de pedido. También indica la causa más común de las repeticiones, un cliente que actualiza la página de confirmación del pedido, y recomienda filtrar o rechazar los pedidos duplicados con el mismo ID de pedido.

La página de la función Fraud Protection ofrece una visión general de las mismas reglas. Este tutorial muestra cómo configurarlas.

Paso 2: configura la pestaña Clicks

Abre la pestaña Clicks. Tiene cuatro grupos de ajustes.

Clics repetidos

1. Marca Recognize multiple repeating clicks that come from the same IP address within.
2. Introduce un número de segundos. Elige una ventana que se corresponda con la rapidez con la que un visitante real podría hacer clic dos veces.
3. Opcional: marca Check clicks only with same User Agent (browser). Entonces una repetición solo se cuenta cuando el navegador también coincide.
4. Opcional: marca Click from same IP, but on different banners, don’t recognize as repeating click.
5. En What to do with these clicks, elige Decline mientras pruebas. Así es como rechazas los clics repetidos y aun así conservas un registro de ellos.

Esta es la regla que hay detrás de lo que nuestro glosario llama fraude de clics : la misma fuente produciendo clics que ningún visitante real haría.

Consejo: la regla está desactivada de forma predeterminada. Cuando la activas, la ventana predeterminada es de 60 segundos y la acción predeterminada es Decline. Un visitante real rara vez hace clic dos veces en el mismo enlace de afiliado desde una dirección IP dentro de ese tiempo. Marca Check clicks only with same User Agent (browser) si muchos de tus visitantes comparten una dirección, por ejemplo en una oficina o en una red móvil, para que no se cuenten como uno solo.

Listas de direcciones IP

Puedes bloquear direcciones IP en tu software de afiliados, o permitir solo las que te inspiren confianza:

• Ban clicks from IP addresses: bloquea las direcciones que indiques.
• Allow only clicks from IP addresses: toda dirección que no esté en la lista cuenta como no permitida.

Usa una lista de solo permitidos solo cuando conozcas el conjunto completo de fuentes. Para cada lista, elige la acción para los clics que coincidan, y elige Decline mientras pruebas para poder ver qué bloquea la lista.

Introduce las direcciones separadas por comas. Puedes usar un comodín (*), un guion (-) para un rango o una barra (/) para una máscara, por ejemplo 192.*.*.*, 192.180.1.1-192.180.2.255, 192.168.0.0/255.255.255.0 o 192.200.0.0/16.

Consejo: toma las direcciones de datos reales. En Transactions > Clicks list, el filtro Custom te permite buscar por IP, y puedes ver qué direcciones enviaron los clics sospechosos.

Listas de URLs de referrer

• Ban clicks from urls (HTTP_REFERER): bloquea los clics que provienen de las URLs que indiques.
• Allow only clicks from urls (HTTP_REFERER): cuenta solo los clics de las URLs que indiques. También tiene las opciones and clicks from banner destination domains y allow empty referrer (HTTP_REFERER).

Introduce las URLs separadas por comas. Los comodines funcionan en la forma *exampleurl.com*. Elige What to do with not allowed clicks para cada lista.

Consejo: la lista Clicks muestra la URL de referrer de cada clic. Úsala para ver qué sitios envían tráfico fraudulento y después añade esos dominios a la lista de bloqueo, por ejemplo *badsite.com*. Usa la lista de solo permitidos solo si controlas todas las fuentes de tráfico legítimas.

Dos opciones más pequeñas

• Do not track clicks when landing page is in iframe: los clics desde un iframe no se rastrean. La pantalla enlaza junto a esta opción a una página sobre cookie stuffing.
• Disable clicks fraud protection for: excluye a los afiliados que elijas de las comprobaciones de clics.

Únete a nuestro boletín

Sé el primero en conocer las nuevas funciones y actualizaciones del producto.

Dirección de correo electrónico

Suscribirse

Paso 3: configura la pestaña Sales / Action commissions

Esta es la pestaña que protege tu dinero, así que dedícale el mayor tiempo. Abre la pestaña Sales / Action commissions.

IDs de pedido duplicados

1. Marca Recognize duplicate orders coming with the same order ID within.
2. Introduce un número de horas, contadas desde la venta inicial. Esta es la comprobación que recomienda la pantalla, porque una página de confirmación actualizada envía la misma venta otra vez. Si ya ves duplicados rechazados, las FAQ sobre comisiones duplicadas rechazadas explican de dónde vienen.
3. Opcional: marca Apply also to empty OrderIDs para incluir las ventas que llegan sin un ID de pedido.
4. Opcional: limita la coincidencia a la misma campaña, el mismo ID de producto o el mismo tipo de comisión.
5. En What to do with these orders, elige Decline mientras pruebas.

Consejo: esta comprobación está activada de forma predeterminada, con la acción Decline, coincidiendo con el mismo ID de producto y una ventana de 99999 horas, lo que significa prácticamente siempre. Mantén la ventana larga a menos que tu tienda reutilice los IDs de pedido, por ejemplo tras un reinicio del contador de pedidos. En ese caso acorta la ventana o limita la coincidencia a la misma campaña.

Pedidos duplicados desde la misma dirección IP

1. Marca Recognize duplicate orders coming from same IP address within.
2. Introduce un número de segundos.
3. Opcional: acota la coincidencia con estas opciones:
   • Check orders only with same User Agent (browser)
   • Check orders only from same campaign
   • Check orders only with same order ID
   • Check orders only with same product ID
   • Check orders only for same commission type
4. En What to do with these orders, elige Decline mientras pruebas.

Acota la coincidencia lo suficiente para que dos clientes reales detrás de una misma conexión de oficina no se traten como uno solo.

Consejo: esta regla está desactivada de forma predeterminada. Cuando la activas, la ventana predeterminada es de 10 segundos y la acción predeterminada es Decline. Una ventana corta captura los envíos dobles y los bots, y las opciones de acotación mantienen a salvo a los clientes reales. Marcar el mismo ID de producto y la misma campaña es una forma segura de empezar.

Cuando la acción es Decline, aparece el campo Add message to this transaction (optional). El mensaje se guarda en la nota del sistema de la transacción, que solo tú puedes ver. Si marcas Added messages will be also visible for affiliates en esta pestaña, los afiliados también lo ven.

Listas de IP y referrer para ventas

• Ban sales from IP addresses
• Allow only sales from IP addresses
• Ban sales from urls (HTTP_REFERER)
• Allow only sales from urls (HTTP_REFERER)

Funcionan igual que sus equivalentes para clics, y cada una tiene su propia acción.

Paso 4: protege los registros de afiliados

1. Abre la pestaña Affiliate signups.
2. Marca Recognize multiple signups that come from the same IP address within e introduce un número de segundos.
3. En What to do with these signups, elige la acción.
4. Opcional: en Don’t allow signups with following referral ids, introduce palabras clave separadas por comas.
5. Opcional: define los límites Allowed number of affiliate registrations per minute y Allowed number of contact us emails per minute.
6. Opcional: marca Don’t allow signups from following IP addresses e introduce las direcciones, con el mismo formato que las listas de IP anteriores. Elige la acción en What to do with these signups.

Consejo: la regla de registros repetidos está desactivada de forma predeterminada. Cuando la activas, la ventana predeterminada es de 60 segundos y la acción predeterminada es Don’t save, así que usa Decline mientras pruebas. Ambos límites están definidos en 10 por minuto de forma predeterminada. En Don’t allow signups with following referral ids, introduce palabras que no quieras que ningún afiliado use como ID de referido.

Las reglas de registro funcionan mejor junto con la aprobación. Los nuevos afiliados se pueden aprobar manualmente, y ese es el ajuste predeterminado, así que una cuenta sospechosa nunca obtiene un enlace de seguimiento hasta que la hayas revisado.

Paso 5: protege los inicios de sesión

Esta pestaña protege las páginas de inicio de sesión del panel del comerciante y del panel de afiliados frente a la adivinación de contraseñas y frente a inicios de sesión desde lugares que no esperas. Tiene dos partes: límites para inicios de sesión fallidos y listas de IP.

Limitar los inicios de sesión fallidos

1. Abre la pestaña Logins.
2. En Allowed number of unsuccessful login attempts in one hour per username, introduce cuántos intentos fallidos puede tener un nombre de usuario en una hora.
3. En Allowed number of unsuccessful login attempts in one hour per IP, introduce cuántos intentos fallidos puede tener una dirección IP en una hora.
4. Guarda la pestaña.

Ambos campos son obligatorios y aceptan números enteros a partir de 1. El valor predeterminado es 10 para cada uno. Cuando se alcanza un límite, se rechazan los intentos de inicio de sesión posteriores (el servidor responde 429 Too Many Requests) y el intento se escribe en el registro como un intento de fuerza bruta.

Consejo: hay un par de límites para todo el sistema. Los mismos números se aplican a los inicios de sesión de comerciantes y de afiliados, pero se cuentan por separado para cada uno, así que un inicio de sesión de afiliado fallido no consume la cuota del comerciante. No puedes definir números distintos para los dos grupos. Una persona real rara vez falla más de unas pocas veces en una hora, así que el valor predeterminado de 10 es un punto de partida razonable, y puedes bajarlo a 5 si ves adivinaciones repetidas en tus registros. No lo pongas en 1 o 2: un solo error tipográfico dejaría fuera a un usuario real.

Restringir los inicios de sesión por dirección IP

Los inicios de sesión de comerciantes y afiliados tienen listas separadas, marcadas (Merchant) y (Affiliate) en la pantalla:

1. Para bloquear direcciones, marca Block login from IP addresses e introduce las direcciones IP.
2. Para permitir solo ciertas direcciones, marca Allow only login from IP addresses e introduce las direcciones IP.
3. Hazlo para la lista (Merchant), la lista (Affiliate), o ambas.
4. Guarda la pestaña.

Consejo: qué grupo restringir. Usa una lista de solo permitidos para los comerciantes, porque tu equipo es pequeño y normalmente inicia sesión desde direcciones conocidas. No uses una lista de solo permitidos para los afiliados: inician sesión desde cualquier lugar, así que todos los que no estén en la lista quedarían fuera. Para los afiliados, usa la lista de bloqueo, y solo para direcciones que ya hayan causado problemas.

Los intentos fallidos y los inicios de sesión se registran mediante el seguimiento de inicios de sesión de afiliados , donde puedes revisarlos.

Antes de guardar una lista de solo permitidos para los inicios de sesión de comerciantes, comprueba que tu propia dirección esté en ella, o te dejarás fuera a ti mismo.

Paso 6: añade listas negras de países

Las listas negras de países aparecen en las pestañas cuando GeoIP está activo. La página de GeoIP explica cómo activar la función.

1. En cada pestaña, encuentra Blacklisted countries.
2. Introduce códigos de país de dos letras.
3. Elige la acción:
   • What to do with clicks from blacklisted countries
   • el mismo ajuste para las ventas
   • What to do with affiliates from blacklisted countries
4. En la pestaña Logins, define las opciones de país para comerciantes y para afiliados.

Una lista negra de países en tu software de afiliados es una herramienta contundente, porque también bloquea a clientes reales de esos países. Úsala donde no tengas clientes ni afiliados. Una opción más suave es definir una comisión del 0 % para un país en las reglas de comisión de GeoIP, de modo que el tráfico no se bloquee pero no gane nada.

Consejo: empieza por los países que aparecen más en tus clics rechazados y donde no tengas clientes, añádelos de uno en uno, y elige Decline para poder revisar qué se bloqueó.

Paso 7: valida las ventas con una clave secreta

El plugin Sale Tracking Fraud Protection comprueba que cada venta proviene realmente de tu propio checkout.

Activa el plugin

1. Ve a Configuration > Plugins.
2. Activa Sale Tracking Fraud Protection.

3. Abre su configuración y define:
   • Secret key: la clave general usada para calcular un checksum MD5.
   • Param name: el campo de datos extra, de data1 a data5, en el que tu código de seguimiento envía el checksum.

Añade el checksum a tu checkout

Tu checkout tiene que calcular el mismo checksum: el MD5 del total del pedido, el ID del pedido y la clave secreta, unidos con comas, así md5(total,orderId,secretKey).

• Si el total empieza con un punto decimal, primero se añade un 0 inicial.
• Usa exactamente el mismo total y el mismo ID de pedido que envía tu código de seguimiento.
• Las ventas que creas como ventas offline en el panel del comerciante reciben el checksum añadido automáticamente.

Usa una clave distinta para una campaña

1. Ve a Campaigns > Campaigns Manager y abre la campaña.
2. En los detalles de la campaña, desplázate hacia abajo hasta Additional options.
3. Rellena Sale Tracking Fraud Protection - Secret key.
4. Si dejas el campo vacío, se usa la clave general.

Nota: mientras el plugin está activo, una venta solo se guarda si su checksum coincide. Añade el checksum a tu checkout y pruébalo con un pedido antes de activar el plugin, o las ventas auténticas no se guardarán.

Pruébalo

1. Activa el plugin, preferiblemente en una cuenta de prueba o en un momento tranquilo, porque las ventas auténticas sin checksum no se guardan mientras está activo.
2. Envía un pedido de prueba con un checksum correcto. Debería guardarse como de costumbre.
3. Envía otro pedido de prueba con un checksum incorrecto. No debería guardarse.

Paso 8: aprueba las comisiones antes de que se paguen

Incluso las buenas reglas se dejan cosas, así que mantén un paso humano antes de que se mueva el dinero.

Aprobación manual

1. Abre los ajustes de comisión de la campaña.
2. Define el campo Approval de un tipo de comisión como manual.

La página de configuración avanzada de comisiones cubre las opciones.

Consejo: elige la aprobación manual para los afiliados nuevos y para las comisiones grandes. Cuando confíes en un afiliado, puedes volver a poner su tipo de comisión en aprobación automática.

Retraso con el plugin Auto Approval Commissions

Si prefieres un retraso en lugar de una revisión manual, usa el plugin Auto Approval Commissions.

1. Define Auto approve commissions after x days por tipo de comisión.
2. Opcional: en Set status, elige rechazar en lugar de aprobar una vez transcurridos los días.

Si rechazas una comisión antes de la fecha de aprobación automática, permanece rechazada. El retraso te da tiempo para comprobar reembolsos y actividad sospechosa antes de que se pague una comisión.

Consejo: define el número de días en al menos tu periodo de reembolso. Si los clientes pueden solicitar reembolsos dentro de los 30 días, usa 30 días, para que un pedido reembolsado no se apruebe primero.

Paso 9: comprueba qué capturaron las reglas

Una regla que nunca revisas o bien se deja el fraude o bien bloquea a clientes reales. Después de la primera semana:

1. Abre Transactions > Clicks list, define Search in como Declined Clicks (el filtro muestra Type: Declined). Estos son los clics que detuvieron tus reglas de clics.
2. Abre Transactions > Commissions y mira las rechazadas, incluidos los mensajes que añadiste.
3. Si aparecen clientes reales en la lista, amplía la ventana o añade un límite como la misma campaña.

Una rutina sencilla que mantener

Lo que estas reglas no pueden hacer

Las reglas de protección contra el fraude funcionan con direcciones IP, user agents, URLs de referrer, países e IDs de pedido. No analizan el dispositivo ni el comportamiento del visitante. Un visitante en un proxy residencial tiene una dirección IP normal y un país normal, así que las comprobaciones de IP y país no lo marcarán, y esa es la razón por la que existe el Paso 8. Cómo funcionan las mismas capas en programas con pagos altos se cubre en prevenir el fraude de afiliados en nichos de comisiones altas . Las reglas tampoco deciden quién es un defraudador: deciden qué ocurre con el tráfico que coincide. Para conocer los patrones que hay que buscar a mano, usa la guía de detección enlazada al principio o nuestras FAQ sobre cómo prevenir el fraude de afiliados , y para conocer las mejoras que Post Affiliate Pro ha hecho a estas herramientas, las FAQ sobre protección contra el fraude .

Próximos pasos

Haz tres cosas hoy. Activa la comprobación de IDs de pedido duplicados en la pestaña Sales / Action commissions, activa la regla de clics repetidos con Decline como acción, y define la aprobación manual en el tipo de comisión con el que ganan tus afiliados más nuevos. Después pon una revisión mensual en tu calendario. Si todavía no usas Post Affiliate Pro, puedes empezar una prueba gratuita y configurar esto en tu propio programa, o reservar una demo y te guiaremos paso a paso.

¿Necesitas ayuda para encontrar un ajuste?

Post Affiliate Pro tiene un AI Assistant integrado dentro de la aplicación, disponible en todos los planes, incluidas las pruebas gratuitas. Puede guiarte por el panel del comerciante, así que si no encuentras una pantalla o un ajuste de estos pasos, pregúntale dónde está. Puedes leer más en la página de funciones de IA .