Cookies de primera parte: qué son y por qué tu medición depende de ellas

¿Qué son las cookies de primera parte, y por qué mi medición de anuncios depende de ellas?

Casi todo lo que sabe una plataforma de anuncios sobre quién compró después de hacer clic en su anuncio viene de un puñado de cookies pequeñas. Cuando desaparecen, las ventas dejan de conectarse con los anuncios que las produjeron, las plataformas optimizan con menos información, y tus reportes se alejan de tu tienda. Entender qué cookies importan, y por qué los navegadores las tratan distinto, es el primer paso para proteger la medición sin recolectar nada que no debas.

Primera parte y tercera parte, en un ejemplo

Estás en tutienda.com. Una cookie creada para tutienda.com es de primera parte: pertenece al sitio de la barra de direcciones. Una cookie creada para servidordeanuncios.example, cuyo script o imagen se carga en la página, es de tercera parte. La diferencia está en el dominio al que pertenece la cookie, no en quién escribió el código que la creó.

Ese último punto importa: las cookies de medición que usan hoy las plataformas de anuncios son casi todas de primera parte. Cuando un visitante llega desde un anuncio, el script de la plataforma en tu página guarda el identificador de clic en una cookie de tu propio dominio, y la vuelve a leer cuando ocurre la compra.

Lo que restringen los navegadores

Safari limita las cookies creadas por JavaScript. Con el ITP 2.1 de WebKit, las cookies persistentes creadas con document.cookie tienen un límite de siete días, y sólo ésas se ven afectadas: las cookies que pone un servidor en una respuesta HTTP no. Con el ITP 2.2, el límite baja a un día cuando un dominio clasificado con capacidad de rastreo entre sitios mandó al visitante a una URL con cadena de consulta o fragmento, que es exactamente como se ve un clic en un anuncio con un ID de clic.

Chrome llevaba años anunciando que eliminaría las cookies de terceros. El 22 de abril de 2025, Google anunció que mantendría su forma actual de elegir sobre las cookies de terceros y que no lanzaría un aviso nuevo e independiente, mientras el modo Incógnito las sigue bloqueando por defecto.

Los bloqueadores de anuncios y los navegadores de privacidad bloquean de entrada los scripts y dominios de rastreo conocidos. Si el script nunca carga, no se crea ninguna cookie, de primera parte o no.

Por qué se rompe la atribución

• Los ciclos de compra largos pierden su inicio. Un visitante que hace clic en un anuncio el lunes y compra doce días después en Safari pudo haber perdido la cookie del clic entre tanto, así que la venta se ve sin atribuir o se la lleva el último contacto.
• Los visitantes que regresan parecen nuevos. Cuando vence la cookie que lo identifica, la misma persona se vuelve un visitante nuevo, lo que infla los conteos de visitantes nuevos y debilita las audiencias de retargeting.
• Las plataformas optimizan con menos. Las compras que no se pueden emparejar con una interacción de anuncio son compras de las que no puede aprender la puja de la plataforma.

Cómo proteger la medición

• Recolecta por tu propio dominio. Manda los eventos a un endpoint en tu dominio, un subdominio o un proxy que la plataforma soporte, en lugar de a un dominio de terceros que aparece en las listas de los bloqueadores. Ésa es la idea detrás del etiquetado del lado del servidor, que explicamos en tracking server-side.
• Pon los identificadores desde tu servidor. Una cookie que tu servidor pone en una respuesta HTTP no está sujeta al límite de Safari sobre las cookies creadas por JavaScript. Guarda el identificador de clic en el momento en que aterriza el visitante, en el servidor, y consérvalo con la sesión.
• Guarda el ID de clic con la orden. Una vez que existe la orden, el identificador vive en tu base de datos, no sólo en una cookie del navegador que puede vencer.
• Manda las compras del lado del servidor. Una compra que reporta tu backend no depende de que ninguna cookie sobreviva hasta el checkout. Explicamos qué arregla eso y qué no en qué arregla de verdad la API de Conversiones.
• Usa rutas neutras. Los bloqueadores se fijan en nombres conocidos como /collect o /track. Una ruta neutra en tu propio dominio evita los filtros por ruta, aunque no los que bloquean dominios completos.

Primera parte no significa exenta

Recolectar por tu propio dominio cambia cómo tratan los navegadores los datos. No cambia lo que tienes permitido recolectar. Las cookies de medición y de publicidad tienen que estar cubiertas por tu aviso de privacidad y tus opciones de consentimiento, las ponga quien las ponga, y en México ese marco es la ley federal de protección de datos, que cubrimos en la nueva LFPDPPP y el tracking de marketing. Para cómo aplica esto cuando un asistente de IA lee tus datos, revisa ¿es seguro darle tus datos de marketing a ChatGPT o Claude?.

Cómo lo hace Adray

El pixel de Adray manda los eventos a una ruta neutra y prefiere un camino de primera parte donde la plataforma lo permite: un proxy de aplicación en Shopify, un plugin de WordPress en WooCommerce que además captura la atribución en el servidor en cookies HTTP-only, y una ruta en el borde en VTEX IO. Las compras vienen de los webhooks de órdenes de cada plataforma, no del navegador, así que una orden sigue atribuida aunque el pixel haya estado bloqueado.