S2S Postback: Configuración Avanzada de Afiliados con HMAC

Doğa dirige una agencia de performance marketing en Şişli, Estambul, y deriva 38 restaurantes hacia thMenu como afiliada. Al migrar de reportes manuales a postback S2S, su ROI subió un 220 %, porque cada evento de comisión fluye automáticamente a su plataforma de atribución.

Por qué postback S2S

El postback server-to-server es un puente directo, sin navegador, entre tu servidor de tracking y el motor de comisiones thMenu. A diferencia del pixel, es inmune a pérdida de cookies, bloqueadores e ITP de Apple. Doğa genera más de 1.200 eventos mensuales.

En thMenu Phase 3, cada evento — created, refunded, released — dispara un POST hacia la URL registrada. El payload va firmado con HMAC-SHA256 en la cabecera X-thMenu-Signature.

Configuración paso a paso

Tres pasos en Settings → Postback:

1. Pegar tu endpoint en Postback URL (HTTPS obligatorio). 2. Activar el toggle Enabled; el sistema genera un secret de 64 caracteres. 3. Copiar el secret una sola vez — no se vuelve a mostrar.

Doğa lo guarda como variable de entorno Vercel THMENU_POSTBACK_SECRET. Su endpoint valida la firma, escribe a Postgres y responde 401 si es inválida.

Payload y reintentos

El payload JSON incluye event_type, affiliate_id, commission_id, amount_cents, currency, timestamp y idempotency_key para evitar duplicados.

Si falla, thMenu reintenta 5 veces con backoff exponencial (1m, 5m, 30m, 2h, 12h) antes de marcarlo "dead" y alertar al super-admin.

FAQ

¿Cómo verifico la firma? Calcula HMAC-SHA256 del raw body con tu secret y compara en tiempo constante con la cabecera.

¿Y si pierdo el secret? Desactiva y reactiva el postback — se genera uno nuevo al instante.

¿Qué tiers? Disponible para todos los afiliados activos sin restricción de nivel.

¿Te resultó útil? Compártelo.