S2S Postback: Setup Affiliate Avanzato con HMAC-SHA256

Doğa gestisce un'agenzia di performance marketing a Şişli, Istanbul, e porta 38 ristoranti a thMenu come affiliate. Passando dal reporting manuale al postback S2S, il suo ROI è salito del 220 %, perché ogni evento commissione confluisce automaticamente nella sua piattaforma di attribuzione.

Perché postback S2S

Il postback server-to-server è un ponte dati diretto, senza browser, tra il tuo server di tracking e il motore di commissioni thMenu. A differenza del pixel, è immune alla perdita di cookie, agli adblocker e all'ITP di Apple. Doğa genera oltre 1.200 eventi mensili.

In thMenu Phase 3 ogni evento — created, refunded, released — innesca un POST verso l'URL registrato. Payload firmato HMAC-SHA256 nell'header X-thMenu-Signature.

Configurazione dashboard

Tre passi in Settings → Postback:

1. Incolla l'endpoint in Postback URL (HTTPS obbligatorio). 2. Attiva il toggle Enabled; il sistema genera un secret di 64 caratteri. 3. Copialo una sola volta — non viene più mostrato.

Doğa lo conserva come variabile d'ambiente Vercel THMENU_POSTBACK_SECRET. L'endpoint verifica la firma, scrive su Postgres e risponde 401 se invalida.

Payload e retry

Il payload JSON contiene event_type, affiliate_id, commission_id, amount_cents, currency, timestamp e idempotency_key per evitare duplicati.

In caso di errore thMenu riprova 5 volte con backoff esponenziale (1m, 5m, 30m, 2h, 12h), poi marca "dead" e avvisa il super-admin.

FAQ

Come verifico la firma? Calcola HMAC-SHA256 del body raw con il tuo secret e confronta in modo timing-safe con l'header.

Se perdo il secret? Disattiva e riattiva il postback — viene generato un nuovo secret all'istante.

Quali tier? Tutti gli affiliate attivi, senza limite di livello.

Ti è stato utile? Condividilo.