Como funciona o tracking S2S e pós-beck

1) O que é o S2S e o que é necessário

S2S (server-to-server) é uma troca de eventos entre os servidores de origem de tráfego (seu reditor/rastreador/rede) e os servidores da operadora (casino), sem depender de cookies de navegador ou bloqueios.

Postbeck - A consulta HTTP que sai com o evento (reg/KYC/FTD/2nd _ dep/...) do backend do remetente para o URL do destinatário.

Vantagens:

Os dados não são perdidos devido a adblock/ITP/regimes privados.
Melhora a precisão da atribuição e a qualidade do billing.
Você pode transferir dinheiro/moeda e bandeiras de serviço de forma segura.

2) Cadeia e papéis básicos

1. Clique: O usuário clica no anúncio → o seu reditor cria 'click _ id' e configura parâmetros (utm, geo, device, sub _ id).

2. Redirect: O utilizador vai para a operadora de landing, 'click _ id' está inserido no URL ou encriptado.

3. O check-in/CUS/depósito é feito pelo operador.

4. Postbecky: o servidor da operadora envia os eventos 'registration', 'kyc _ approved', 'deposit _ sucess' para o seu rastreador, etc., vinculando-os ao 'click _ id' original.

5. BI/Relatório: Você está agregando eventos de corte UTM/crediário/geo/device, você considera CPA/ROAS/LTV.

Esquema de texto:


Ad → Click → [Seu redator: gera click _ id] → LP/App → (SE/KYC/FTD do lado da operadora)
↑             │
└──────── Postback (S2S) ─┘

3) Identificadores e conexões de eventos

click _ id ( .) - o ID único do primeiro toque; a chave de atribuição.

event _ id (desejado) - o ID exclusivo de cada evento (para idempotação).

user _ id/post _ id (opz.) - ID do jogador do lado do operador (transmitido apenas para S2S).

sessão _ id (opz.) - para analisar UX/velocidade.

af _ sub/campaign/creative _ id - cortes para analistas.

A regra: click _ id é criada em você; o operador do seu lado armazena o mapping 'click _ id ↔ user/account'.

4) Campos de evento: composição mínima

4. 1. Registration

json
{
"event": "registration",  "event_id": "reg_8f9...",  "click_id": "clk_123...",  "account_id": "u_456...",  "geo": "BR",  "device": "android",  "ts_event": "2025-10-21T14:54:12Z",  "ip": "203. 0. 113. 7",  "ua": "Mozilla/5. 0",  "signature": "hmac_sha256(payload)"
}

4. 2. KYC Approved

json
{
"event": "kyc_approved",  "event_id": "kyc_b21...",  "click_id": "clk_123...",  "account_id": "u_456...",  "ts_event": "2025-10-21T15:10:05Z",  "kyc_level": "basic    full",  "signature": "..."
}

4. 3. Deposit (FTD/Repeat)

json
{
"event": "deposit_success",  "event_id": "dep_9aa...",  "click_id": "clk_123...",  "account_id": "u_456...",  "amount": 100. 00,  "currency": "USD",  "is_ftd": true,  "payment_method": "card    pix    crypto    wallet",  "ts_event": "2025-10-21T15:12:31Z",  "signature": "..."
}

Os campos obrigatórios são 'event', 'event _ id', 'click _ id', 'ts _ event' (UTC), 'signatura'.

O dinheiro está sempre junto com 'currency' (ISO-4217) e como um número, não uma linha.

5) Segurança: assinaturas e acesso

Подпись (HMAC-SHA256): `signature = HMAC(secret, canonical_payload)`; canonizar a ordem dos campos → a verificação estável.

Tokens de curta duração (JWT/opaque) em nível de autorização: TTL de 5 a 15 minutos.

Idempotidade: o POST repetido com o mesmo 'event _ id' deve dar '200 OK' sem duplicação.

IP allow-list e mTLS (se possível) em venda.

Rate limiting: proteja o endpoint contra "bursts' e bots.

Proibição de rediretos HTTP do pós-back endpoint; apenas respostas diretas.

6) Confiabilidade: retais, filas e ordem

Fila (Kafka/RabbitMQ/SQS) entre receber um evento e processar relatórios - para não perder dados em picos.

Retrai com pausa exponencial e backoff-jitter; limite de tentativa e DLQ (dead-letter queue).

A ordem não é obrigatória, mas é preferível ter 'ts _ event' para ordenar em BI.

Logi pedido/resposta (sem dados sensíveis), correlação por 'event _ id'.

7) Zonas de tempo, divisas e consistência

Todas as marcas de tempo em UTC ('2025-10-21T15: 12: 31Z').

Nos relatórios, especifique o timezone do projeto, mas guarde os eventos em UTC.

Guarde os valores na moeda da transação e duplique na moeda do relatório através de uma taxa de câmbio segura (data-time-based FX).

8) Deduplicação e regras de negócios

Idempotação de event _ id: repetição de → «já processado».

Deduplicar por (click _ id + tipo de evento + janela ts) como mecanismo de reposição.

Regras de validade FTD: depósito mínimo, sem reposição «zero» de bónus; conste no contrato.

Chargeback/Refund - eventos individuais de «renda negativa» para um NGR honesto.

9) Privacidade e complacência

Não transfira PII para URL e frente; O S2S é um espaço para campos sensíveis.

Mantenha o consent/consentimento (analytics/ads) e versionize-os.

Minimize os campos: apenas o que você deseja para atribuição e billing.

Reveja regularmente as políticas de retenção dos logs.

10) Web2App e mobyle-realidades

Para aplicativos, vincule 'click _ id' ↔ 'install _ id' ao lado de MMP/SDK.

Quando não há um ID determinante (iOS privacidade) - use o jogo provável + regras de servidor, e o S2S permanece «verdade» para o billing.

11) Monitoramento e SLA

Métricas:

Pós-bec de sucesso/erro (%/min), p95 latency, proporção de retais, proporção de duplicados.
Variação de eventos entre as partes (operador vs rastreador) por dia.
Atrasos de entrega (ingestão lag) e falhas de relógio.

SLA (exemplo):

Disponibilidade pós-beck ≥ 99. 5 %/m.
Atraso médio até a gravação em DWH ≤ 60 segundos; p95 resposta API ≤ 500 ms.
Rusinharão de dados> 3% → o cruzamento obrigatório de logs crus em 5 dias úteis.

12) Folhas de cheque

12. 1. Cheque antes do lançamento

Reditor com geração click _ id e logs.
Endpoint postbeek: TLS, HMAC, JWT, IP allow-list, idempotency.
Os esquemas de payload e a ordem canônica dos campos estão documentados.
Filas + DLQ, retais, alertas por erros/atrasos.
Tempo UTC, moeda ISO, regras FTD/Refund/Chargeback.
Testes no sandbox com a fixação de logs de referência.

12. 2. Cheque de operação (todas as semanas)

Compactuar «operador ↔ rastreador» em relação ao volume de eventos e somas.
Análise dos eventos duplicados e «perdidos»; Auditoria de Retrações.
Verificação de chaves/tokens, prazo de vida e rotatividade.
Exibir incidentes e ajustar regras.

13) Erros frequentes e como evitá-los

1. Sem idempotency, não há duplicações FTD em retrações. Digite 'event _ id' e armazenamento 'seen'.

2. Fusos horários diferentes → «nadar» D0/D1. → Sempre UTC no diário de eventos.

3. Somas de linha/vírgula → erros de parsing. → Transmita números com ponto e moeda ISO.

4. A assinatura do JSON «cru» está quebrada pela ordem das chaves.

5. Não há DLQ/retrações perda de eventos em chips.

6. Autenticação fraca → postebooks falsos. → HMAC + JWT + mTLS/folha IP.

7. A falta de regras da FTD as disputas sobre o Billing.

14) Exemplos de pedidos e respostas

14. 1. POST/postback (operador → rastreador)


POST /postback HTTP/1. 1
Content-Type: application/json
Authorization: Bearer eyJhbGciOi...
X-Signature: sha256=ab12...

{ "event":"deposit_success","event_id":"dep_9aa",  "click_id":"clk_123","account_id":"u_456",  "amount":100. 00,"currency":"USD","is_ftd":true,  "ts_event":"2025-10-21T15:12:31Z" }

Resposta:


200 OK
{ "status":"ok", "idempotent": false }

Enviar novamente com o mesmo 'event _ id':


200 OK
{ "status":"ok", "idempotent": true }

14. 2. Erro de assinatura


403 Forbidden
{ "error":"signature_invalid", "hint":"check canonical order" }

15) Incidentes e análises

Sintoma da operadora FTD = 120, você tem 117.

Plano:

1. Cruzamento da faixa de tempo (UTC) e das moedas.

2. Descarregando logs crus por 'event _ id '/' click _ id'.

3. Procurar por causa da assinatura/TTL token/idempotação.

4. Suporte de eventos de DLQ presos, acções de verificação.

16) Plano 30-60-90 de implementação

0-30 dias - MVP do circuito

Executar reditor com 'click _ id' e logs.

Implementar o pós-back HMAC, JWT, idempotency, filas, DLQ, alerts.

Levantar sandbox, guiar o cenário de passagem de rege/FTD com quantias de teste.

Documentar esquemas e canonizar campos.

31-60 dias - Qualidade e escala

Incluir eventos em dinheiro e contabilidade em dois valores (txn & relatório).

Ajustar monitoramento p95 latency, discrepâncias e retrações.

Assinar SLA/procedimentos de incidentes; adicionar um evento chargeback/refund.

Em BI, compor vitrines: cômodos FTD, Payback, D7/D30 ARPU.

61-90 dias - Sustentabilidade e auditoria

Introduzir rotação de segredos/certificados, testes de resistência a falhas.

Fazer testes de carga e «exercícios de emergência» (entrada da fila/banco de dados).

Formalizar playbooks de compensação e auditoria trimestral de esquemas/regras FTD.

17) Resultado

O rastreamento S2S é a «espinha dorsal» da atribuição justa e do bilhete: click _ id como chave primária, pós-back protegido, idumpotência, retais e higiene rigorosa do tempo/moedas. Adicione a isso regras transparentes de validade FTD, eventos chargeback e monitorização madura - e você terá um sistema confiável onde cada conversão seja confirmada por um servidor e convergir em relatórios de até um centavo.