Affiliate-Netzwerk und Traffic

1) Rollen und Kooperationsmodelle

Affiliates: Webmaster, Medien-Baer, Content-Sites, Influencer, Apps, Aggregatoren.
Network Manager (Ihre Plattform): Regeln, Kreative, Tracking, PRM, Auszahlungen.

• CPA - Gebühr für die bestätigte Aktion (Registrierung/Einzahlung/Kauf).
• CPL - Gebühr pro Lead (Formular/Antrag) mit Qualifikation.
• RevShare -% der Marge/Einnahmen (oft ein langer Schwanz).
• Hybrid — CPA + RevShare; Manchmal mit minimalen Garantien.
• Finparameter: Hold/Validierungsfenster, Clawback (Rücklauf bei Fred/Refand), Caps (Tages-/Wochenlimits), Auszahlungsstände.

2) Tracking und Attributionsarchitektur

2. 1 Ereignismodell

Die Schlüsselschritte: ' click → visit → signup → qualify → target_action (e. g., FT, purchase) → retention events`.

json
{
"event_id": "uuid",
"occurred_at_utc": "2025-10-31T12:45:10Z",
"type": "affiliate.target_action.v1",
"affiliate_id": "aff_001",
"campaign_id": "cmp_42",
"click_id": "c_abc123",
"user_pseudo_id": "u_... (hashed)",
"amount": 49.90,
"currency": "EUR",
"status": "qualified",
"signature": "base64/Ed25519",
"version": 1
}

2. 2 Zuschreibung

Fenster: 7-30 Tage pro Klick (oder 24-72 Stunden pro Durchblick, wenn erlaubt).
Modell: Last-Click am häufigsten; erlaubt data-driven für große Netzwerke.
Priorität der Kanäle: bezahlt/Marke/organisch - mit einer Prioritätsmatrix fixieren.
Deduplizierung: durch 'event _ id '/' click _ id' + Sitzungsabdruck, serverseitig (S2S).

2. 3 S2S Postbacks und c2s-Events

S2S Postback: Server-zu-Server zur Erfassung der Zielaktion (Zuverlässigkeit, Datenschutz).
c2s-Stream: Kundenereignisse → Ihr Backend → Normalisierung → Postback zum Partner (signiert).
Idempotenz: Schlüssel der Idempotenz = 'affiliate _ id + click_id + action_type'.

POST https://aff.example/postback
Headers:
X-Signature: ed25519:...
X-Timestamp: 1730388405
Body:
click_id=c_abc123&status=qualified&amount=49.90&currency=EUR&event_id=uuid

3) Betrugsbekämpfung und Qualitätskontrolle

Vektoren: Bots, incentivized/minderwertiger Datenverkehr, Stuffing-Cookie, Referrer-Ersatz, Proxy/Emulatoren, Registrierungen „Farmen“.

• Signaturen und Reputation: Gerätesignale, ASN/Proxy-Listen, Velocity-Check, Verhaltensmetriken (Dwell Time, Scroll, Focus).
• Quality score (q-score): композит `q = w1cohort_retention + w2FT_rate + w3refund_rate^-1 + w4fraud_signals^-1`.
• Limits und Caps: „Beschleunigung“ während der Verifizierung; automatische Verschärfung bei Spitzen.
• Verzögerte Qualifikation (Cool-Off): CPA-Bestätigung nach N Tagen Aktivität/kein Chargeback.
• Honey-Token: „Fallen“ in Landings/SDKs zur Erkennung von Parsern und Klickbots.
• Zustimmung und Privatsphäre: Cookie-Banner/CMPl, Modus ohne 3rd-Party-Cookies → Schwerpunkt auf S2S.

4) Creatives, Landings und UX

Verzeichnis der Kreativen: Versionen/Lokalisierung, Markenregeln, UTM-Parameter, Deeplink-Templates.
Landings: fast TTV (einfache Form, Social Login), A/B-Tests, Geo/Geräteinhalt.
Politiker: verbotene Vertikale/Wörter, Vorbehalte gegen Altersbeschränkungen, Haftung für irreführende Kreative.
Geschwindigkeit: LCP <2. 5s; p95 Landing Timings sind Teil des SLO für Affiliate.

5) PRM-Prozesse (Partner Relationship Management)

5. 1 Onboarding

Fragebogen, CUS/Sanktionen, Bestätigung von Traffic-Quellen, Domains/Apps.
Vereinbarungen: MSA/IO, Content Policy, DPA (falls vorhanden PD), Attributionsregeln.
Techstart: API-Schlüssel, Sandbox, Post-Back-Testfälle.

5. 2 Operationen

QBR/MBR (Review), Ziele und Caps, Kreativbibliothek, Sapport-Tickets.
Kampagnenänderungen: Versionen, kanarische Starts, Freeze-Perioden auf großen Releases.
Sanktionen/Blockaden: Betrugsschwelle → Autopause, Untersuchung, Berichte.

5. 3 Ausgabe/Änderung

Schlüsselrotation/Token-Rückruf, Schließen von Kampagnen, Hochladen von Berichten, abschließende Berechnungen.

6) Metriken und Analysen

• CR (visit→signup, signup→action)
• ARPU/LTV Kohorten Affiliate/Kampagne/Geo eCPA/eCPL/eROAS
• FT rate / Repeat rate / Retention w4/w8
• Refund/Chargeback rate, Clawback%
• q-score nach Quelle, „Heatmaps“ Qualität

utm_source=aff_network&utm_medium=cpa&utm_campaign=cmp_42&utm_content=ban_01&utm_term=kw aff_id=aff_001&click_id=c_abc123&geo=TR&lang=tr

sql
SELECT cohort_week,
aff_id,
COUNT(DISTINCT user_id) AS users,
SUM(first_deposit_amount) AS gmv,
SUM(margin) AS net_rev,
SUM(payout) AS payout,
SUM(margin) - SUM(payout) AS contrib
FROM fact_users
GROUP BY 1,2;

7) Abrechnung, Rückgewinnung und Auszahlung

7. 1 Berechnungsregeln

Auszahlungsbasis: net-basis (nach Gebühren/Steuern/Boni) oder gross - explizit angeben.
Fenster: T + N (Tage/Wochen), Währungen, Umrechnungskurs, Rechnung/Gutschrift.
Clawback: Abschreibung bei Frod/Charjback innerhalb des Fensters.

7. 2 Reconciliation

Bilaterale Berichte (Ihre Tatsache vs Affiliate-Bericht), Toleranzen ε, dedup durch 'event _ id'.
SLA zum Schließen von Varianzen (z. B. ≤ 5 Werktage), Kommentarprotokoll.

sql
SELECT a.event_id
FROM partner_report a
LEFT JOIN internal_events b ON a.event_id = b.event_id
WHERE a.date BETWEEN:from AND:to
AND b.event_id IS NULL;

8) Richtlinien als Code (Gate's)

rego package affiliate.policies

deny["Weak signature"] {
input.webhook.signature.alg not in {"HMAC-SHA256","Ed25519"}
}

deny["No attribution window"] {
not input.campaign.attribution.window_days
}

deny["Fraud spike"] {
input.metrics.fraud_rate > 0.7 input.metrics.signup_to_action_cr < 0.05
}

deny["PII in logs"] {
some f f:= input.logs[_]
contains(f, "ssn") # пример
}

9) Compliance und Datenschutz

Transparenz: Disclosure für Werbematerial, Altersbeschränkungen, lokale Werberegeln.
Datenschutz: Datenminimierung gegenüber Partnern (Pseudonyme, Aggregate), Recht auf Löschung, TTL.
Rechtsgebiete: Geo-Targeting, Verkehrsverbot aus Regionen mit Einschränkungen, Speicherung an zulässigen Standorten.
Anti-Zwang: Verbot von „toxischen“ Incentives (irreführend).
Zugriffsprotokolle: Wer hat welche Daten gesehen, Auditberichte.

10) Vorlagen und Beispiele

10. 1 Affiliate-Pass (YAML)

yaml affiliate_id: "aff_001"
name: "Acme Media"
regions: ["EU","TR","LATAM"]
traffic_sources: ["SEO","Content","Push"]
contracts:
model: "Hybrid"
cpa: 60 revshare: "20% of net"
hold_days: 14 attribution:
window_days: 30 priority_matrix: ["affiliate>paid>brand>organic"]
tech:
postback_url: "https://acme.example/postback"
signature: "Ed25519"
test_click_id: "TEST123"
policies:
caps: { daily: 200, weekly: 1000 }
banned_keywords: ["free money", "no risk"]
quality:
min_q_score: 0.6 cool_off_days: 7 status: "active"
owner: "aff-team-emea"

10. 2 Post-Back-Validator (Pseudocode)

python def verify_postback(req, key):
ts = int(req.h["X-Timestamp"])
if abs(now()-ts) > 300: return 401 if not ed25519_ok(req.body, req.h["X-Signature"], key): return 401 if seen(req.form["event_id"]): return 200 save_event(req.form); mark_seen(req.form["event_id"]); return 200

10. 3 Formel q-score (Beispiel)

python q = 0.35retention_w4 + 0.25ft_rate + 0.2(1-refund_rate) + 0.2(1-fraud_score)

10. 4 Deduplizierungsregeln

dedupe_key = SHA256(affiliate_id    click_id    action_type    user_pseudo_id    date)

11) Anti-Muster

Nur Cookie-Tracking ohne S2S → Attributionsverlust.
„Blinde“ CPAs ohne Qualitätskontrolle/Retention → Budget-Burnout.
Das Fehlen von Hold/Cool-Off → überhöhte Zahlungen und Streitigkeiten.
Das Mischen von gross/net in Berechnungen → ewige Abweichungen.
Der einzige supergroße Affiliate → das Konzentrationsrisiko.
Es gibt keine Auto-Limits mit einem Ausbruch von Betrug → massiven Abschreibungen.
PIIs in Logs/Webhooks → Datenschutzrisiken und Strafen.

12) Checkliste des Architekten

1. Auszahlungsmodell, Berechnungsbasis und Fenster (Hold, Clawback) fixiert?
2. Ist S2S Tracking mit Signatur und Idempotenz implementiert?
3. Attributionsfenster und Kanalpriorität sind definiert, Dedup funktioniert?
4. Eingebaute Anti-Fraud-Signale und Q-Score, Caps und Auto-Pause funktionieren?
5. PRM-Prozesse: Onboarding/KUS, Creatives, Sandbox, Postback-Testfälle?
6. Dashboards: CR, eCPA, LTV, retention, refund/clawback, q-score?
7. Reconciliation: bilaterale Berichte, ε -Debatte, SLA-Streitschlichtung?
8. Richtlinien als Code in CI/CD/PRM (Signaturen, Fenster, Sperrliste)?
9. Datenschutz: mindestens PD, Pseudonyme, TTL, Recht auf Löschung?
10. Incident Plan: Betrug Spike, Post-Back-Ausfallzeiten, Fehlersynchronisation von Berichten?

Schluss

Ein starkes Affiliate-Netzwerk ist ein Engineering-System, nicht nur Marketing. Wenn die Attribution serverbasiert und transparent ist, die Verkehrsqualität gemessen und verwaltet wird, PRM-Prozesse standardisiert sind und die Berechnungen durch die Evidenzbasis und „policy as code“ bestätigt werden, skaliert der Kanal vorhersehbar: eCPA ist stabil, LTV wächst, Streitigkeiten sind selten und Partner investieren bereitwillig in Ihren Verkehr.