Ad Cloaking: Cómo Funciona y Cómo la Evidencia Auditable lo Expone

El cloaking vence a casi todos los sistemas de revisión de anuncios por una razón estúpida y simple: la página que infringe las reglas nunca es la página que se revisa. El cloaker muestra al moderador una página limpia y al usuario una diferente. Sin redacción ingeniosa, sin trucos de diseño. Solo dos páginas que comparten una misma URL de clic. Una vez que entiendes esa división, entiendes por qué una captura de pantalla del anuncio nunca logra que una plataforma actúe, y por qué la única evidencia que funciona proviene del lado del usuario de la bifurcación.

Esta guía repasa primero el mecanismo del cloaking, luego muestra cómo la evidencia auditable de rastreo de clics capturada desde la web abierta expone la brecha entre lo que ven los revisores y en lo que realmente aterrizan los usuarios reales. Se enmarca dentro de nuestra cobertura más amplia de Brand Protection in Native Advertising.

Lo que realmente es el ad cloaking#

El ad cloaking es servir contenido diferente a diferentes visitantes del mismo anuncio o URL. Los revisores y bots reciben una 'página segura' limpia y conforme a las políticas. Los usuarios reales son dirigidos a otro lugar. Dado que la moderación solo ve la página segura, el anuncio pasa la revisión aunque la experiencia real viole la política. Detectarlo significa probar que ambas versiones existen.

La mecánica te dice dónde vive la evidencia. El cloaking es una decisión del lado del servidor que se toma en el instante del clic, basada en señales que el visitante trae consigo. Para una definición breve, consulta la entrada del glosario Ad Cloaking, y para cómo se manifiesta en campañas de rendimiento y arbitraje, la entrada Cloaking (Affiliate Marketing).

Vale la pena poner esto en contexto de escala. Indexamos anuncios nativos públicos en vivo, y a junio de 2026 el índice de OpenAdLibrary contiene 589,036 creativos de 25,933 anunciantes en 42 redes, con 926,259 páginas de aterrizaje capturadas detrás de ellos. El cloaking se esconde en ese último número. El creativo es la parte fácil de ver. El destino es donde vive la mentira, y es la parte que las plataformas tienen dificultades para inspeccionar.

Cómo funciona la división entre revisor y usuario#

Un script de cloaking se sitúa entre la URL de clic del anuncio y el destino real. Cada clic entrante activa una pregunta: ¿usuario real o alguien que está verificando el anuncio? Decide usando una pila de señales.

• Reputación de IP y geolocalización. Las IPs de centros de datos y rangos conocidos de rastreadores se marcan instantáneamente. Las IPs residenciales del país objetivo de la campaña se leen como usuarios reales.
• Agente de usuario y encabezados. Los revisores automatizados y rastreadores llevan cadenas de agente reveladoras, encabezados faltantes o sin referente.
• Huella digital del dispositivo. Tamaño de pantalla, fuentes, zona horaria, peculiaridades de renderizado. Esto separa un navegador headless de un teléfono o laptop real.
• Comportamiento e historial. Cookies, visitas previas, movimiento del ratón, tiempos. Un humano no se parece en nada a una obtención automatizada de una sola vez.

Si la puntuación es de revisor o bot, el script devuelve la página segura: una descripción general neutral del producto, un artículo genérico, una revisión ordenada que se alinea con el texto del anuncio. Si la puntuación es de usuario real en la geografía correcta, el script devuelve la ruta real, generalmente a través de una página puente y luego a la oferta real.

El revisor no está siendo engañado por una página inteligente. Al revisor se le está mostrando una página completamente diferente. Por eso escribir mejores revisiones creativas nunca detecta el cloaking, y por qué la evidencia tiene que venir del lado del usuario de la división.

Esta es también la línea exacta que separa el cloaking de la personalización permitida. Las plataformas permiten servir diferentes páginas por idioma, geografía o velocidad de conexión, siempre que el producto promocionado siga siendo el mismo para todos. Google clasifica el cloaking bajo su Política de Elusión de Sistemas de Google Ads, donde la infracción es ocultar el destino real, no el acto de variar una página. La prueba práctica: ¿coinciden la oferta principal y las afirmaciones entre las audiencias?

Cloaking frente a variación de página legítima#

La columna derecha es lo que una bandera de destino no coincidente está diseñada para detectar. El problema es estructural: una plataforma solo puede inspeccionar el destino que se le sirve, y un cloaker simplemente nunca le sirve el malo.

Dónde aparece el cloaking en nativo#

Las ubicaciones nativas son un hogar natural para el cloaking porque la brecha entre el titular y el destino ya es amplia por diseño. El anuncio es un teaser de brecha de curiosidad. El camino hacia la oferta pasa por una o más páginas intermedias. Esa estructura le da al cloaker mucho espacio para bifurcar el tráfico sin que el anuncio en sí parezca sospechoso.

Puedes ver el patrón de brecha de curiosidad en la naturaleza. Aquí hay un teaser financiero en vivo que capturamos en Taboola:

Finanzas es la vertical más adyacente al cloaking que rastreamos. En todo el índice hay 17,232 creativos de finanzas, más que cualquier otra categoría, por delante de seguros (15,629) y salud (14,895). Solo en Taboola, finanzas ocupa el segundo lugar después de salud (5,558 creativos de finanzas frente a 6,048 de salud), y en Outbrain finanzas es la vertical más grande con 2,640 creativos. Estas son exactamente las categorías donde una 'página segura' llena de descargos de responsabilidad compatibles puede ocultar una oferta real muy diferente.

Los teasers de salud llevan el mismo ADN. El titular promete una lista, el destino decide si ves un artículo ordenado o un embudo de publirreportaje:

Dos patrones adyacentes viajan con el cloaking y vale la pena reconocerlos.

1. Abuso de marca imitadora. Un camino oculto que aterriza en una página falsa de "como se vio en TV" o un minorista suplantado generalmente se construye sobre una página de aterrizaje imitadora. Cubrimos el patrón completo en Copycat Landing Pages: How Scammers Clone Brands in Native Ads.
2. Uso indebido de marca registrada en la capa publicitaria. Cuando la oferta oculta aprovecha el nombre o logotipo de una marca para ganar el clic, el creativo en sí mismo a menudo infringe, lo que desglosamos en Trademark Infringement in Ads.

En ambos casos, el cloaking es el mecanismo de entrega y el daño a la marca es la carga útil. No puedes abordar la carga útil hasta que puedas probar la entrega.

Cómo la evidencia auditable expone la discrepancia#

Toda la técnica se basa en un supuesto: que nadie captura la versión de la página del usuario en una forma que puedas poner lado a lado con la versión del revisor. Rompe ese supuesto y el cloaking se vuelve visible.

La evidencia auditable significa un registro capturado que un tercero puede verificar sin tener que creer tu palabra. Para un caso de cloaking, ese registro necesita cuatro partes.

• El anuncio tal como se sirvió, con su imagen creativa real a máxima calidad y la ubicación en la que se mostró, para que el punto de entrada quede fijado en el tiempo.
• La cadena de clics completa, cada salto de redireccionamiento desde la URL de clic a través de cualquier página puente hasta la página de aterrizaje final, para que la ruta sea reconstruible.
• El destino tal como lo ve un usuario real, capturado desde una red residencial en la geografía objetivo de la campaña y en varios dispositivos, para que estés muestreando el lado del usuario de la división en lugar de la página segura.
• Marcas de tiempo y longevidad, porque una oferta oculta que se ejecuta durante semanas en muchos editores es una operación deliberada, no una prueba única.

Este es exactamente el registro que OpenAdLibrary está diseñado para producir. Capturamos anuncios nativos públicos en vivo, preservamos la imagen creativa real, clasificamos la cadena de suministro de tecnología publicitaria detrás de cada ubicación y seguimos cada clic hasta la página de aterrizaje del anunciante (sin hacer clic en anuncios en vivo), para que puedas ver el destino al que realmente llegan los usuarios. Debido a que esa captura se ejecuta desde salidas residenciales reales y dispositivos variados en lugar de un rastreador de centro de datos marcado, tiende a aterrizar en la ruta en vivo en lugar de la página segura, que es el punto principal.

Sobre la longevidad: cada creativo en nuestro índice tiene una duración de ejecución observada, y en este momento ese lapso alcanza hasta aproximadamente 28 días de observación continua por creativo. Muchos de los corredores persistentes son exactamente los formatos de brecha de curiosidad que aman los cloakers. Un teaser financiero de SmartAsset ("Ask a Pro: How Can I Avoid Paying Taxes on IRA Withdrawals?") ha sido observado ejecutándose 28 días consecutivos en Outbrain, y un grupo de anuncios de prueba de "¿Cuál es tu IQ?" en la Microsoft Audience Network han mantenido la misma marca de 28 días. (Para ser claros, esas son duraciones de ejecución observadas de nuestro propio índice, no una afirmación de que algún anunciante específico esté haciendo cloaking. Por separado, la leyenda de la industria sobre 'ganadores de 90 días' es folklore general de afiliados, no algo que mida nuestro índice). El punto se mantiene: un teaser que se ejecuta durante semanas en muchos editores es la firma de persistencia que te dice que vale la pena escalar una discrepancia en lugar de ignorarla. Puedes espiar estas ubicaciones directamente con nuestra herramienta de espionaje de anuncios nativos.

Un flujo de trabajo práctico de detección#

No necesitas un laboratorio para empezar. El método a continuación funciona tanto si lo ejecutas manualmente como con herramientas.

1. Fija el punto de entrada. Guarda el creativo del anuncio, la ubicación del editor y la URL de clic visible. Esto es lo que un revisor habría aprobado.
2. Muestrea el lado del usuario. Llega al destino desde una conexión residencial en el país objetivo, idealmente en más de un dispositivo. Si solo tienes un escritorio en una VPN de centro de datos, asume que estás viendo la página segura.
3. Registra toda la cadena. Captura cada salto de redireccionamiento y el dominio final. Una discrepancia entre el dominio mostrado y el dominio final es tu primera señal sólida.
4. Compara versiones. Pon la página del lado del revisor y la página del lado del usuario una al lado de la otra. Productos diferentes, afirmaciones diferentes o una marca diferente confirman la división.
5. Establece persistencia. Observa cuánto tiempo ha estado funcionando la oferta y en cuántos editores. La persistencia separa una operación fraudulenta de una mala configuración.
6. Empaquétalo. Reúne el creativo, la cadena de redireccionamiento, las capturas de pantalla, las marcas de tiempo y la geografía para que la evidencia se sostenga por sí sola.

Ese último paquete es lo que convierte una corazonada en algo sobre lo que una plataforma, una red de afiliados o un regulador pueda actuar. Nuestra guía complementaria, How to Report a Scam Ad (And Document the Evidence), cubre a dónde enviarlo y cómo formatearlo para cada destinatario.

Aquí está el tipo de creativo con afirmaciones altas que hace que la verificación del lado del usuario sea innegociable. El titular promete un resultado de producto probado, pero la página que recibe un usuario residencial puede no tener ningún parecido con la que un revisor aprobó:

Por qué esto es importante para afiliados, compradores y marcas#

Las personas que necesitan esta habilidad no son solo investigadores de fraude. Un comprador de medios que estudia el embudo de un competidor necesita saber si la página frente a ellos es la real o la segura. Un líder de cumplimiento dentro de un programa de marketing de afiliados necesita verificar que los socios envíen tráfico a donde dicen. Un equipo de marca necesita detectar rutas ocultas que explotan su nombre antes de que lo hagan sus clientes. En todos los casos, el requisito es idéntico: llegar a la versión de la página del usuario y demostrar que difiere de la aprobada.

El cloaking solo funciona en la brecha oscura entre lo que ven los revisores y lo que reciben los usuarios. La evidencia auditable de rastreo de clics de grado residencial cierra esa brecha. Una vez que ambas versiones de una página existen en un registro verificable, la técnica que derrota a la moderación se derrota a sí misma.

¿Quieres ver el destino real detrás de los anuncios nativos, no la página segura? Comienza gratis y navega por 200 anuncios sin tarjeta.

Fuentes: Política de Elusión de Sistemas de Google Ads, Política de Destino No Coincidente de Google Ads.