Checklist de auditoría de rastreo de 50 puntos para empresas en escala

Capa 1: resolución de dominio y encabezados HTTP (puntos 1 a 10)

• 1. Subdominio propio configurado bajo el mismo dominio raíz del sitio (ejemplo: dados.empresa.com.br).
• 2. Resolución directa mediante registros A y AAAA dedicados para evitar bloqueos de CNAME Cloaking por parte de Safari ITP.
• 3. Certificado SSL TLS 1.3 válido con renovación automática configurada.
• 4. Directiva HttpOnly aplicada a las cookies propias de sesión para la seguridad de red.
• 5. Atributo Secure activado en todas las respuestas de cookie del servidor.
• 6. Directiva SameSite=Lax asignada para garantizar la navegación legítima entre dominios.
• 7. Parámetro Max-Age configurado para una persistencia adecuada (mínimo de 1 año para identificadores propios).
• 8. Compresión de red Brotli/Gzip activada en el servidor para reducir la latencia del tráfico.
• 9. Tiempo de respuesta del servidor de etiquetas (TTFB) inferior a 200 milisegundos.
• 10. Políticas de CORS (Cross-Origin Resource Sharing) estrictamente parametrizadas para el dominio corporativo.

Capa 2: normalización de datos y cifrado SHA-256 (puntos 11 a 20)

• 11. Correos sin espacios en los extremos y convertidos a minúsculas antes del hash.
• 12. Teléfonos con formato de código de país (55 para Brasil) y código de área, sin signos de puntuación ni caracteres especiales.
• 13. Hash SHA-256 generado exclusivamente a partir de las cadenas normalizadas.
• 14. Parámetros fbp e fbc conservados en su formato original de texto, sin hash.
• 15. Dirección IP del cliente capturada directamente del encabezado de red (evitando las IP de los balanceadores de carga).
• 16. User-Agent completo reenviado sin truncamiento.
• 17. Nombres propios divididos correctamente en nombre (fn) y apellido (ln).
• 18. Código postal y ciudad con el formato de los estándares internacionales que exigen Meta y Google.
• 19. Ausencia de envío de datos personales en parámetros abiertos de URL en la barra de direcciones.
• 20. Saneamiento previo de caracteres especiales y acentos en los campos de registro.

Capa 3: deduplicación e integridad de eventos (puntos 21 a 35)

• 21. Presencia del identificador event_id en todos los disparos de conversión crítica.
• 22. Identificador event_id rigurosamente idéntico entre la etiqueta del navegador y el servidor.
• 23. Coincidencia exacta del nombre del evento (event_name) en ambos canales de envío.
• 24. Disparo síncrono o con desfase inferior a 5 segundos entre browser y server.
• 25. Tasa de deduplicación superior al 95% comprobada en el Administrador de Eventos.
• 26. Evento Purchase disparado exclusivamente tras la confirmación efectiva del pago.
• 27. Prevención de disparos múltiples en la misma transacción mediante bloqueos por número de pedido (order_id).
• 28. Moneda (BRL) y valor numérico con punto decimal y sin símbolos monetarios en el payload.
• 29. Rastreo correcto de los eventos intermedios del embudo (ViewContent, AddToCart, InitiateCheckout).
• 30. Parámetros personalizados (content_ids, content_type) compatibles con el catálogo de productos.
• 31. Auditoría de eventos fantasma disparados por herramientas de rastreo heredadas.
• 32. Aislamiento de los entornos de homologación y pruebas para no contaminar los datos de producción.
• 33. Registro de logs de error en tiempo real con alertas automatizadas para el equipo técnico.
• 34. Monitoreo de la métrica de Event Match Quality (EMQ) por encima de 8.0 para transacciones comerciales.
• 35. Ausencia de bloqueos por herramientas de Content Security Policy (CSP).

Capa 4: infraestructura en la nube y resiliencia (puntos 36 a 45)

• 36. Escalado automático (Autoscaling) configurado en el contenedor de servidor.
• 37. Mínimo de instancias activas para eliminar las latencias de arranque en frío (cold start).
• 38. Balanceador de carga con redundancia de zonas de disponibilidad (Multi-AZ).
• 39. Alertas de consumo de memoria y CPU configuradas en Cloud Monitoring.
• 40. Respaldo diario de las configuraciones del contenedor de servidor.
• 41. Control de versiones estricto en GTM con aprobaciones obligatorias para publicar.
• 42. Enrutamiento eficiente de solicitudes analíticas sin bloquear la carga de la página.
• 43. Configuración de rutas de fallback en caso de indisponibilidad transitoria del servidor.
• 44. Monitoreo de costos de nube para evitar sorpresas en la facturación del tráfico.
• 45. Política de retención de logs en cumplimiento con los requisitos de privacidad.

Capa 5: gobernanza e integración con ventas (puntos 46 a 50)

• 46. Captura de identificadores de clic (gclid, fbclid) en campos ocultos del formulario.
• 47. Almacenamiento seguro de los parámetros de origen en el registro del lead en el CRM.
• 48. Pipeline automatizado de envío de conversiones offline cuando se concreta la venta.
• 49. Reporte periódico de conciliación entre la facturación del ERP y las conversiones reportadas.
• 50. Capacitación del equipo comercial para registrar los motivos de pérdida y los valores reales de contrato.

Preguntas frecuentes sobre auditoría de datos