O que rastrea realmente o TikTok Pixel

O pixel é un anaco de JavaScript que se carga desde analytics.tiktok.com, establece unha cookie de primeira parte vinculada ao teu dominio, e envía un payload de evento de volta a TikTok cada vez que ocorre unha acción rastrexada no teu sitio. O payload é máis rico do que a maioría dos editores supoñen. Inclúe o URL da páxina, o referente, o axente de usuario, o enderezo IP, o valor da cookie do lado de TikTok se o visitante interactuou recentemente con anuncios servidos por TikTok, e calquera parámetro personalizado que decidas engadir — valor do pedido, categoría de contido, consulta de busca, ID de produto. Cando a correspondencia avanzada está activada, o payload tamén inclúe versións con hash do enderezo de correo electrónico e número de teléfono que pasas, que TikTok usa para vincular o evento cunha conta de TikTok no back-end.

Eventos estándar fronte a eventos personalizados

TikTok define unha lista de eventos estándar — ViewContent, AddToCart, InitiateCheckout, CompletePayment, SubmitForm, Subscribe, Contact, e algúns máis — que se corresponden cos obxectivos de optimización en TikTok Ads Manager. Os eventos personalizados permítenche rastrexar calquera outra cousa e enviala de volta como sinal de audiencia personalizada. Desde a perspectiva do consentimento, a distinción non importa: cada chamada de evento é un evento de procesamento de datos persoais por mor das cookies e identificadores que transporta, e cada evento necesita a mesma base legal que a carga de páxina que o desencadeou.

Cookies e identificadores entre sitios

O pixel establece unha cookie de primeira parte chamada _ttp no teu dominio e le dous identificadores do lado de TikTok a partir de chamadas entre dominios. A cookie _ttp persiste durante uns trece meses de forma predeterminada e vincula os eventos no teu sitio nun único perfil de visitante. Aínda que elimines a correspondencia avanzada, a cookie _ttp soa é suficiente para constituír unha cookie de rastrexo en virtude das directrices ePrivacy da UE e unha venda ou partilla en virtude do CPRA, que é o motivo polo que depositar o pixel antes do consentimento — incluso de forma silenciosa, incluso sen ningún UI visible — é o fallo de cumprimento máis común que os reguladores marcan durante as auditorías de cookies.

As obrigas de consentimento que herda o pixel

O TikTok Pixel atópase na intersección de tres réximes regulatorios distintos, e un editor que executa anuncios ou rastrexa conversións en máis dun mercado necesita un CMP configurado para todos eles simultaneamente. A boa nova é que o estándar máis estrito — o GDPR da UE máis ePrivacy — cobre a maior parte do que os demais esixen, de xeito que un banner de consentimento da UE ben construído é unha base sólida en calquera outro lugar.

O GDPR e a posición da UE e do Reino Unido

En virtude da Directiva ePrivacy da UE e do GDPR, o pixel non pode cargarse ata que o usuario dea un consentimento libremente outorgado, específico, informado e inequívoco. As caixas marcadas previamente non funcionan, os muros de cookies que retén o contido como reféns non funcionan, e os deseños de padróns escuros que o Comité Europeo de Protección de Datos salientou reiteradamente — botóns de aceptación realzados, botóns de rexeitamento agochados, contraste de cores desigual — non superarán a revisión dun regulador. O camiño de rexeitar-todo debe ser un só clic e visualmente igual ao camiño de aceptar-todo. As directrices da Oficina do Comisionado de Información do Reino Unido seguen de preto a posición da UE e engaden vontade de execución que produciu multas de seis cifras para editores que executan pixels de anuncios sen un consentimento conforme.

CCPA, CPRA e o patchwork de leis estatais dos Estados Unidos

O CPRA de California trata o sinal de publicidade comportamental entre contextos que emite o TikTok Pixel como unha venda ou partilla de información persoal. Os editores deben respectar a cabeceira Global Privacy Control, expor unha ligazón clara de Non vender nin compartir a miña información persoal, e enrutar o opt-out resultante cara a un sinal compatible con TikTok. As outras leis estatais de 2024 e 2025 — Virginia, Colorado, Connecticut, Utah, Texas, Oregon, Montana, Tennessee, Iowa, Indiana, Delaware, New Jersey, New Hampshire e Minnesota — cada unha engade os seus propios requisitos de opt-out e notificación, e o IAB Multi-State Privacy Agreement é o único camiño práctico que a maioría dos editores ten para satisfacer todos eles cunha soa cadea de consentimento.

O modo de uso restrinxido de datos de TikTok

TikTok inclúe unha funcionalidade chamada Limited Data Use (LDU) que, cando se establece na chamada ao pixel, indica a TikTok que omita parte do procesamento de personalización para un usuario determinado. LDU é o que activas para os usuarios que exerceron o seu opt-out en virtude do CCPA ou o CPRA. Non é un substituto para bloquear o pixel en virtude do GDPR — os usuarios da UE que rexeitaron as cookies de anuncios precisan que o pixel non se active en absoluto, non que se active nun modo degradado — pero é un control crítico para os editores estadounidenses que queren manter o funcionamento da medición de TikTok respectando os opt-outs.

Conectar a lóxica de carga do pixel ao teu CMP

O padrón de implementación que supera unha auditoría é sinxelo de describir e sorprendentemente fácil de facer mal: o pixel non debe cargarse ata que o usuario consinta, o estado de consentimento debe propagarse ao pixel antes de que se active calquera evento, e o estado de consentimento debe volver a comprobarse en cada navegación de páxina por se o usuario cambiou as súas preferencias noutra lapela. A maioría dos editores enrutan isto a través de Google Tag Manager porque GTM lles proporciona as condicións de activación e a integración de consentimento que necesitan sen JavaScript a medida.

O padrón de denegación predeterminada

Configura o teu CMP para denegar de forma predeterminada a categoría de consentimento de marketing ou publicidade, expón o TikTok Pixel como provedor dentro desa categoría cunha descrición clara en linguaxe sinxela, e configura GTM para activar a etiqueta do pixel só cando se outorga o tipo de consentimento correspondente. Google Consent Mode v2 cos sinais ad_storage, ad_user_data e ad_personalization dáche unha máquina de estados limpa: cando os tres son denegados, o pixel nunca se activa; cando son outorgados, o pixel actívase con correspondencia avanzada completa; cando son outorgados parcialmente, podes recaer no modo LDU en vez de descartar os eventos por completo.

Receitas de disparadores de Google Tag Manager

A configuración GTM máis limpa usa un disparador personalizado que escoita o evento dataLayer consent_update que emite o teu CMP e unha comprobación de consentimento integrada na propia etiqueta de TikTok. A configuración de consentimento avanzado da etiqueta debe requirir ad_storage como consentimento adicional, e o disparador debe activarse no disparador Initialization - All Pages só despois de que se resolve o consentimento. Evita cargar o pixel nun disparador Page View que se execute antes do CMP — este é o erro de temporización que produce resultados de 'pixel actívase antes do consentimento' en nove de cada dez auditorías.

TCF v2.3 e a entrada de provedor de TikTok

Se serves tráfico da UE, rexistra TikTok dentro da lista de provedores IAB Europe TCF v2.3 configurada no teu CMP. A entrada da Lista Global de Provedores de TikTok expón as bases legais que reivindica para cada finalidade, e o teu CMP debe reflectir esas finalidades unha a unha na interface de usuario de consentimento. Non agrupes TikTok nun interruptor xenérico de socios publicitarios — TCF v2.3 require controis por provedor, e un regulador que te atope aplicando un único interruptor a decenas de provedores nomeados tratará o consentimento como nulo.

Pasar á Events API do lado do servidor

O pixel non é o único camiño que ofrece TikTok. A Events API é un endpoint de servidor a servidor que permite ao teu backend enviar os mesmos eventos directamente a TikTok sen o script do lado do navegador. Os dous camiños están deseñados para coexistir: a maioría dos editores execútaos en paralelo, deduplicando nun ID de evento compartido, e usan a API como respaldo cando o pixel do lado do navegador é bloqueado por un bloqueador de anuncios, unha extensión de privacidade ou a propia capa de consentimento.

Por que pasar ao lado do servidor

Tres forzas están empuxando aos editores a afastarse dos pixels puramente do lado do navegador: a eliminación progresiva e continua das cookies de terceiros en Chrome, a crecente proporción de usuarios en Safari e Firefox onde as cookies de terceiros xa están mortas, e a agresividade crecente dos bloqueadores de anuncios de consumo que eliminan as chamadas de pixel antes de que abandonen o navegador. O lado do servidor dáche un camiño onde o editor controla o plano de datos, a latencia é menor, os eventos non se perden debido a fallos de rede, e a taxa de correspondencia sobe porque podes pasar identificadores de primeira parte que o navegador non pode ver.

Identificadores con hash, correspondencia avanzada e consentimento

A Events API admite os mesmos parámetros de correspondencia avanzada que o pixel do navegador — correo electrónico con hash, teléfono con hash, enderezo IP, axente de usuario — e as regras de consentimento son idénticas: o servidor a servidor non evita o requisito de base legal. Se un usuario rexeitou as cookies de publicidade, o teu backend non debe enviar os seus identificadores a TikTok independentemente do transporte que uses. Incorpora o teu estado de consentimento nun indicador de ámbito de solicitude que o publicador de eventos le en cada chamada á API, e resiste a tentación de enxeñería de activar o evento da API de forma optimista mentres agardas o consentimento — é o control individual máis limpo para romper toda a postura de cumprimento.

Erros de implementación que desencadean cartas de auditoría

As implementacións do TikTok Pixel que producen resultados de reguladores tenden a fallar das mesmas poucas formas. O pixel cárgase en DOMContentLoaded ou na etiqueta head da páxina sen porta de consentimento, colocándoo na rede antes de que o CMP sequera teña renderizado. O botón de rexeitar-todo no banner de consentimento está estilizado con menor tamaño, máis difuminado, ou un clic máis profundo que o botón de aceptar-todo. O CMP rexistra un recibo de consentimento pero nunca propaga o estado de denegación a GTM, polo que o usuario ve un banner, fai clic en rexeitar e o pixel aínda se activa na seguinte páxina. O código de correspondencia avanzada pasa enderezos de correo electrónico en bruto a través dun parámetro que TikTok fai hash no lado do servidor, o que significa que o valor sen hash cruza o límite e desencadea un resultado de 'datos persoais en texto simple enviados a un país terceiro'. Cada un destes é unha corrección de unha a dúas horas de enxeñería e unha revisión de control despois — pero cada un é tamén exactamente o padrón co que un auditor comeza.

Lista de comprobación de auditoría e mantemento continuo

Un editor que mantén o TikTok Pixel funcionando correctamente ao longo de 2026 ten un breve bucle de mantemento repetible. Trimestralmente, reproduce de novo unha sesión de visitante nova nunha xanela de navegación privada cun gravador de rede aberto, confirma que ningunha solicitude a analytics.tiktok.com se activa antes do consentimento, percorre os fluxos de aceptación e rexeitamento, e comproba que a cookie _ttp só aparece despois da aceptación. Anualmente, refresca a túa configuración de provedor TCF v2.3, revisa o rexistro de cambios publicado por TikTok para novos tipos de eventos ou novas finalidades, e executa de novo unha Avaliación de Impacto sobre a Protección de Datos se o teu tráfico, combinación de anuncios ou xeografía da audiencia cambiou materialmente. E cada vez que se toca o CMP, o contedor GTM ou o fragmento de pixel, trátao como un lanzamento que necesita a mesma revisión que calquera outro cambio de produción — porque o é. Os editores que se manteñen fóra das colas dos reguladores non son os que teñen a arquitectura de consentimento máis sofisticada; son os que tratan o pixel como unha dependencia de alto risco e o auditan segundo un calendario en lugar de só cando algo se rompe.