I link affiliati sono la parte più trascurata dell’affiliate marketing italiano. Tutti spiegano come generarli, quasi nessuno spiega cosa succede dopo: dove finiscono, chi li traccia, quali dati raccolgono, che cosa dice la legge italiana su come vanno dichiarati e quali buchi di sicurezza apri sul tuo dominio quando li mascheri male. In questa guida trovi entrambe le metà del discorso. La prima è la parte operativa che trovi ovunque. La seconda è quella che, in trent’anni di lavoro sul web italiano, ho visto ignorare fino al momento in cui è arrivato il problema.
Che cos’è un link affiliato e come funziona davvero
Un link affiliato è un normale indirizzo web al quale il network di affiliazione aggiunge un identificativo univoco che ti appartiene. Quando qualcuno lo clicca, quell’identificativo viene memorizzato lato utente, di solito in un cookie di terza parte, e se entro un certo periodo la persona compra, il sistema attribuisce la vendita a te e ti riconosce una commissione.
Detto così sembra banale. Non lo è, perché dentro quel meccanismo ci sono tre soggetti che raccolgono dati su una persona che magari non se ne è accorta: tu, il network, il merchant. Ed è esattamente da qui che nascono gli obblighi che vedremo più avanti.
La struttura tipica di un link affiliato è questa: dominio del merchant o del network, percorso della pagina prodotto, e in coda una stringa di parametri con il tuo ID, spesso accompagnata da parametri di campagna, di sotto-tracciamento e di sessione. Il risultato è un URL lungo, illeggibile e visibilmente “commerciale”. Chi ha un minimo di dimestichezza con il web lo riconosce a colpo d’occhio, e una parte di questi utenti non clicca. Non per diffidenza generica, ma perché ha capito benissimo cosa sta per succedere.
Se stai ancora valutando se questo modello faccia per te, prima di occuparti dell’aspetto tecnico vale la pena capire i numeri del settore: ne ho scritto in modo esteso nella guida su come guadagnare con le affiliazioni, che affronta il tema dal lato economico invece che da quello infrastrutturale.
Perché il contesto italiano cambia le carte in tavola
Il mercato pubblicitario online italiano non è più una nicchia dove nessuno guarda. Secondo i dati dell’Osservatorio Internet Media del Politecnico di Milano, nel 2025 l’internet advertising in Italia ha raggiunto 6,2 miliardi di euro, arrivando a rappresentare il 53% dell’intero mercato pubblicitario nazionale, con una previsione di 7 miliardi per il 2026 secondo il comunicato degli Osservatori Digital Innovation. Quando un settore supera la metà della torta pubblicitaria di un Paese, smette di essere terra di nessuno e comincia ad attirare l’attenzione delle autorità. È quello che sta succedendo.
Come si crea un link affiliato, passo per passo
La procedura cambia poco da un programma all’altro. Ti iscrivi al programma di affiliazione del merchant o a un network che ne aggrega diversi, attendi l’approvazione, accedi al pannello e generi il link dalla scheda del prodotto o del servizio che vuoi promuovere. Alcuni programmi offrono anche una barra strumenti da installare nel browser che genera il link direttamente mentre navighi il sito del merchant.
Quello che quasi nessuno ti dice è che a questo punto hai in mano un asset fragile. Il link che hai generato può cambiare: il merchant modifica la struttura degli URL, il network aggiorna i parametri obbligatori, il prodotto esce di catalogo. Se hai infilato quel link a mano in quaranta articoli, la manutenzione diventa un lavoro. Se il programma di affiliazione chiude, quei quaranta link diventano quaranta pagine con collegamenti rotti, e questo è un problema che si riflette anche sulla qualità percepita del sito: la stessa logica che applico quando spiego come gestire gli errori 404 vale identica qui.
Per questo il passaggio successivo non è opzionale. Un link affiliato va sempre incapsulato dietro un indirizzo che controlli tu.
Cosa succede se salti questo passaggio
Nella mia esperienza succede sempre la stessa cosa, e succede al momento peggiore. Un cliente mi ha chiamato perché il suo network gli aveva comunicato che da lì a due settimane tutti i link avrebbero richiesto un nuovo parametro di tracciamento, pena la perdita delle attribuzioni. Aveva oltre trecento link affiliati distribuiti su sei anni di articoli, tutti scritti direttamente nell’HTML. Abbiamo risolto con una migrazione a tappe, ma è stato lavoro puro, pagato, che con un’infrastruttura corretta sarebbe costato dieci minuti.
Perché vanno mascherati, e cosa significa davvero “cloaking”
Qui c’è la confusione terminologica più pericolosa di tutto il settore, e va sciolta prima di andare avanti.
Nel gergo dell’affiliate marketing, “link cloaking” significa nascondere un URL brutto dietro un URL corto e pulito sul proprio dominio. È una pratica legittima, comune e utile. Nel vocabolario di Google, invece, “cloaking” indica qualcosa di completamente diverso: presentare contenuti diversi agli utenti e ai motori di ricerca allo scopo di manipolare il posizionamento. Le linee guida antispam parlano chiaro anche di sneaky redirects, cioè reindirizzamenti che portano l’utente su contenuti sostanzialmente diversi da quelli che il motore vede, e di thin affiliation, cioè pagine costruite attorno a link affiliati con descrizioni copiate dal merchant e nessun valore aggiunto come documentato nelle spam policies di Google Search Central.
Sono due cose diverse che condividono una parola. Il problema è che la confusione produce due comportamenti opposti ed entrambi sbagliati: c’è chi non maschera nulla per paura di essere penalizzato, e c’è chi maschera aggressivamente convinto che nascondere il link ai crawler serva a qualcosa. Non serve. Anzi.
La regola che rende tutto più semplice
Se il tuo redirect porta l’utente esattamente dove porterebbe il link originale, non stai facendo cloaking in senso Google. Stai facendo gestione dei link. Se invece il tuo redirect mostra una cosa al crawler e un’altra alla persona, stai violando le policy, e prima o poi arriva il conto.
Il secondo pezzo della regola riguarda l’attributo rel. Google chiede esplicitamente di marcare i link pubblicitari e a pagamento con il valore sponsored, riservando nofollow ai casi in cui gli altri valori non si applicano come indicato nella documentazione ufficiale sulla qualificazione dei link in uscita. Un link affiliato è a tutti gli effetti un link a pagamento. Va marcato. Il tema di come Google interpreta i collegamenti in uscita l’ho affrontato anche parlando di come Google vorrebbe i link, e la sostanza non è cambiata: la trasparenza tecnica conviene sempre.
Come mascherare i collegamenti di affiliazione su WordPress
Su WordPress il modo più solido è usare un plugin di gestione link che crei redirect sul tuo dominio. Il classico del settore è Pretty Link, che uso da anni su diversi progetti e che continua a essere la soluzione con il miglior rapporto tra semplicità e controllo.
Il funzionamento è lineare. Crei un indirizzo del tipo tuodominio.it/vai/nome-a-piacere, gli associ l’URL affiliato di destinazione e usi solo quell’indirizzo, ovunque. Negli articoli, nei banner, nelle email alla tua lista, nei post sui social. Chi lo vede legge il tuo dominio, non una stringa di parametri incomprensibile.
Le impostazioni che contano davvero sono quattro.
- Tipo di redirect. Puoi scegliere fra 301 permanente, 307 temporaneo, versioni mascherate, meta refresh e JavaScript. Per i link affiliati il 307 è quasi sempre la scelta corretta, perché la destinazione può cambiare e non vuoi che browser e proxy memorizzino l’associazione. Il 301 va usato solo quando la destinazione è stabile per davvero: sul perché la scelta del codice conta, ho scritto una guida dedicata ai redirect 301 e 3xx nella SEO.
- Intestazioni noindex e nofollow. Vanno impostate a livello di link, così l’URL di redirect non finisce indicizzato e non passa segnali dove non deve.
- Modifica della destinazione. È la funzione che salva le giornate. Cambi l’URL di arrivo dal pannello e tutti i link già pubblicati puntano automaticamente al nuovo indirizzo, senza toccare una riga di HTML.
- Rotazione e split test. Puoi mettere più destinazioni dietro un singolo link, assegnando a ciascuna un peso percentuale. Utile per confrontare landing page diverse, ma anche per gestire un banner ospitato su un sito di terzi senza dover contattare ogni volta chi lo gestisce.
C’è poi la sostituzione automatica delle parole chiave, che trasforma occorrenze di determinati termini in link. Funziona, ma va usata con la mano leggerissima: impostare un limite basso di sostituzioni per pagina evita di ritrovarsi con articoli tappezzati di collegamenti commerciali, che è il modo più rapido per farsi classificare come thin affiliation.
Statistiche e conteggio dei click
Il pannello raccoglie i click per singolo link, con orario, indirizzo IP di provenienza e pagina di riferimento, ed esporta tutto in CSV. È materiale prezioso per capire quali contenuti convertono e quali no, con una logica non troppo diversa da quella che descrivo quando spiego come contare i click sui banner.
Attenzione però, perché è proprio da questa raccolta di dati che nasce la parte che quasi nessuno affronta.
Tracciare i click senza violare il GDPR
Il cookie che il network di affiliazione deposita sul browser dell’utente non è un cookie tecnico. Serve a ricondurre una specifica azione a uno specifico soggetto per finalità commerciali, il che lo colloca senza ambiguità fra i cookie di profilazione di terza parte.
Le Linee guida cookie del Garante per la protezione dei dati personali sono nette su questo punto: per i cookie di profilazione serve il consenso preventivo, libero, specifico, informato e inequivocabile, non è possibile appoggiarsi al legittimo interesse come base giuridica alternativa, e lo scrolling da solo non costituisce consenso come stabilito nel provvedimento del 10 giugno 2021. Il documento è del 2021 ed è tuttora la cornice di riferimento in Italia.
Cosa significa in pratica per chi pubblica link affiliati? Tre cose, e nessuna delle tre è complicata.
La prima: il consenso va raccolto prima che il tracciamento parta, non dopo. Se il tuo banner cookie è decorativo e i cookie partono comunque al caricamento della pagina, sei fuori norma a prescindere da quanto siano belli i tuoi link. Il tema l’ho trattato per esteso nell’articolo su cookie law e tutto quello che devi sapere.
La seconda: l’informativa deve nominare le terze parti coinvolte. Il tuo network di affiliazione è una di queste, e l’utente ha il diritto di sapere che esiste. Molte informative italiane elencano diligentemente Analytics e i pixel social, poi dimenticano completamente il network di affiliazione. Non è una svista veniale, è un pezzo mancante della catena.
La terza, e questa è la più fraintesa: mascherare il link non ti esonera da nulla. Il redirect passa dal tuo dominio, ma il cookie lo deposita comunque la destinazione. Anzi, il cloaking peggiora la posizione dell’utente, perché gli toglie l’unico indizio visivo che aveva per capire cosa stava per succedere. Se un giorno dovessi difendere quella scelta davanti a un’autorità, spiegare perché avevi reso invisibile la natura commerciale del collegamento sarebbe la parte difficile della conversazione. Chi gestisce un sito che raccoglie dati farebbe bene a partire da una verifica complessiva: la guida GDPR per siti web è il punto di partenza che consiglio.
Il rischio che nessuno racconta: il tuo redirect come trampolino per il phishing
Questa parte non l’ho mai trovata in un articolo SEO italiano sui link affiliati, e la trovo grave, perché è il rischio con le conseguenze peggiori.
Nel momento in cui installi un sistema di redirect sul tuo dominio, hai aggiunto un componente di infrastruttura. Se quel componente accetta la destinazione da un parametro dell’URL senza validarla contro una lista di domini autorizzati, hai creato un open redirect. È una vulnerabilità catalogata e ben nota: MITRE la classifica come CWE-601, “URL Redirection to Untrusted Site”, e la descrive come la situazione in cui un’applicazione accetta un input controllato dall’utente che specifica un collegamento a un sito esterno e lo usa per un reindirizzamento come documentato nel catalogo CWE.
Tradotto: qualcuno costruisce un indirizzo che comincia con il tuo dominio, lo fa arrivare via email a persone che si fidano di te, e quelle persone finiscono su una pagina di raccolta credenziali. Il tuo dominio è l’esca. Le conseguenze documentate vanno dal furto di credenziali al drive-by download di malware.
Le mitigazioni indicate dal catalogo sono chiare e alla portata di chiunque gestisca un sito: consentire solo destinazioni presenti in una lista approvata, non accettare mai URL arbitrari da parametro, usare identificativi interni mappati a destinazioni fisse invece di passare l’URL in chiaro, e se serve interporre una pagina di avviso prima del salto.
Nella pratica dei progetti che seguo il controllo è di due minuti. Prendi il tuo URL di redirect, prova ad aggiungere un parametro che punti a un dominio esterno qualsiasi e guarda se ti ci porta. Se ti ci porta, hai un problema da chiudere oggi. Se il plugin è aggiornato e configurato con destinazioni fisse censite nel pannello, sei al sicuro. Vale la pena ricordare che i plugin sono anche la principale superficie di attacco di un’installazione WordPress: l’ho scritto parlando di come rimuovere un malware da WordPress, e la prevenzione costa infinitamente meno della bonifica. Chi vuole affrontare il tema in modo strutturato può partire dalla pagina dedicata alla sicurezza informatica.
Trasparenza obbligatoria: quando un link affiliato diventa pubblicità occulta
In Italia la riconoscibilità della comunicazione commerciale non è una cortesia verso il lettore. È un obbligo, e il quadro si è irrigidito parecchio negli ultimi due anni.
Sul piano dell’autodisciplina c’è la Digital Chart dello IAP, nata nel 2016 e diventata regolamento nel 2019, che impone che i contenuti promozionali siano distinguibili in maniera chiara e netta da quelli organici e indica diciture e hashtag da adottare per ciascun formato. Sul piano regolatorio, AGCOM è intervenuta con le linee guida della delibera 7/24/CONS del gennaio 2024, poi modificate e integrate da un codice di condotta approvato con la delibera 197/25/CONS nell’avviso pubblicato ad agosto 2025.
Il principio è sempre lo stesso e non ammette scorciatoie: se guadagni da un collegamento, chi legge deve poterlo capire senza sforzo. Una riga in fondo alla pagina in corpo otto non basta. Una dicitura all’inizio del contenuto, in chiaro, sì.
La mia posizione su come le autorità italiane hanno affrontato il tema è nota, e non è entusiasta: l’ho scritta anni fa in antitrust contro influencer, ecco perché non cambierà nulla, e in parte quella previsione ha retto. Ma “cambia poco per il mercato” non significa “non cambia nulla per te”. Nell’attività di consulente tecnico d’ufficio ho visto abbastanza contenziosi commerciali per sapere che la parte che ha documentato correttamente cosa era pubblicità e cosa no arriva in aula in una posizione molto più comoda dell’altra.
La dichiarazione che funziona
Non serve un legalese. Serve una frase, prima del contenuto, che dica che l’articolo contiene collegamenti dai quali chi scrive percepisce una commissione e che questo non modifica il prezzo per chi acquista. Aggiungi rel="sponsored" ai link, gestisci il consenso ai cookie come si deve, e hai coperto le tre dimensioni: normativa, tecnica e di fiducia.
Vale la pena aggiungere una cosa che il settore dice poco volentieri. Nella mia esperienza la dichiarazione esplicita non abbassa i click in modo significativo. Chi si fida di te clicca lo stesso, spesso proprio perché hai dichiarato. Chi non si fidava non avrebbe cliccato comunque.
Errori ricorrenti e come evitarli
Chiudo il quadro operativo con gli errori che continuo a trovare nelle analisi dei siti, in ordine di frequenza.
- Collegamenti scritti a mano nell’HTML. Ogni modifica diventa un intervento manuale su decine di pagine. Il redirect centralizzato risolve alla radice.
- Redirect 301 su destinazioni instabili. Il browser memorizza, la destinazione cambia, il traffico continua ad andare dove non deve. Il 307 esiste per questo.
- URL di redirect indicizzati. Senza noindex a livello di link, ti ritrovi pagine di puro passaggio nell’indice di Google.
- Nessun attributo rel sui link commerciali. Facile da sistemare, e Google chiede esplicitamente di farlo.
- Cookie di affiliazione attivi prima del consenso. È il punto più esposto sul piano sanzionatorio, e quasi sempre nessuno l’ha verificato.
- Nessuna dichiarazione di affiliazione. Costa una riga e vale come protezione.
- Redirect mai testati contro l’open redirect. Due minuti di verifica contro un rischio reputazionale serio.
Sul rapporto fra affiliazioni, infrastruttura e scelte di hosting ho ragionato in una conversazione pubblica che resta attuale, l’intervista su affiliate marketing e hosting: molte delle fragilità di cui parliamo qui nascono a monte, nella scelta dell’infrastruttura.
Un’ultima nota di onestà. Nessuna di queste accortezze aumenta da sola le tue commissioni. Servono a fare in modo che, quando il progetto funziona, non ti si rompa sotto i piedi per un motivo evitabile. È manutenzione preventiva, non crescita. Sono due mestieri diversi e vanno fatti entrambi.
Riepilogo dei punti chiave
Un link affiliato è un URL con un identificativo univoco che attribuisce a te la vendita generata. Va sempre incapsulato dietro un redirect sul tuo dominio, per poterne cambiare la destinazione senza toccare gli articoli già pubblicati. Il “link cloaking” dell’affiliate marketing non coincide con il cloaking punito da Google: finché il redirect porta utenti e crawler nello stesso posto, sei nelle regole. I link commerciali vanno marcati con rel="sponsored" e i redirect impostati come 307 con noindex. Sul piano normativo italiano valgono tre obblighi distinti: il consenso preventivo per il cookie di affiliazione, che è un cookie di profilazione di terza parte secondo le Linee guida del Garante; la menzione del network nell’informativa; la riconoscibilità della comunicazione commerciale imposta dalla Digital Chart e dalle linee guida AGCOM. Sul piano tecnico va verificato che il sistema di redirect non accetti destinazioni arbitrarie da parametro, condizione che lo trasformerebbe in un open redirect (CWE-601) utilizzabile per campagne di phishing con il tuo dominio come esca. Mascherare il link non riduce nessuno di questi obblighi.
Domande frequenti sui link affiliati
Cosa sono i link di affiliazione?
Un link di affiliazione è un indirizzo web che contiene un identificativo univoco assegnato a chi promuove un prodotto o un servizio. Quando un utente clicca quel link, l’identificativo viene memorizzato sul suo browser tramite un cookie: se entro il periodo di validità previsto dal programma la persona effettua un acquisto, la vendita viene attribuita a chi ha condiviso il link, che riceve una commissione. Il prezzo per chi compra resta invariato. Dal punto di vista tecnico si tratta di un normale URL con parametri di tracciamento aggiunti in coda.
Come creare link affiliati passo per passo?
Ti iscrivi al programma di affiliazione del merchant o a un network che ne aggrega diversi, attendi l’approvazione dell’account, accedi al pannello e generi il link dalla scheda del prodotto che vuoi promuovere. Molti programmi mettono a disposizione anche una barra strumenti per il browser che genera il link mentre navighi il sito del merchant. Il passaggio successivo, che è quello che fa la differenza, consiste nell’incapsulare quel link dietro un redirect sul tuo dominio tramite un plugin di gestione link: in questo modo potrai cambiare la destinazione in qualsiasi momento senza dover modificare gli articoli già pubblicati.
Mascherare i link affiliati fa rischiare una penalizzazione da Google?
No, purché il redirect porti utenti e motori di ricerca esattamente nello stesso posto. Il cloaking che Google sanziona consiste nel mostrare contenuti diversi agli utenti e ai crawler per manipolare il posizionamento, e nei reindirizzamenti ingannevoli che portano la persona su contenuti sostanzialmente differenti da quelli indicizzati. Accorciare un URL affiliato dietro un indirizzo del proprio dominio non rientra in questa casistica. I rischi reali sono altri due: pubblicare pagine costruite solo attorno a link affiliati con descrizioni copiate dal merchant, che Google classifica come thin affiliation, e omettere l’attributo rel=”sponsored” sui collegamenti commerciali.
Serve il consenso ai cookie per usare link affiliati in Italia?
Sì. Il cookie depositato dal network di affiliazione serve a ricondurre una specifica azione a uno specifico utente per finalità commerciali, quindi rientra fra i cookie di profilazione di terza parte. Secondo le Linee guida cookie del Garante per la protezione dei dati personali serve un consenso preventivo, libero, specifico, informato e inequivocabile, raccolto prima che il tracciamento parta, e non è possibile invocare il legittimo interesse come base giuridica alternativa. Il network va inoltre nominato nell’informativa fra le terze parti coinvolte. Mascherare il link dietro il proprio dominio non riduce in alcun modo questi obblighi.
È obbligatorio dichiarare che un contenuto contiene link affiliati?
In Italia la riconoscibilità della comunicazione commerciale è un obbligo. La Digital Chart dello IAP, regolamento dal 2019, richiede che i contenuti promozionali siano distinguibili in maniera chiara e netta da quelli organici, e AGCOM è intervenuta con le linee guida della delibera 7/24/CONS del gennaio 2024, integrate dal codice di condotta approvato con la delibera 197/25/CONS. In pratica serve una dichiarazione esplicita, collocata prima del contenuto e non in fondo alla pagina, che indichi la presenza di collegamenti dai quali chi scrive percepisce una commissione senza costi aggiuntivi per chi acquista.
Qual è il rischio di sicurezza dei redirect per link affiliati?
Il rischio principale è l’open redirect, catalogato da MITRE come CWE-601. Si verifica quando il sistema di reindirizzamento accetta la destinazione da un parametro dell’URL senza validarla contro una lista di domini autorizzati: a quel punto chiunque può costruire un indirizzo che comincia con il tuo dominio e che porta gli utenti su una pagina di phishing o di distribuzione malware. Le mitigazioni raccomandate sono usare solo destinazioni censite in una lista approvata, non accettare mai URL arbitrari passati come parametro e mappare identificativi interni a destinazioni fisse. La verifica pratica richiede due minuti: prova ad aggiungere un parametro che punti a un dominio esterno e controlla se il redirect ti ci porta.
Meglio rel=”sponsored” o rel=”nofollow” sui link affiliati?
Google raccomanda di marcare i link pubblicitari e a pagamento con il valore sponsored, riservando nofollow ai casi in cui gli altri valori non si applicano e si preferisce che il proprio sito non venga associato alla pagina collegata. Un link affiliato è a tutti gli effetti un collegamento a pagamento, quindi la scelta corretta è rel=”sponsored”. Nulla vieta di combinare più valori nello stesso attributo quando la situazione lo richiede. In aggiunta, l’URL di redirect interno va impostato come noindex a livello di link, per evitare che pagine di puro passaggio finiscano nell’indice.
Cosa fare adesso sui tuoi link affiliati
Se hai già link affiliati online, il percorso più rapido è questo. Verifica se sono scritti a mano nell’HTML o se passano da un redirect che controlli. Controlla il tipo di redirect impostato e se gli URL di passaggio sono esclusi dall’indice. Aggiungi rel="sponsored" dove manca. Apri la tua informativa cookie e cerca il nome del tuo network di affiliazione: se non c’è, aggiungilo. Prova a manipolare un parametro del tuo URL di redirect per vedere se ti porta su un dominio esterno. Metti una riga di dichiarazione prima del contenuto negli articoli che contengono collegamenti commerciali.
Sono sei controlli. Nella maggior parte dei casi si chiudono in mezza giornata, e cambiano radicalmente il profilo di rischio del progetto.
Se invece stai costruendo adesso un sito che vive di affiliazioni, o se hai il dubbio che l’impianto attuale abbia qualche crepa fra quelle descritte qui, vale la pena guardarci dentro insieme prima che il problema si presenti da solo.
Prenota una consulenza strategica: parliamo del tuo progetto di affiliazione e di come metterlo in sicurezza.
