Postback S2S

Quando usar#

O postback server-to-server é a via mais confiável de registrar conversão, porque não depende de nada que aconteça no navegador. Casos em que ele é a resposta certa:

• Checkout em domínio de terceiro, onde o cookie não sobrevive
• Conversão confirmada depois do pedido — pagamento aprovado, boleto pago, assinatura ativada
• Conversão que acontece fora do site: telefone, aplicativo de mensagens, loja física, CRM
• Anunciante que não pode ou não quer instalar JavaScript de terceiro
• Ambiente com bloqueador agressivo de script

A URL de postback#

O time Moclick fornece a URL completa e o token da campanha. O token é gerado automaticamente por campanha e não é reaproveitado entre campanhas.

https://bridge.moclick.com.br/wp-json/moclick/v1/postback
  ?slug=SUA-CAMPANHA
  &token=SEU-TOKEN
  &click_id={CLICK_ID}
  &txid={TXID}
  &value={VALUE}

Como o anunciante obtém o click_id#

O identificador precisa chegar ao backend do anunciante e ser guardado junto ao pedido. Se a tag global estiver instalada, ele já está em cookie — leia no servidor ao gravar o pedido:

// O nome do cookie é informado pelo time Moclick para a sua campanha.
$click_id = $_COOKIE[MOCLICK_COOKIE] ?? '';

// Guarde junto ao pedido, para usar quando a conversão confirmar
save_order_meta($order_id, 'moclick_click_id', $click_id);

Sem a tag global, capture o parâmetro de identificação na entrada e persista na sessão. O time Moclick informa qual parâmetro a campanha utiliza.

Exemplo de chamada#

curl -sS -G "https://bridge.moclick.com.br/wp-json/moclick/v1/postback" 
  --data-urlencode "slug=minha-campanha" 
  --data-urlencode "token=SEU_TOKEN" 
  --data-urlencode "click_id=abc-123" 
  --data-urlencode "txid=PEDIDO-9001" 
  --data-urlencode "value=249.90"

$url = 'https://bridge.moclick.com.br/wp-json/moclick/v1/postback?'
    . http_build_query([
        'slug'     => 'minha-campanha',
        'token'    => MOCLICK_TOKEN,
        'click_id' => $click_id,
        'txid'     => $order_number,
        'value'    => number_format($total, 2, '.', ''),
    ]);

$res = wp_remote_get($url, ['timeout' => 5]);

if (is_wp_error($res) || wp_remote_retrieve_response_code($res) !== 200) {
    // Enfileire para nova tentativa — ver "Reenvio" abaixo
}

const url = new URL("https://bridge.moclick.com.br/wp-json/moclick/v1/postback");
url.search = new URLSearchParams({
  slug: "minha-campanha",
  token: process.env.MOCLICK_TOKEN,
  click_id: clickId,
  txid: orderNumber,
  value: total.toFixed(2)
});

const res = await fetch(url, { signal: AbortSignal.timeout(5000) });
if (!res.ok) throw new Error(`postback falhou: ${res.status}`);

import requests

r = requests.get(
    "https://bridge.moclick.com.br/wp-json/moclick/v1/postback",
    params={
        "slug": "minha-campanha",
        "token": MOCLICK_TOKEN,
        "click_id": click_id,
        "txid": order_number,
        "value": f"{total:.2f}",
    },
    timeout=5,
)
r.raise_for_status()

Respostas#

Um detalhe que evita confusão: 200 OK confirma o recebimento, não necessariamente a gravação. Requisição sem click_id, ou em campanha que não usa medição própria, responde OK sem gravar — mesma política silenciosa dos demais endpoints. Ao integrar, confirme no painel que o evento apareceu.

Reenvio e idempotência#

A chamada é idempotente pelo par click_id + txid: repetir a mesma requisição não gera conversão duplicada. Isso torna o reenvio seguro, e o reenvio é recomendado.

Segurança do token#

• Mantenha o token no servidor. Nunca em JavaScript, HTML ou aplicativo móvel
• Guarde em variável de ambiente ou cofre de segredos, não no repositório
• Um token por campanha: comprometer um não expõe as outras
• Quem tem o token pode inserir conversões nessa campanha — trate como credencial