Qué se llevan UTM y click ID cuando reenvías un enlace de campaña
Lo que va detrás del signo de interrogación no es solo «una URL más larga». Cuando un compañero, un agente de soporte o un cliente reenvía un enlace de campaña, utm_source, fbclid e igshid viajan con él al historial de chat, al archivo de tickets y a los registros de acceso. Las secciones siguientes separan qué se va según el tipo de parámetro, y marcan un límite de limpieza que puedes comprobar en el acto. Esto no es el manual del formulario de Limpiar URL.
Primero, qué capa se va
Este artículo solo responde qué se llevan los parámetros de seguimiento cuando reenvías un enlace de campaña. No es el formulario de Limpiar URL ni una guía para etiquetar anuncios con UTM.
Qué se lleva el segundo envío
El primer clic es para la plataforma de anuncios. El reenvío casi nunca necesita esa cadena de rastreo, y aun así entrega la consulta completa.
Marketing pega la landing en el canal de clientes de Slack. Soporte copia «la página de la campaña» en un ticket de Zendesk. Un compañero manda a WhatsApp o a Teams el enlace que Instagram ya había reescrito al compartir. Casi nadie mira primero lo que hay detrás del signo de interrogación. Esa cola larga en la barra de direcciones parece ruido. Es una cadena de consulta. El navegador la envía como parte de la petición; el chat, el correo y el sistema de tickets la guardan como texto corriente.
No es la misma capa que «por qué el fragmento # de una URL no llega a los registros del servidor». El fragmento se queda en la pestaña actual y no entra en la línea de petición HTTP. Un parámetro de consulta sí. El artículo Por qué el fragmento # de una URL no aparece en los registros del servidor solo explica la almohadilla. Este texto cubre el signo de interrogación: en el segundo envío, lo que suele irse no es la ruta, sino los campos de detrás —buscables, archivables y legibles otra vez en el siguiente host.
La ayuda del creador de URL de Google Analytics lo dice sin rodeos: cuando alguien hace clic en un enlace de referencia con etiquetas UTM, esos parámetros llegan a Analytics y aparecen en el informe de adquisición de tráfico. Para el equipo de campañas, eso es la función. Para quien reenvía la misma URL, es otra cosa: entregas al siguiente canal la etiqueta de «de qué campaña salió este clic», más cualquier ID de clic que la plataforma haya añadido sola. Ese canal no promete una sola lectura privada para el destinatario previsto.
En el segundo envío la pregunta no es «¿sigue abriendo esta URL?». Es «¿queda en la consulta un identificador que la otra parte no necesita y que tú no quieres dejar atrás?». La ruta y los campos de negocio como id o q suelen quedarse. utm_* y los ID de clic no deberían viajar otra vez.
Tres tipos de parámetro no son lo mismo
Ir detrás del mismo signo de interrogación no significa que se lleven la misma información. Sepáralos en etiqueta de campaña legible, token de clic emitido por la plataforma y marca de quien comparte.
El primero es UTM. La lista de Google incluye utm_source, utm_medium y utm_campaign, más campos opcionales como utm_term, utm_content y utm_id. Los valores son texto en claro que escribiste tú o una herramienta de etiquetado: newsletter, email, sep-sale, whatsapp. Describen una campaña, no la cuenta de un usuario. Tras el reenvío, el destinatario, quien entre después al grupo y quien pueda exportar el hilo ven para qué campaña y qué canal se construyó el enlace. Analytics trata mayúsculas y minúsculas como valores distintos: utm_source=google y utm_source=Google se parten en dos filas. Para quien lee el pegado, las dos son etiquetas legibles.
El segundo es un ID de clic. Las plataformas de anuncios lo añaden cuando alguien toca un anuncio. El valor es un token largo, no pensado para leerse. gclid sale del etiquetado automático de Google Ads y une un clic con una conversión. fbclid lo añade Meta y suele volver a leerlo el píxel o la API de conversiones. En la misma familia están ttclid, msclkid y twclid. Tú no elegiste esos valores y no puedes recuperar el nombre de la campaña a partir de la cadena. Identifican este clic, no esta campaña. Reenviar una dirección que aún lleva fbclid es entregar la clave de búsqueda de ese clic publicitario.
El tercero es una marca de quien comparte. En el correo de marketing el caso más claro es Mailchimp: mc_cid nombra una campaña, mientras mc_eid es un identificador de suscriptor que se puede unir a un registro de lista. Los enlaces de Instagram y Threads llevan desde hace tiempo igshid o un campo privado parecido. Las tablas comunitarias y el propio tratamiento de Link Tracking Protection de Apple listan igshid como parámetro de seguimiento, no como selector de página. Una comprobación que no necesita receta de ingeniería inversa: borra el signo de interrogación y todo lo que sigue; la publicación o la landing suele seguir abriendo, y la marca de quien comparte ya no está. Este artículo no recorre ni repite ningún método para convertir un parámetro en una cuenta. Basta el hecho que ves en el acto: algunos enlaces de compartir llevan «quién tocó Compartir», no solo «qué campaña».
utm_source=newsletter nombra un canal. Tras el reenvío, el nombre de la campaña lo ve todo el hilo.
fbclid y gclid remiten a un clic. Pegar la URL cruda entrega esa clave de búsqueda.
igshid, mc_eid o un campo privado. Quita la consulta y la página suele seguir abriendo.
Desde iOS 17, la protección contra el seguimiento de enlaces de Safari quita los parámetros que trata como rastreo cuando un enlace se abre desde Mail, Mensajes o la navegación privada. La formulación pública de Apple: se retira el extra identificador y el resto del enlace sigue funcionando. Pruebas independientes —entre ellas el boletín de AppsFlyer sobre LTP y tablas comunitarias posteriores— indican que se quitan gclid y fbclid, mientras los UTM suelen quedarse. Apple no publica una lista completa, y las listas comunitarias cambian con cada versión del sistema. Por eso «este iPhone quitó el ID de clic» no es «todos los canales están a salvo». Slack, Teams, WhatsApp, una ventana normal de Safari, el navegador interno de Gmail y la cadena que pegas en un ticket no harán ese trabajo por ti.
Dónde queda el residuo
En cuanto un parámetro sale de la barra de direcciones, se convierte en texto buscable, en un adjunto archivado o en el Referer de la siguiente petición.
Las ventanas de chat están hechas para que puedas volver a encontrar las cosas. Tras pegar una URL de campaña completa en un canal, el cuerpo del mensaje, la caché del cliente y el índice de búsqueda del servidor guardan cada uno una copia. Tres meses después, una búsqueda de utm_campaign o fbclid puede sacar ese mensaje. Retirar casi nunca borra el aviso ya leído en el otro extremo ni un historial que ya se sincronizó. No va de confiar en los compañeros. Ellos necesitan la landing. No necesitan el token de aquel clic de anuncio.
Los tickets y el correo guardan el enlace como prueba. Cuando soporte pega la URL de «esta página de campaña no abre» en un ticket, agentes, colas de escalado y cualquier visor externalizado abren otra vez la dirección completa. Una captura de pantalla a página completa en el carrete, o la barra de direcciones en la grabación de una reunión, es un segundo canal, a nivel de píxel. Las claves no deberían ir al chat: lo cubrimos en Tras una filtración de variables de entorno, por qué la clave nueva no debe volver al chat. Los parámetros de seguimiento son una filtración más suave. La forma del residuo es la misma: el canal guarda exactamente los caracteres que pegaste.
Los campos detrás del signo de interrogación quedan como texto. Quien entre después también puede buscarlos.
Su origen —o un proxy inverso que controles— puede registrar la URL completa cuando termina TLS.
La política por defecto es más estricta que antes. Aun así no puedes asumir que cada host de abajo solo recibe el nombre de host.
La capa de los registros de acceso se esconde fácil detrás del eslogan de HTTPS. El cifrado de transporte impide que alguien en el cable lea el texto en claro. El origen, y cualquier proxy inverso que controles, sigue viendo la línea de petición cuando termina TLS. En esa capa, un parámetro de consulta no se diferencia de una ruta: los dos van en la petición HTTP. Un fragmento no. «Ya usamos HTTPS» no borra ?fbclid= de un registro de acceso.
Referer es el tercer camino. Los navegadores modernos usan por defecto Referrer-Policy: strict-origin-when-cross-origin: las peticiones del mismo origen siguen enviando la URL completa, consulta incluida; las de otro origen suelen enviar solo el origen. El valor anterior, no-referrer-when-downgrade, mandaba la dirección completa en muchos saltos entre sitios. La guía de referrer de web.dev lista como riesgo explícito «filtrar ruta y query entre sitios». No puedes exigir que cada página de destino fije una política estricta. Quitar el rastreo antes del segundo envío es más fiable que esperar que el otro host «no registre la procedencia».
Este artículo trata de no copiar un identificador de seguimiento a un canal nuevo. No es «borra el chat y recuperas el parámetro». La otra parte puede haberlo abierto, capturado o guardado ya.
Qué conservar y qué quitar
Borrar todo lo que va detrás del signo de interrogación rompe fichas de producto, resultados de búsqueda y paginación. Separa los campos de negocio de los de rastreo.
Conserva los campos que apuntan la página al recurso correcto. id=128 elige un producto. q= es un término de búsqueda. page=2 es paginación. El t= de YouTube es una marca de tiempo. Eso no son etiquetas de campaña. «Borrar todo lo que sigue al signo de interrogación» suele funcionar en un enlace de compartir de redes. En un enlace profundo de comercio o de un panel de administración te deja en la portada o en un error.
Quita los campos que describen el origen del tráfico, identifican un solo clic o apuntan a quien comparte. Toda la familia utm_*, los ID de clic habituales y los campos de atribución de comercio o de plataformas de contenidos —spm, mc_eid, igshid, refer_share_id, y equivalentes en Amazon o Mercado Libre— van aquí. No deciden qué ítem se abre. Deciden a quién se atribuye esta apertura.
Si no tienes claro el corte, empieza estrecho: quita solo utm_* y los ID de clic habituales, y mira si la página sigue apuntando al mismo recurso. Solo entonces decide si sueltas campos de analítica y atribución de plataforma. No es un eslogan. Son dos ajustes que puedes comparar por el resultado.
id, q, la paginación y las marcas de tiempo suelen decidir qué recurso se abre.
spm, igshid, mc_eid y refer_share_id suelen nombrar una ruta de compartir o a quien comparte.
Limpiar URL de UsePwd sigue ese límite en la pestaña actual. Por defecto quita utm_*, ID de clic habituales y un conjunto de campos de atribución de comercio y de plataformas de contenidos. Se quedan el pathname más id y q. Si temes un daño colateral, activa el modo conservador: solo UTM e ID de clic. Una URL por línea, 100 como máximo; una línea de más de 8 KB se omite. Junto al resultado, la página lista los nombres de parámetros que se quitaron esta vez, para que lo compruebes en el acto en lugar de fiarte de un «ya está limpio» verbal. El análisis y el recorte se quedan en esta pestaña. El texto original no se envía como cuerpo HTTP ni se escribe en analytics. Ábrelo y úsalo: no hace falta registrarse.
Cómo comprobar lo quitado en el acto
El objetivo no es demostrar que «nadie en el mundo puede verlo». Es demostrar que lo que queda son parámetros de negocio, que lo que se fue es rastreo, y que esta entrada no entró en el cuerpo de una petición.
-
01
Prepara una URL sucia que no sea real
No uses una campaña en producción ni el enlace de compartir de un usuario real. Por ejemplo:
https://www.example.com/item?id=128&utm_source=newsletter&utm_medium=email&utm_campaign=sep-sale&fbclid=IwAR0example&igshid=YmMyMTA2M2Y. Debes reconocer queid=128tiene que quedarse. -
02
Abre Limpiar URL y vacía el recuadro
Entra en Limpiar URL y confirma que estás en Clean Link. La página se usa en cuanto se abre. Vacía la entrada si hace falta, para que este pegado no se mezcle con el anterior.
-
03
Haz una limpieza completa y lee la lista
Pega y limpia. El resultado debería seguir teniendo
id=128. La lista de lo quitado, al lado, debería mostrarutm_source,utm_medium,utm_campaign,fbclideigshid. Si falta un campo de negocio, o si un rastreador sigue ahí, la URL no está lista para enviar. -
04
Pasa una vez el modo conservador para contrastar
El modo conservador solo quita
utm_*e ID de clic habituales. Si el ejemplo también tiene atribución de comercio, las dos listas diferirán en longitud. Los dos modos conservan la ruta y el query de negocio que aún necesitas. Usa esa diferencia para decidir si la regla estrecha basta. -
05
Abre el panel Red y busca el texto original
Pulsa F12 y cambia a Red. Durante la limpieza no deberías ver una API que envíe la URL sucia completa como cuerpo de petición. En producción puede ir analítica de páginas a
/tj/; la carga son nombres de página y de botón, no la URL que pegaste. La vista previa local no envía analítica.
Estos pasos van junto a Seguridad, no la sustituyen. Seguridad responde si el texto en claro sale del navegador. Este artículo solo parte los parámetros de consulta y nombra la capa que se lleva el segundo envío. Ninguna de las dos páginas sustituye el formulario de Limpiar URL. Si el cuerpo de un ticket aún tiene teléfonos, cadenas tipo DNI o cédula, o claves API, el enmascarado de la misma página puede tapar formatos habituales en local. Sigue patrones comunes y no promete un barrido completo: lee tú el texto que vas a enviar. UsePwd no afirma una certificación RGPD.
Lo que la limpieza no para
Leer «quita el rastreo» como «el envío es anónimo» deja fuera unos límites que puedes comprobar con la misma claridad.
Limpiar y luego reenviar encaja en páginas que quieres publicar o mandar a más de una persona: una landing de campaña, una URL de producto, un compartir de redes, una línea de «el usuario mandó esta URL» en un ticket. Es la herramienta equivocada para un canal secreto de un solo uso. Un secreto entero, una clave API rotada o un código de corta vida deberían pasar por el enlace de un solo uso: el texto en claro se cifra en esta pestaña con AES-256-GCM, el identificador viaja en ?id=, la clave viaja detrás de #, y crear y leer se abren al instante. El servidor solo guarda texto cifrado. No trates esas dos herramientas como la misma garantía.
La copia de un archivo es un tercer camino. El cifrado local de un solo archivo de hasta 5 GB va por Cifrar archivo, escribe .lock / .enc y no sube el archivo por defecto. Si la frase de paso es fuerte es otra pregunta: genera de 6 a 128 caracteres en el generador de contraseñas y usa Comprobar contraseña para puntuarla en local contra la lista pública de contraseñas débiles que viaja con la página. La comprobación no es una consulta a toda la web y la contraseña no se sube. Esas páginas, como este artículo, se usan al instante: no hace falta registrarse. En la barra superior, a la derecha, solo está el selector de idioma.
Antes del segundo envío, mira qué lleva la consulta: una etiqueta de campaña, un token de clic o una marca de quien comparte. Si distingues esas tres, no leerás un artículo de mecánica de parámetros como una garantía de que «limpio significa anónimo».
Lo que suele preguntarse en el segundo envío
Los cuatro puntos de abajo se quedan dentro del límite de este artículo. No repiten los botones de la página de limpieza.
id, q o un número de página: quita solo el rastreo.
Cuando termines, comprueba la lista
El artículo responde qué se llevan los parámetros de seguimiento cuando reenvías un enlace de campaña. Para comparar los nombres que se quitaron de verdad, abre Limpiar URL: no hace falta registrarse.