Un publisher ha trasmesso token rotti per tre mesi

Per tre mesi i token UID2 del publisher erano inutilizzabili, ma nessuno ha segnalato l’errore

Un publisher CTV (Connected TV, la TV connessa a internet) ha trasmesso per tre mesi token UID2 inutilizzabili per il targeting. The Trade Desk non ha mai segnalato il problema e, una volta corretto l’errore, i ricavi pubblicitari non si sono mossi. L’episodio arriva mentre un nuovo studio accademico sugli identificativi estesi documenta quanto gli EID (extended identifiers, gli ID utente passati nelle richieste d’asta) siano diventati pervasivi nel programmatic. Chi alloca budget su audience “identificate” deve chiedersi quanto valga davvero il segnale su cui ottimizza.

Tre mesi di token rotti e nessuno se n’è accorto

Il caso è stato raccontato senza giri di parole. Il publisher CTV ha ammesso volontariamente ad AdExchanger di aver commesso errori involontari di crittografia nella creazione dei token UID2, l’identificativo open source spinto da The Trade Desk come alternativa ai cookie di terze parti. Quei token erano inutilizzabili per il targeting pubblicitario. Nei tre mesi in cui il publisher ha passato UID2 non validi, The Trade Desk non ha mai segnalato l’errore.

Il dato più scomodo arriva dopo la correzione. Secondo il publisher, sistemato il problema non c’è stato alcun impatto percepibile sui ricavi pubblicitari, né positivo né negativo. Per chi compra media è un paradosso difficile da ignorare. Se un identificativo rotto e uno funzionante producono lo stesso risultato economico lato sell-side, resta da capire cosa stia pagando il buyer quando sceglie inventory “con ID” e, soprattutto, perché quasi tutto il web abbia iniziato a trasmetterne uno.

Dal 29% all’84%: l’identità ha vinto senza fare rumore

Lo studio ha misurato l’adozione degli EID su un arco di oltre tre anni, e i numeri vanno letti come base storica, non come fotografia di oggi. A gennaio 2022 trasmetteva un EID il 28,92% dei siti visitati. A maggio 2025 la quota era salita all’83,76%. In poco più di tre anni l’identificativo esteso è passato da caratteristica di una minoranza di siti a componente standard della richiesta d’asta.

Per chi gestisce campagne conta però un’altra cifra. Dei 18 provider di identità analizzati, 12 generano EID persistenti, capaci di riconoscere lo stesso utente attraverso visite, siti, dispositivi e mesi diversi. È la continuità cross-site e cross-device che i cookie di terze parti garantivano, ricostruita su un’infrastruttura diversa. Il contesto economico spiega la spinta: secondo IMARC Services Pvt. Ltd., citata dagli autori, il mercato del real-time bidding (RTB, le aste in tempo reale per singola impression) vale 22,3 miliardi di dollari. Con un mercato di queste dimensioni, ogni segnale che promette di alzare i CPM (costo per mille impression) trova rapidamente spazio nel bid stream.

Il contrasto con il Privacy Sandbox di Google è netto. Una ricerca separata sulle API del Privacy Sandbox rileva che la maggior parte di queste interfacce era usata da una manciata di attori, la cui attività è calata costantemente per tutto il periodo osservato. L’alternativa “privacy-first” pensata per sostituire i cookie è rimasta marginale. Nel frattempo gli identificativi persistenti si sono diffusi su oltre otto siti su dieci, con poco dibattito pubblico. Il risultato per l’advertiser è un ecosistema in cui la presenza di un ID è quasi scontata, ma la sua qualità, come mostra il caso UID2, non viene necessariamente controllata da nessuno lungo la catena. Resta poi una domanda:
un’infrastruttura così pervasiva e persistente regge sul piano legale?

Il consenso come punto debole del media plan

In Europa la risposta passa dal consenso, e lì la base è fragile. Sul TC String, la stringa del Transparency and Consent Framework (TCF) di IAB Europe che codifica le scelte privacy dell’utente e viaggia con le richieste d’asta, la Corte d’Appello di Bruxelles ha stabilito che IAB Europe non è riuscita a dimostrare una base giuridica valida ai sensi dell’art. 6(1) del GDPR per il trattamento dei dati personali. Come sintetizza l’analisi dello studio legale DLA Piper, il legittimo interesse previsto dall’art. 6(1)(f) non poteva essere invocato perché la necessità del trattamento non era stata dimostrata.

Per chi pianifica è un rischio concreto. Gli EID persistenti viaggiano accanto ai segnali di consenso. Se la base giuridica di quel segnale è contestabile, lo è anche l’attivazione di audience, frequency capping e attribuzione costruite sopra. C’è poi un legame diretto con il caso UID2. Il legittimo interesse cade quando la necessità non è dimostrata, e un identificativo che, una volta riparato, non sposta i ricavi del publisher non è il miglior argomento per sostenere che quel trattamento sia necessario. Chi continua a pagare un premio per l’audience “identificata” lo fa conoscendo questo rischio?

La conclusione operativa per chi gestisce campagne programmatic è chiara: la presenza di un ID non garantisce la performance. Il segnale è ovunque, ma viene verificato poco ed è fragile sul piano legale. Invece di pagare per la promessa di un’audience tracciata, conviene spostare budget e attenzione su tre fronti. Il primo sono i test di incrementalità, con gruppi di controllo e confronto tra inventory con e senza ID. Il secondo è la verifica della supply, chiedendo a SSP e publisher come validano i token che trasmettono. Il terzo è il controllo della catena del consenso. Se un errore di crittografia può restare invisibile per tre mesi senza effetti sui ricavi, il premio pagato per quell’identità va dimostrato con i dati.