Un cupón de bienvenida del 10% al 15% es, para la mayoría de tiendas online españolas, la primera línea de captación. Va en el popup de salida, en el pie del blog, en el widget lateral y en el welcome flow. Convierte bien: entre el 8% y el 12% de los suscriptores lo canjean en las dos primeras semanas.
El problema no es que el cupón funcione. El problema es que hay clientes que lo canjean dos, tres y cuatro veces. Y no porque sean estafadores profesionales, sino porque tu propia base de datos les está regalando la oportunidad.
Este artículo trata de un tipo de fuga silenciosa que casi nadie mira: cupones de un solo uso que, en la práctica, se están usando muchas veces por la misma persona. Y del rol que juegan los duplicados en tu CRM para que eso pase.
El problema no son los cazachollos, es tu base de datos
Cuando un ecommerce descubre que su código WELCOME10 se está canjeando más veces de lo previsto, la reacción típica es endurecer las reglas antifraude: bloqueo por tarjeta, por dirección IP, por dirección de envío, por dispositivo. Es un parche. El origen suele estar antes.
El código promocional se emite por email. Se valida por email. Se cuenta como "primera compra" por email. Si en tu base tienes al mismo cliente registrado como maria.garcia@gmail.com, mariagarcia92@gmail.com y maria.g.contacto@yahoo.es, tu sistema los trata como tres personas distintas, cada una con derecho a su bienvenida.
Este no es un caso extremo. Es lo que llamamos duplicados fuzzy: contactos que representan a la misma persona pero con variaciones (mayúsculas, dominios de correo distintos, alias, typos, un separador en el nombre, un año añadido). Un CRM estándar no los detecta porque no son duplicados exactos.
Cómo se abusa un código de descuento en un ecommerce, paso a paso
Imagina una tienda de cosmética natural con 15.000 contactos y un ticket medio de 55€. Cupón de bienvenida del 10% al suscribirse a la newsletter (5,5€ de descuento por pedido). Sin límite explícito por cliente porque el equipo asume que "uno por email" ya es límite suficiente.
Un cliente medianamente hábil hace lo siguiente:
- Se suscribe con su email personal → recibe el 10%.
- A los tres meses vuelve, ve el popup, se suscribe con un alias (
+promoo un dominio secundario) → recibe otro 10%. - Repite el proceso durante el año, dos o tres veces más, especialmente antes de rebajas o de campañas concretas.
No es fraude organizado. Es un patrón oportunista que multiplican los clientes que ya conocen la marca. Lo interesante es que tu base de datos deja huella: los pedidos tienen la misma dirección de envío, el mismo teléfono con un dígito cambiado, un nombre casi idéntico. Pero como cada registro tiene un email diferente, tu Klaviyo, tu Mailchimp o tu Brevo lo cuentan como contactos independientes y tu Shopify o tu WooCommerce no cruzan la información.
Los tres tipos de duplicados que blindan el abuso
En un análisis habitual de una base de 15.000 contactos como la del escenario anterior, es razonable encontrar tres categorías de duplicados que abren la puerta al canje repetido:
- Duplicados exactos con variantes cosméticas.
Maria.Garcia@gmail.comymaria.garcia@gmail.com. Google los trata como el mismo buzón, pero tu ecommerce, no. Todo lo que sea distinto en mayúsculas o en espacios se cuenta como un contacto nuevo. - Duplicados por alias del proveedor.
maria.garcia@gmail.comymaria.garcia+promo@gmail.com. Gmail entrega ambos al mismo destinatario, pero el sistema los almacena como registros independientes. Un cliente atento puede generar decenas de variantes válidas. - Duplicados fuzzy con datos personales cruzados. El nombre es el mismo (o casi), el teléfono tiene un dígito cambiado, la dirección de envío coincide, pero el email es distinto (
maria.g@yahoo.es,mariacontact@outlook.com). Este es el más difícil de detectar sin una herramienta que compare varios campos a la vez.
En una base típica del sector cosmética o moda, cabe esperar entre un 4% y un 8% de contactos que caen en estos tres grupos. Con 15.000 contactos, eso son entre 600 y 1.200 registros que probablemente representen a la mitad de personas reales.
Cuánto dinero se va por códigos duplicados
Volvamos al escenario. 15.000 contactos, ticket medio 55€, cupón de bienvenida del 10% (5,5€ por pedido).
Supongamos que el análisis detecta 900 contactos duplicados que en realidad corresponden a 300 personas con 3 cuentas cada una. Cada una canjeó el cupón de bienvenida tres veces en un año.
El cálculo:
- Canjes indebidos por persona: 2 (uno legítimo, dos extra).
- Descuento indebido por persona y año: 2 × 5,5€ = 11€.
- Personas afectadas: 300.
- Pérdida directa anual en descuentos regalados: 300 × 11€ = 3.300€.
A esto hay que sumar el coste operativo: pedidos duplicados que ocupan slots de preparación, envíos separados en lugar de agrupados, packaging duplicado, tiempo de atención cuando algo va mal. Si estimamos un coste marginal de 4€ por pedido extra generado por el abuso, el impacto adicional en el escenario ilustrativo sería:
- Pedidos extra al año: 300 × 2 = 600.
- Coste operativo extra: 600 × 4€ = 2.400€.
Total del escenario: alrededor de 5.700€ al año. En una tienda de 15.000 contactos con un margen bruto habitual del 40%, esos 5.700€ equivalen a más de 14.000€ de facturación adicional necesaria para compensarlo. Y todo por no cruzar tres campos en el CRM.
Cómo detectar el abuso con una limpieza de base de datos
Antes de cambiar reglas de negocio, conviene medir el tamaño real del problema. La secuencia útil:
- Exporta tu base de contactos desde Shopify, WooCommerce, PrestaShop o tu plataforma de email marketing en CSV.
- Aísla los canjes del cupón de bienvenida en el último año (o los últimos 12 meses de la campaña activa).
- Corre una detección de duplicados que cubra los tres tipos: exactos con normalización de mayúsculas y espacios, alias de proveedor (parte a la izquierda del
+en Gmail), y fuzzy sobre nombre + teléfono + dirección. - Cruza el listado de duplicados con los canjes del cupón. Cualquier persona que aparezca en más de un canje es un dato accionable.
En un ecommerce medio, este ejercicio suele revelar entre el 3% y el 7% de duplicados canjeadores. No siempre es fraude consciente. A veces son parejas que comparten dirección, familias con varios emails, o clientes que se olvidaron de que ya se habían registrado. Da igual: el impacto en el margen es el mismo.
En ClearRows analizamos gratis el CSV completo, sin límite de filas, y devolvemos el desglose por tipo de duplicado (exacto, alias, fuzzy) junto con el detalle por columna. Te permite ver, antes de tocar nada, si el problema justifica el esfuerzo de resolverlo.
Antes de blindar reglas antifraude, limpia
La tentación es meter fricción al usuario: pedir verificación por SMS, forzar login con Google, exigir DNI, prohibir emails de un solo uso. Todo eso funciona en teoría y baja la conversión en la práctica. Cada capa de fricción que añades al proceso de suscripción reduce el ritmo de captación entre un 8% y un 20%, según cómo esté planteada.
La secuencia inversa suele ser más rentable:
- Primero limpias tu base y unificas contactos que ya son de la misma persona.
- Luego cambias las reglas del cupón para que se controle por combinación de campos (email + teléfono + dirección de envío), no solo por email.
- Solo si el abuso sigue después de eso, incorporas verificación adicional en el checkout.
De esa forma no penalizas al cliente nuevo legítimo por errores que arrastras en tu base histórica.
Recap
- Los duplicados fuzzy son los que permiten el abuso de cupones sin que el ecommerce lo vea.
- Un escenario realista con 15.000 contactos puede estar regalando 3.300€/año en descuentos y añadir 2.400€ en coste operativo por pedidos duplicados.
- Antes de endurecer reglas antifraude, conviene medir el tamaño real del duplicado en la base.
- La limpieza es un paso previo, no un sustituto de las reglas de negocio.
Si quieres saber cuántos duplicados fuzzy tiene tu base y qué parte de tus cupones se está canjeando en cuentas de la misma persona, sube tu CSV a ClearRows y en cinco minutos tendrás el desglose completo. Análisis gratuito, sin tarjeta, sin compromiso. Si decides limpiar, la limpieza básica cuesta 67€ (hasta 25.000 registros) y recibes el CSV limpio por email en unos 15 minutos.