SAP-Ariba-PunchOut-iFrame-Fehler: Ursachen und Lösung

Die Fehlermeldung, nach der gesucht wird

Typische Meldung

The iframe has not configured - see warning in console

Der Wortlaut hängt von Browser und Einkaufssystem ab: ein leerer Frame, eine Seite „Verbindung abgelehnt“ oder eine Session, die nach dem ersten Klick Login oder Warenkorb verliert. Die Ursache ist fast immer eine der vier folgenden.

Warum der Frame blockiert wird

Auf Ihrem Server beheben

1. Die Browser-Konsole lesen

   Öffnen Sie während einer Test-Session die Entwicklertools und notieren Sie den blockierten Header oder das blockierte Cookie.

2. Die Domain des Kunden in frame-ancestors erlauben

   Fügen Sie Ihrer Content-Security-Policy nur die Domains des Kunden hinzu, niemals *.

3. X-Frame-Options DENY oder SAMEORIGIN entfernen

   Es kann nicht mehrere Domains auflisten; frame-ancestors ersetzt es.

4. Session-Cookies auf SameSite=None; Secure setzen

   Andernfalls verwirft der Browser sie im Frame, und Login und Warenkorb gehen verloren.

5. Eine neue PunchOut-Session testen

   Starten Sie eine neue Session aus dem Testsystem des Kunden und prüfen Sie Login und Warenkorb-Rückgabe.

Beispiel-Header

Content-Security-Policy: frame-ancestors 'self' https://*.ariba.com
Set-Cookie: session=…; Path=/; Secure; HttpOnly; SameSite=None

Prüfen Sie die genauen Domains mit Ihrem Kunden: SAP Ariba, Coupa und andere Systeme nutzen für Test und Produktion unterschiedliche Hosts. Wenden Sie die Änderung nur auf das an, was die PunchOut-Session braucht, und behalten Sie Ihre übrigen Sicherheits-Header bei.

Wenn der Browser die Cookies trotzdem blockiert

Selbst mit den richtigen Attributen können Browser, die Drittanbieter-Cookies standardmäßig blockieren, Ihre Session im Frame verwerfen. Die robusten Lösungen: den Shop in einem neuen Fenster öffnen, wenn das System des Kunden es erlaubt, oder den Shop über einen Proxy auf einer Domain ausliefern, die der Browser für die Session als Erstanbieter behandelt.

Oder das Gateway übernehmen lassen

PunchOut Rocket liefert Ihren Shop über sein Gateway an den Kunden aus, einen Reverse Proxy, der für jede PunchOut-Session die richtigen Frame-Header und Cookie-Attribute setzt. Auf Ihrem Server und in Ihrem Theme ändert sich nichts, und Ihre normalen Kunden behalten ihre heutigen Sicherheitseinstellungen.