Erreur d’iframe PunchOut SAP Ariba : causes et solution

L’erreur recherchée par les utilisateurs

Message habituel

The iframe has not configured - see warning in console

Le libellé varie selon le navigateur et le système du client : une frame vide, une page « connexion refusée » ou une session qui perd la connexion ou le panier après le premier clic. La cause est presque toujours l’une des quatre suivantes.

Pourquoi la frame est bloquée

Corriger sur votre serveur

1. Lire la console du navigateur

   Ouvrez les outils de développement pendant une session de test et notez l’en-tête ou le cookie bloqué.

2. Autoriser le domaine du client dans frame-ancestors

   Ajoutez uniquement les domaines du client à votre Content-Security-Policy, jamais *.

3. Supprimer X-Frame-Options DENY ou SAMEORIGIN

   Il ne permet pas d’énumérer plusieurs domaines ; frame-ancestors le remplace.

4. Définir les cookies de session sur SameSite=None; Secure

   Sinon, le navigateur les rejette dans la frame et la connexion et le panier sont perdus.

5. Tester une nouvelle session PunchOut

   Démarrez une nouvelle session depuis le système de test du client et vérifiez la connexion et le retour du panier.

Exemples d’en-têtes

Content-Security-Policy: frame-ancestors 'self' https://*.ariba.com
Set-Cookie: session=…; Path=/; Secure; HttpOnly; SameSite=None

Confirmez les domaines exacts avec votre client : SAP Ariba, Coupa et les autres systèmes utilisent des hôtes distincts pour le test et la production. Appliquez la modification uniquement à ce qui est nécessaire à la session PunchOut et conservez vos autres en-têtes de sécurité.

Quand le navigateur bloque encore les cookies

Même avec les bons attributs, les navigateurs qui bloquent les cookies tiers par défaut peuvent encore rejeter votre session dans une frame. Les solutions robustes consistent à ouvrir la boutique dans une nouvelle fenêtre lorsque le système du client le permet, ou à la servir via un proxy sur un domaine que le navigateur considère comme propriétaire pour la session.

Ou laisser la passerelle s’en charger

PunchOut Rocket présente votre boutique au client via sa passerelle, un reverse proxy qui définit les bons en-têtes de frame et attributs de cookies pour chaque session PunchOut. Rien ne change sur votre serveur ou votre thème, et vos clients habituels conservent leurs paramètres de sécurité actuels.