Errore iframe PunchOut SAP Ariba: cause e soluzione

L’errore che le persone cercano

Messaggio tipico

The iframe has not configured - see warning in console

Il testo varia in base al browser e al sistema del cliente: un frame vuoto, una pagina con “connessione rifiutata” o una sessione che perde l’accesso o il carrello dopo il primo clic. La causa è quasi sempre una delle quattro seguenti.

Perché il frame viene bloccato

Correzione sul tuo server

1. Leggi la console del browser

   Apri gli strumenti per sviluppatori durante una sessione di test e annota l’header o il cookie bloccato.

2. Autorizza il dominio del cliente in frame-ancestors

   Aggiungi alla tua Content-Security-Policy solo i domini del cliente, mai *.

3. Rimuovi X-Frame-Options DENY o SAMEORIGIN

   Non può elencare più domini; frame-ancestors lo sostituisce.

4. Imposta i cookie di sessione su SameSite=None; Secure

   Altrimenti il browser li scarta nel frame e accesso e carrello vanno persi.

5. Verifica una nuova sessione PunchOut

   Avvia una nuova sessione dal sistema di test del cliente e verifica accesso e ritorno del carrello.

Esempi di header

Content-Security-Policy: frame-ancestors 'self' https://*.ariba.com
Set-Cookie: session=…; Path=/; Secure; HttpOnly; SameSite=None

Verifica i domini esatti con il cliente: SAP Ariba, Coupa e altri sistemi usano host diversi per test e produzione. Applica la modifica solo a ciò che serve alla sessione PunchOut e mantieni gli altri header di sicurezza.

Quando il browser blocca ancora i cookie

Anche con gli attributi corretti, i browser che bloccano per impostazione predefinita i cookie di terze parti possono scartare la sessione nel frame. Le soluzioni più solide sono aprire l’e-commerce in una nuova finestra, quando il sistema del cliente lo consente, oppure servirlo tramite un proxy su un dominio che il browser considera di prima parte per la sessione.

Oppure lascia che se ne occupi il gateway

PunchOut Rocket presenta il tuo e-commerce al cliente tramite il proprio gateway, un reverse proxy che imposta gli header dei frame e gli attributi dei cookie corretti per ogni sessione PunchOut. Non cambia nulla sul tuo server o tema e i clienti normali mantengono le impostazioni di sicurezza attuali.