Einen Einkäufer verbinden

Diese Seite erklärt, wie Sie das Einkaufssystem eines Kunden mit Ihrem Shop verbinden: den Einkäufer-Zugang, die Launch-URL und die Rücksprung-Hosts.

Einkäufer-Zugänge

Ein Einkäufer-Zugang enthält die Zugangsdaten, mit denen ein Einkaufssystem einen Punchout in Ihrem Shop startet. Legen Sie für jedes Einkaufssystem einen eigenen Zugang an, im Tab Einkäufer des Shops mit Einkäufer hinzufügen. Einkäufer in der Seitenleiste listet die Zugänge aller Ihrer Shops in einer Tabelle. Ändern können Sie einen Zugang aber nur im Tab seines Shops.

Der Dialog Einkäufer hinzufügen fragt nach:

Feld	Bedeutung
Credential-Domain	Für welche Art von Launch der Zugang gilt. Siehe die Tabelle unten
Kennung	Der Name, den das Einkaufssystem sendet. Bei OCI und IDS Connect der Benutzername
Bezeichnung	Nur für Sie, zum Beispiel der Name des Kunden
Secret	Für mich erzeugen (empfohlen) oder Selbst eingeben, mindestens 16 Zeichen
Shop-Kundenreferenz	Optional. Das Shop-Konto, in das der Auto-Login diesen Einkäufer anmeldet

Protokoll	Credential-Domain	Kennung	Was der Administrator des Einkaufssystems einträgt
OCI	OCI	Ein Benutzername Ihrer Wahl	Den Benutzernamen als USERNAME und das Secret als PASSWORD im Katalogaufruf
cXML	NetworkID, DUNS, AribaNetworkUserId oder Andere …	Die Kennung des Einkäufers in dieser Domain	Die Domain, die Kennung und das Secret als Shared Secret
IDS Connect	IDS	Ein Benutzername Ihrer Wahl	Den Benutzernamen und das Secret in den Feldern Benutzername und Passwort der Handwerkersoftware

Manche Handwerkersoftware fragt nur nach der Kundennummer und nicht nach einem Benutzernamen. Tragen Sie in diesem Fall die Kundennummer als Kennung des IDS-Zugangs ein.

Die OCI-Parameternamen sind standardmäßig USERNAME und PASSWORD. Muss das Einkaufssystem andere Namen verwenden, ändern Sie OCI-Parameter für den Benutzernamen und OCI-Parameter für das Passwort unter Allgemein → Erweiterte Einstellungen.

Kennung und Domain lassen sich nach dem Anlegen nicht ändern. Für andere Werte legen Sie einen neuen Zugang an.

Das Secret wird einmal gezeigt

punchout.dev speichert das Secret nur als Einweg-Hash. Im Klartext erscheint es ein einziges Mal, im Feld „Secret einmalig sichtbar“, direkt nach Zugang anlegen oder Secret erneuern. Kopieren Sie es, setzen Sie das Häkchen bei Ich habe das Secret gespeichert und klicken Sie auf Fertig. Danach kann niemand es wieder anzeigen, auch punchout.dev nicht.

Secret erneuern ersetzt das Secret. Das alte ist ab sofort ungültig, das Einkaufssystem braucht also vor seinem nächsten Punchout das neue. Deaktivieren behält den Zugang, weist aber seine Launches ab. Löschen entfernt ihn.

Verbindungen

Ein aktiver Einkäufer-Zugang ist eine Verbindung. Verbindungen werden über alle Shops Ihrer Organisation gezählt, und Ihr Plan legt fest, wie viele gleichzeitig aktiv sein dürfen.

Aktion	Gegen das Plan-Limit geprüft
Einen Zugang anlegen	Ja
Einen deaktivierten Zugang aktivieren	Ja
Deaktivieren, erneuern, bearbeiten oder löschen	Nein

Würde eine Änderung das Limit überschreiten, weist das Portal sie ab und nennt, wie viele Verbindungen Ihr Plan erlaubt und wie viele schon aktiv sind. Deaktivieren Sie dann einen Zugang, den Sie nicht mehr brauchen, oder lassen Sie in einem bezahlten Plan einen Inhaber unter Einstellungen → Abrechnung zusätzliche Verbindungen buchen. Die Sandbox erlaubt einen aktiven Zugang, damit Sie einen Go-live vorbereiten können, weist seine Launches aber ab, bis die Organisation einen bezahlten Plan hat. Der temporäre Eintrag eines Test-Punchouts zählt nie. Mehr dazu unter Pläne und Sandbox.

Launch-URLs

Der Tab Einbindung listet die Adresse, die das Einkaufssystem aufruft, unter Launch-URLs für das Einkaufssystem:

Protokoll	Launch-URL	Bezeichnung im Tab Einbindung
OCI	https://api.punchout.dev/v1/oci/launch/<shop ID>	OCI-Launch
cXML	https://api.punchout.dev/v1/cxml/setup/<shop ID>	cXML PunchOutSetupRequest
IDS Connect	https://api.punchout.dev/v1/ids/launch/<shop ID>	IDS Connect Roundtrip-URL

Was bei jedem Launch passiert:

• OCI. Das Einkaufssystem öffnet die URL im Browser des Einkäufers mit GET oder POST. POST ist vorzuziehen, weil das Passwort dann nicht in der Adressleiste erscheint. punchout.dev prüft Benutzername und Passwort, bevor sich Ihr Shop öffnet, und leitet den Browser dann auf Ihre Landing-Seite weiter, mit Auto-Login zum Login des Shop-Plugins. Lassen Sie FUNCTION leer. Unterstützt wird nur der klassische Katalogaufruf, jede andere Funktion führt auf eine Fehlerseite.
• cXML. Das Einkaufssystem ruft die URL von seinem Server aus auf, mit Domain, Kennung und Shared Secret. punchout.dev prüft diese Angaben und antwortet mit einer Startseite, die das Einkaufssystem im Browser des Einkäufers öffnet.
• IDS Connect. Die Handwerkersoftware hinterlegt die URL ohne abschließenden Schrägstrich als Roundtrip-URL, zusammen mit Benutzername und Passwort. punchout.dev prüft den Warenkorb-Durchlauf wie einen OCI-Launch. Nicht unterstützt sind das Senden eines Warenkorbs aus der Software in den Shop, das Öffnen eines einzelnen Artikels und die Artikelsuche. Die Software erhält in diesen Fällen eine Fehlermeldung.

Hinweis

OCI funktioniert auch ohne Zugang, wenn das Einkaufssystem die Adresse Ihres Shops direkt als Katalog-URL verwendet. Dieser Weg geht nur mit GET, prüft keinen Benutzernamen und kann den Einkäufer nicht per Auto-Login anmelden. Der OCI-Test-Punchout nutzt ihn. Für echte Einkäufer verwenden Sie die Launch-URL oben.

Erlaubte Rücksprung-Hosts

Am Ende eines Punchouts übergibt der Browser des Einkäufers den Warenkorb an eine Rücksprung-Adresse, die das Einkaufssystem mit dem Launch sendet. Tab Allgemein → Erlaubte Rücksprung-Hosts legt fest, wohin diese Adresse zeigen darf.

Einstellung	Wirkung
Leer	Jeder http- oder https-Host wird akzeptiert
procurement.customer.example	Genau dieser Host
*.customer.example	Jede Subdomain von customer.example, aber nicht customer.example selbst. Tragen Sie die Domain zusätzlich ein, wenn sie auch ein Rücksprung-Host ist

Einträge sind reine Hostnamen, ohne Schema, Port oder Pfad. punchout.dev prüft die Rücksprung-Adresse beim Launch und noch einmal bei der Übergabe. Ein Warenkorb geht also nie an einen Host, der zwischendurch entfernt wurde. Ein Launch, dessen Rücksprung-Adresse nicht auf der Liste steht, wird abgewiesen, und der Shop öffnet sich nicht.

Sobald Ihre Einkäufer feststehen, tragen Sie deren Hosts ein. Aus dieser Liste bildet das Portal auch die Zeile form-action der Content-Security-Policy im Tab Einbindung (Das Tag einbinden). Der Test-Punchout schickt seinen Warenkorb an https://api.punchout.dev und wird wie jedes Einkaufssystem geprüft. Lassen Sie api.punchout.dev auf der Liste, solange Sie ihn nutzen, sonst startet das Portal den Test nicht.

Auto-Login

Mit einem Shop-Plugin oder einem eigenen Login-Endpunkt landet der Einkäufer bereits angemeldet in seinem eigenen Kundenkonto und sieht seine eigenen Preise. Die Shop-Kundenreferenz des Zugangs benennt dieses Konto. Einrichtung und Sicherheitskonzept beschreibt die Seite Auto-Login.

Was Sie dem Administrator des Einkäufers schicken

Protokoll	Schicken Sie
OCI	Die OCI-Launch-URL, den Benutzernamen, das Secret und die Parameternamen, falls Sie sie geändert haben
cXML	Die cXML-Setup-URL, die Credential-Domain, die Kennung und das Secret
IDS Connect	Die Roundtrip-URL, den Benutzernamen (oder die hinterlegte Kundennummer) und das Secret

Schicken Sie das Secret auf einem anderen Weg als den Rest. Fragen Sie den Administrator nach dem Hostnamen seiner Rücksprung-Adresse, damit Sie ihn unter Erlaubte Rücksprung-Hosts eintragen können. Schritt-für-Schritt-Anleitungen für die Seite des Einkäufers finden Sie unter Einkaufssysteme.

Im Plan Sandbox werden echte Launches abgewiesen. Prüfen Sie den Shop mit einem Test-Punchout und wählen Sie dann einen bezahlten Plan, bevor der Einkäufer seinen ersten produktiven Punchout startet.