Externe Verbindungen freigeben und autorisieren?
Fragestellungen:
- Warum werden Versandkostenabfragen, Bestandsprüfungen oder Live-Preisfeeds nicht geladen?
- Wie behebe ich ein externes Hintergrundtool oder einen Live-Datenstrom, der in einer Ladeschleife hängen bleibt?
- Wie kann ich einer externen Website oder Anwendung sicher erlauben, auf meinen Shop zuzugreifen und Daten abzurufen?
Beschreibung:
Was Ihnen auffällt: Eine Funktion, die im Hintergrund mit dem Dienst eines anderen Unternehmens kommuniziert, funktioniert nicht – zum Beispiel eine Versandkostenabfrage, eine Lagerbestandsprüfung, ein Live-Preis-Feed, ein Suchfeld mit automatischer Vervollständigung oder ein Tool, das Live-Updates bereitstellt. Oft wird nichts angezeigt, oder der Ladekreis „Laden“ bleibt endlos stehen.
Warum das passiert:
Ihr Shop kontrolliert nun aus Sicherheitsgründen zwei Dinge:
- Wohin Ihr Shop Anfragen senden darf (damit eingeschleuster Code nicht unbemerkt an den Server eines Kriminellen sendet) und
- Wer von außen auf Ihren Shop zugreifen darf (damit andere Websites nicht einfach auf Ihre Daten zugreifen können).
Wenn ein echter externer Dienst nicht auf der Liste der vertrauenswürdigen Dienste steht, wird die Verbindung blockiert. Dies muss nur einmal genehmigt werden.
Vorgehen:
Zwei Fälle, die zu berücksichtigen sindEs gibt zwei leicht unterschiedliche Fälle. Wenn Sie sich nicht sicher sind, welcher davon zutrifft, ist das kein Problem – leiten Sie diesen Artikel einfach an Ihre Webagentur oder unseren Support weiter, die anhand Ihres Browsers im Handumdrehen feststellen können, welcher Fall vorliegt.
Fall A – Ihr Shop muss auf einen externen Dienst zugreifen
Am häufigsten (z. B. einen Versandkostenrechner oder einen Live-Feed, den Sie hinzugefügt haben).
-
Navigieren Sie zu den Inhaltssicherheitsrichtlinien
Gehen Sie zu Systemkonfiguration → Sicherheitskonfiguration → Richtlinien zur Inhaltssicherheit.
-
Fügen Sie die Webadresse des Dienstes in das Feld „connect src“ ein. z. B. www://api.shipping-company.com
- Speichern und neu laden.
Fall B – eine andere Website muss auf Ihren Shop verweisen
Seltener (z. B. wenn ein Partnersystem oder Ihre eigene separate App Daten aus Ihrem Shop abruft).
-
Navigieren Sie zu „Zugriffskontrollrichtlinien“.
Gehen Sie zu Systemkonfiguration → Sicherheitskonfiguration → Zugriffssteuerungsrichtlinien.
-
Fügen Sie die Adresse der aufrufenden Website in das Feld „Allow origin“ ein. Z. B. www://partner.example.com.
-
Konfigurieren Sie bei Bedarf zusätzliche Entwicklerberechtigungen unter „Methoden zulassen“ oder „Anmeldedaten zulassen“
- Speichern und neu laden.
Tips und Tricks:
Profi-Tipps:
-
Wenn Sie sich nicht sicher sind, ob Ihr Verbindungsproblem unter Fall A oder Fall B fällt, bitten Sie Ihre Webagentur oder Ihren Support, die Registerkarte „Netzwerk“ Ihres Browsers zu überprüfen.
-
Geben Sie beim Hinzufügen vertrauenswürdiger Adressen zu Ihren Richtlinienlisten stets das vollständige und exakte URL-Format (einschließlich des Präfixes „https://“) an.
Warnungen:
-
Öffnen Sie den Zugriff nicht für jedermann, um eine Funktion zum Laufen zu bringen, da die vollständige Aufhebung von Einschränkungen die integrierten Sicherheitsvorkehrungen Ihres Shops untergräbt.
-
Genehmigen Sie nur bestimmte, anerkannte Dienste oder Partner, die Sie aktiv für Ihren täglichen Geschäftsbetrieb nutzen.
Hinweis für Ihre Agentur: Fall A ist eine CSP-„connect-src“-Sperre (verwenden Sie für WebSockets auch die Herkunft „wss://“ oder „SecurityUtil::registerDynamicConnectEndpoint(„host“)“). Fall B ist ein CORS-Problem – die Instanz berücksichtigt „Access-Control-Allow-Origin“ nur für fest codierte Ursprünge, eigene Domains oder die „Allow“-Ursprungs-Whitelist; Methoden und Anmeldedaten werden unter den Zugriffskontrollrichtlinien konfiguriert.