{"id":1289,"date":"2026-11-06T18:02:55","date_gmt":"2026-11-06T17:02:55","guid":{"rendered":"https:\/\/remivernier.com\/?p=1289"},"modified":"2026-11-06T21:37:11","modified_gmt":"2026-11-06T20:37:11","slug":"raccourci-sap-gui-portail-logon-ticket-snc-sso","status":"publish","type":"post","link":"https:\/\/remivernier.com\/index.php\/2026\/11\/06\/raccourci-sap-gui-portail-logon-ticket-snc-sso\/","title":{"rendered":"Le raccourci SAP GUI du portail : Logon Ticket, SNC et le SSO vers SAP GUI"},"content":{"rendered":"

Quand nous lan\u00e7ons une transaction SAP depuis le portail d’entreprise, SAP GUI s’ouvre et nous voil\u00e0 connect\u00e9s au backend ABAP sans avoir saisi de mot de passe. Entre le clic dans le navigateur et la session SAP GUI, un petit fichier a transit\u00e9 sur le poste. On le d\u00e9signe parfois par un nom approximatif (\u00ab sap.tx \u00bb, \u00ab tx.sap \u00bb) ; en r\u00e9alit\u00e9, c’est un raccourci SAP GUI<\/strong>, et comprendre ce qu’il contient, c’est comprendre tout le SSO du portail vers SAP GUI.<\/p>\n

Ce raccourci porte deux choses de nature diff\u00e9rente, qu’il ne faut pas confondre : une description de connexion<\/strong> (quel syst\u00e8me, quelle transaction, et \u00e9ventuellement un nom SNC) et, dans le sc\u00e9nario du portail, un SAP Logon Ticket<\/strong> qui sert de preuve d’identit\u00e9. Ce sont aussi, nous le verrons, deux voies de SSO distinctes, pas deux ingr\u00e9dients d’une m\u00eame recette.<\/p>\n

Un raccourci SAP GUI, pas un format \u00e0 part<\/h2>\n

Le fichier g\u00e9n\u00e9r\u00e9 par le portail est un raccourci SAP GUI, c’est-\u00e0-dire un fichier texte au format INI qu’ouvre sapshcut.exe<\/code>. Le navigateur le re\u00e7oit avec le type MIME application\/x-sapshortcut<\/code> et le passe \u00e0 SAP GUI, qui le lit et ouvre la session. C’est le m\u00eame objet que le raccourci qu’on peut cr\u00e9er soi-m\u00eame depuis la barre d’outils de SAP GUI, ou \u00ab manuellement dans un environnement Windows \u00bb, comme le rappelle la documentation SAP (Authentication Security for SAP Shortcuts<\/a>).<\/p>\n

Sa structure tient en quelques sections. Voici un raccourci minimal, tel qu’il se pr\u00e9sente sur le disque :<\/p>\n

[System]\nName=PRD\nClient=100\n\n[User]\nName=jdupont\nLanguage=FR\n\n[Function]\nTitle=Afficher une commande (VA03)\nCommand=*VA03\n\n[Configuration]\nGuiSize=Maximized\n\n[Options]\nReuse=1<\/code><\/pre>\n
La section [System]<\/code> d\u00e9signe le syst\u00e8me (identifiant et mandant), [User]<\/code> l’utilisateur et la langue, [Function]<\/code> la transaction \u00e0 lancer (*VA03<\/code> encha\u00eene directement sur l’\u00e9cran voulu), et [Configuration]<\/code> ou [Options]<\/code> les r\u00e9glages d’affichage. Rien, \u00e0 ce stade, ne porte l’authentification : un raccourci peut tout aussi bien stocker un mot de passe, ce que SAP d\u00e9conseille formellement, nous y reviendrons.<\/p>\n
Le Logon Ticket gliss\u00e9 dans le raccourci<\/h2>\n
Dans le sc\u00e9nario du portail, l’authentification vient d’un SAP Logon Ticket<\/strong>. Le portail et l’AS ABAP partagent ce m\u00e9canisme : le portail \u00e9met un ticket sign\u00e9, et \u00ab le logon ticket est pass\u00e9 au raccourci SAP GUI par une iView du portail \u00bb (Single Sign-On for SAP Shortcuts<\/a>). Concr\u00e8tement, l’iView ajoute au raccourci un param\u00e8tre qui transporte le ticket MYSAPSSO2, sous une forme du type at=\"MYSAPSSO2=<ticket sign\u00e9, en base64>\"<\/code>. Ce param\u00e8tre at<\/code> n’est pas document\u00e9 officiellement : il rel\u00e8ve de la pratique connue de la communaut\u00e9 SAP, pas d’une API publique.<\/p>\n
Le ticket est de tr\u00e8s courte dur\u00e9e. Le portail g\u00e9n\u00e8re pour l’occasion un ticket de r\u00e9entrance, valable de l’ordre de deux minutes : juste le temps d’ouvrir la session. SAP GUI pr\u00e9sente ce ticket \u00e0 l’AS ABAP, qui v\u00e9rifie la signature du portail et ouvre la session si son profil l’accepte (le param\u00e8tre login\/accept_sso2_ticket<\/code> c\u00f4t\u00e9 backend). Le mot de passe de l’utilisateur n’intervient jamais.<\/p>\n
\n\n\nPortail SAP<\/text>\n\u00e9met le ticket<\/text>\nMYSAPSSO2 sign\u00e9<\/text>\n\nRaccourci .sap<\/text>\nat=\u00a0\u00bbMYSAPSSO2=\u2026\u00a0\u00bb<\/text>\n+ syst\u00e8me, transaction<\/text>\n\nSAP GUI<\/text>\nsapshcut.exe<\/text>\npr\u00e9sente le ticket<\/text>\n\nAS ABAP<\/text>\nv\u00e9rifie la signature<\/text>\naccept_sso2_ticket<\/text>\n\n\n\nle ticket de r\u00e9entrance ne vaut qu’une poign\u00e9e de secondes, juste le temps d’ouvrir la session<\/text>\n<\/marker><\/defs>\n<\/svg>
\n<\/figure>\n
Du portail \u00e0 SAP GUI : le ticket sign\u00e9 voyage dans le raccourci, l’AS ABAP en v\u00e9rifie la signature.<\/em><\/p>\n
Pour que cet \u00e9change fonctionne, plusieurs conditions doivent \u00eatre r\u00e9unies, et la documentation SAP les liste sans d\u00e9tour (Single Sign-On for SAP Shortcuts<\/a>) :<\/p>\n