Interfaces de SAP: uso prohibido

Quiero dedicar un rato a echar un vistazo a la actualización de la nota de SAP 3255746 —„Uso no permitido de las API de replicación de datos de ODP“—, del 13 de abril de 2026. 

Nota de SAP 3255746

Una mirada retrospectiva nos permite ver los hitos a lo largo de los cuales se ha desarrollado la nota de SAP 3255746 hasta su estado actual: la primera versión de la nota de SAP 3255746 se publicó el 17 de octubre de 2022. En ella se indicaba, entre otras cosas: SAP no admite el uso de módulos RFC de la API de replicación de datos ODP en aplicaciones de clientes o de terceros. Estos módulos funcionales están destinados exclusivamente a aplicaciones internas de SAP. Dado que no están autorizadas ni documentadas, SAP puede modificarlas en cualquier momento sin previo aviso. Las aplicaciones de clientes o socios que utilicen estos módulos funcionales no siguen las recomendaciones de SAP para una arquitectura sostenible y crítica para la empresa. Cualquier problema que surja o sea causado por dichas aplicaciones es responsabilidad del cliente, y SAP no ofrece soporte para las soluciones. Como solución, SAP remitió en octubre de 2022, en esencia, al artículo de ayuda „Extracción de datos basada en ODP a través de OData“.

El 2 de febrero de 2024, SAP modificó el texto de forma significativa. Así, en la versión 4 de la nota de entonces se indicaba lo siguiente: SAP no permite el uso de módulos RFC de la API de replicación de datos de Operational Data Provisioning (ODP) por parte de aplicaciones de clientes o de terceros para acceder a fuentes SAP ABAP (On-Prem o Cloud Private Edition). Estos módulos están destinados exclusivamente a aplicaciones internas de SAP y SAP puede modificarlos en cualquier momento sin previo aviso. La solución propuesta se mantuvo sin cambios en esta actualización. El 13 de abril de 2026 se publicó la versión V10, que posteriormente, el 21 de abril, se modificó ligeramente. En este contexto, SAP anuncia que, con motivo del «Patch Day» del 9 de junio de 2026, bloqueará técnicamente el uso no autorizado de las interfaces. El bloqueo se justifica por los considerables riesgos de seguridad que conlleva. Como solución, la nota indica ahora lo siguiente: los clientes pueden, tal y como se describe en la documentación, evaluar alternativas para la transferencia de datos a aplicaciones de terceros, entre las que se incluyen, entre otras, SAP Business Data Cloud (BDC) u ODP-OData-API (extracción de datos basada en ODP a través de OData). Dado que la fecha límite de redacción para la publicación de este artículo en julio de 2026 era anterior al 9 de junio de 2026, no quiero especular aquí sobre cómo han afectado los parches de seguridad anunciados a las exportaciones de datos de los distintos clientes de SAP.

¿Es esto relevante para el nivel directivo?

Sin embargo, lo que es seguro es que el uso de la API ODP-RFC por parte de aplicaciones de clientes y de terceros —declarado „uso prohibido“ desde febrero de 2024— se ha extendido considerablemente entre los clientes de SAP de todo el mundo. En algunos casos, los informes reglamentarios dependen de la exportación prohibida de datos de SAP a través de dicha interfaz. También los procesos financieros y de gobernanza, así como los informes de resultados de las empresas que cotizan en bolsa, se ven potencialmente afectados por este bloqueo.

Por lo tanto, el anuncio de un bloqueo técnico de la interfaz para aplicaciones no autorizadas, impuesto mediante un parche de seguridad, no es un problema técnico del departamento de TI. Tiene una relevancia directa para los consejos de administración y los órganos de supervisión, que son los responsables de que la empresa presente sus informes de forma adecuada. Al fin y al cabo, es como con el hormigón: todo depende de lo que se haga con él.

Las soluciones propuestas por SAP merecen el reconocimiento que se merecen. Pero, según mi experiencia, las soluciones de SAP nunca son blancas o negras, y no conozco a ningún cliente que, por ejemplo, haya adquirido una licencia de Business Data Cloud para todos sus datos de SAP. En cambio, conozco a algunos clientes para los que los caudales de datos que se pueden alcanzar al utilizar la API ODP-ODATA son, con mucho, insuficientes.

Conclusión: la clave está en la combinación

Mi recomendación para los clientes de SAP es —y esto se ha reforzado aún más desde los anuncios realizados en Sapphire, tanto en Orlando como en Madrid— que el camino hacia el futuro no funcionará para los clientes de SAP sin BDC. Sin embargo, los clientes de SAP no podrán permitirse, ni querrán, utilizar el BDC para todos sus datos de SAP. En concreto, me parece que utilizar el BDC como mera herramienta de exportación de datos de SAP a otros sistemas supone un desperdicio de recursos. A quienes deseen utilizar esos datos de SAP fuera del entorno SAP, para los que el BDC aún no se utiliza ni está previsto que se utilice, se les puede ayudar de forma sólida y económica sin incumplir el principio de «Clean Core». (Fuente: Mehr.Sale)