¿Qué es la tecnología PunchOut? Arquitectura, protocolos y seguridad explicados

Por Laura González y Carlos Morán · Actualizado: septiembre 2026

Seguramente ya sabes qué es PunchOut desde el punto de vista del comprador: un empleado entra en su sistema de compras, salta a la tienda del proveedor, llena el carrito y vuelve con todo listo para aprobar. Pero, ¿qué pasa realmente entre bambalinas? En esta guía explicamos qué es la tecnología PunchOut por dentro: sus componentes, los mensajes que se intercambian, cómo se protege la conexión y qué datos necesita tu catálogo para que todo funcione sin errores.

¿Qué es la tecnología PunchOut?

La tecnología PunchOut es un conjunto de protocolos y conexiones que permite a un sistema de compras (e-procurement o ERP) abrir una sesión autenticada en la tienda online de un proveedor y recibir de vuelta el carrito como datos estructurados. El comprador no descarga catálogos ni copia referencias: el sistema de compras y el ecommerce del proveedor “hablan” entre sí mediante mensajes estandarizados.

Dicho de forma sencilla, PunchOut no es un programa que se instala, sino un acuerdo técnico entre dos sistemas: cómo se identifican, cómo se abre la sesión, cómo se devuelve el carrito y cómo llega después el pedido.

Los 3 componentes de una arquitectura PunchOut

• El sistema de compras del cliente: plataformas como SAP Ariba, Coupa, Jaggaer, Oracle Procurement o SAP ERP. Es quien inicia la sesión y recibe el carrito.
• El ecommerce del proveedor: la tienda B2B donde están los productos, precios y condiciones (por ejemplo, Magento o WooCommerce).
• El conector o capa PunchOut: la pieza que traduce los mensajes del comprador al lenguaje de la tienda y viceversa. Puede desarrollarse a medida, instalarse como módulo o gestionarse como servicio externo.

Tener un conector intermedio es lo que permite que una misma tienda atienda a clientes con plataformas y protocolos distintos sin duplicar el catálogo.

Cómo funciona una sesión PunchOut paso a paso

Aunque cada plataforma tiene sus particularidades, el ciclo técnico de una compra PunchOut sigue casi siempre estas fases:

1. Solicitud de sesión. Cuando el usuario pulsa el catálogo del proveedor, su sistema de compras envía una petición de inicio (en cXML, un PunchOutSetupRequest) con sus credenciales, el identificador del usuario y la dirección a la que debe volver el carrito.
2. Validación y respuesta. El proveedor comprueba las credenciales y devuelve una URL de sesión única (PunchOutSetupResponse). El usuario entra ya identificado, sin login adicional.
3. Navegación con condiciones personalizadas. La tienda reconoce a qué cliente pertenece la sesión y muestra sus precios, su surtido y sus condiciones pactadas.
4. Devolución del carrito. Al pulsar “Transferir carrito”, la tienda envía los productos al sistema de compras (en cXML, un PunchOutOrderMessage; en OCI, campos de formulario hacia la HOOK_URL). Aquí todavía no hay pedido: es una propuesta de compra.
5. Aprobación interna. El carrito pasa por los flujos de aprobación del cliente (presupuesto, centro de coste, responsable).
6. Envío del pedido. Una vez aprobado, el sistema de compras emite la orden de compra al proveedor (por ejemplo, un OrderRequest en cXML, un IDoc, EDI o email, según el caso).

Esta separación entre carrito y pedido es clave: el proveedor no debe tratar el carrito transferido como venta confirmada hasta recibir la orden de compra.

Los protocolos que hacen posible PunchOut

La tecnología PunchOut se apoya principalmente en dos estándares. Si necesitas decidir entre ellos, lo analizamos en detalle en cXML vs OCI; aquí va la visión técnica resumida:

Aspecto	cXML	OCI
Origen	Creado por Ariba a finales de los 90, hoy estándar abierto	Definido por SAP
Formato	Documentos XML	Parámetros de formulario HTML
Inicio de sesión	PunchOutSetupRequest / Response	URL con credenciales y HOOK_URL
Devolución del carrito	PunchOutOrderMessage	Campos NEW_ITEM-… enviados a la HOOK_URL
Pedido posterior	Suele incluirse (OrderRequest)	No lo define: se envía por otra vía (IDoc, EDI, cXML…)
Plataformas habituales	SAP Ariba, Coupa, Jaggaer, Oracle	SAP SRM, SAP ERP/S/4HANA y otros ERP

Seguridad: cómo se protege una conexión PunchOut

Como la sesión da acceso a precios negociados y genera documentos de compra, la seguridad es parte central de la tecnología PunchOut:

• Cifrado HTTPS/TLS en todas las comunicaciones.
• Credenciales por cliente: identificadores de comprador y proveedor más un secreto compartido (shared secret) o usuario y contraseña en OCI.
• Sesiones de un solo uso con caducidad, para que la URL de acceso no pueda reutilizarse.
• Restricciones por IP o certificados cuando el cliente lo exige.
• Identificador de sesión (BuyerCookie) que vincula cada carrito con la sesión que lo originó.

Los datos que necesita tu catálogo para funcionar con PunchOut

Muchos errores de integración no son técnicos, sino de datos. Para que el carrito llegue limpio al sistema del cliente, cada producto debería tener:

• Referencia única del proveedor (SupplierPartID) y, si aplica, referencia auxiliar para variantes.
• Unidad de medida estandarizada (por ejemplo, códigos UN/CEFACT como EA para unidad o BX para caja).
• Código de clasificación, normalmente UNSPSC, que el cliente usa para contabilidad y reporting.
• Precio y moneda correctos para ese cliente concreto.
• Descripción clara y, si el cliente lo pide, plazo de entrega o referencia del fabricante.

Si quieres ordenar esta parte, te ayudará nuestra guía para gestionar y actualizar catálogos PunchOut y el checklist de implementación.

PunchOut frente a otras tecnologías de catálogo

Tecnología	Cómo funciona	Ventaja	Limitación
PunchOut	El comprador navega en la tienda del proveedor en tiempo real	Precios y stock siempre actualizados	Requiere integración técnica
Catálogo estático (CIF/Excel)	El proveedor sube un fichero al sistema de compras	Sencillo de arrancar	Se desactualiza y exige mantenimiento manual
EDI	Intercambio estructurado de pedidos y facturas	Muy robusto para alto volumen	No permite navegar el catálogo
API a medida	Integración directa entre sistemas	Máxima flexibilidad	Desarrollo específico para cada cliente

En la práctica, estas tecnologías no compiten: muchas empresas usan PunchOut para la selección de productos y EDI o cXML para pedidos, avisos de envío y facturas.

Glosario rápido de tecnología PunchOut

• BrowserFormPost / HOOK_URL: dirección del sistema de compras a la que vuelve el carrito.
• Level 1 y Level 2: en Level 1 el usuario entra a la página principal de la tienda; en Level 2 busca en su plataforma y entra directamente a un producto concreto.
• Shared secret: clave compartida entre comprador y proveedor para autenticar la sesión.
• UNSPSC: clasificación estándar internacional de productos y servicios.
• Orden de compra (PO): documento oficial que confirma el pedido tras la aprobación interna.

Preguntas frecuentes sobre la tecnología PunchOut

¿La tecnología PunchOut requiere cambiar mi ecommerce?

No necesariamente. En la mayoría de casos se añade una capa de integración sobre la tienda existente. Lo explicamos en PunchOut en un ecommerce B2B.

¿Es lo mismo PunchOut que cXML?

No. PunchOut es el modelo de compra; cXML y OCI son los protocolos que lo hacen posible técnicamente.

¿Puedo conectar varios clientes con distintas plataformas a la misma tienda?

Sí. Con un conector bien configurado, cada cliente tiene sus credenciales y condiciones, aunque todos compren sobre el mismo catálogo.

¿Cuánto se tarda en poner en marcha la tecnología PunchOut?

Depende del protocolo, la plataforma del cliente y el estado del catálogo. Tienes los plazos habituales en fases y plazos de implementación y una estimación de inversión en cuánto cuesta PunchOut.

¿Quieres saber si tu tienda está lista para PunchOut?

Analizamos tu ecommerce, el sistema de compras de tus clientes y el estado de tu catálogo para decirte qué protocolo necesitas y qué pasos seguir. Sin compromiso.