SAP bloque l'ODP-RFC : quels flux de données doivent migrer d'ici le 31 décembre

Depuis le SAP Security Patch Day du 9 juin 2026, SAP bloque les appels à l'interface ODP via RFC lorsqu'ils proviennent d'outils tiers ou de programmes propres à l'entreprise. Les entreprises concernées peuvent suspendre temporairement ce blocage, mais selon SAP, uniquement jusqu’au 31 décembre 2026. Passé cette date, les canaux de données qui récupèrent des données SAP par ce biais pour les transférer vers un entrepôt de données, une plateforme d’analyse ou un développement interne ne fourniront plus aucune donnée. Cela concerne les responsables informatiques et les responsables des plateformes de données dans les entreprises industrielles et commerciales utilisant SAP ECC ou S/4HANA dans leur propre centre de données ou dans un cloud privé, qu’il s’agisse d’un constructeur d’installations produisant des rapports de contrôle de gestion ou d’un détaillant effectuant des analyses quotidiennes des ventes.

Ce que SAP a modifié

Le 27 avril 2026, SAP a publié une nouvelle API Policy, actuellement en version v.4.2026a. Selon ce texte, seules les interfaces répertoriées dans le SAP Business Accelerator Hub ou dans la documentation produit sont considérées comme publiées, et elles ne peuvent être utilisées qu'aux fins qui y sont décrites. En dehors des architectures prévues par SAP, la section 2.2.2 interdit deux usages : la connexion de systèmes d'IA (semi-)autonomes ou génératifs qui planifient eux-mêmes des appels d'API, et l'extraction systématique ou à grande échelle de données (SAP API Policy, situation au 23 octobre 2026).

Concrètement, cela concerne jusqu'à présent une interface. La note SAP 3255746 précise que les modules RFC de l'API ODP Data Replication ne sont pas autorisés pour les applications client et tierces sur les systèmes ABAP hébergés dans le centre de données de l'entreprise et dans l'édition Private Cloud. Depuis le 9 juin, un correctif de sécurité bloque techniquement ces appels. Grâce à l’autotest décrit dans la note SAP 3439624, les entreprises peuvent vérifier si elles sont concernées. Les entreprises concernées peuvent suspendre l’application du correctif jusqu’au 31 décembre 2026 et procéder à la migration pendant cette période. SAP indique que l’ODP-RFC est à ce jour la seule interface expressément bloquée et annonce qu’elle en signalera d’autres via des contrôles ATC (SAP, API Policy Overview pour les groupes d'utilisateurs, 05/2026). Selon SAP, l'ODP via OData reste autorisé ; aucune restriction n'est prévue pour l'instant (ASUG, compte-rendu du webinaire SAP, 07/2026).

Microsoft confirme que le connecteur SAP CDC dans Azure Data Factory est concerné par ce blocage et propose des alternatives dans Microsoft Fabric (Microsoft Learn, 05/2026). Le 29 avril, la DSAG a dénoncé un manque de transparence et réclamé des délais de transition plus longs (DSAG, 04/2026). À ce jour, SAP n'a pas annoncé de prolongation au-delà du 31 décembre.

Ce que cela signifie pour votre entreprise

ODP-RFC se trouve rarement là où on s'y attend. Il est souvent exécuté sous un Cloud Connector, un outil ETL ou un script que quelqu'un a écrit il y a des années pour un portail client. Tant que les rapports sont corrects, personne ne se pose de questions sur ce qui se cache derrière.

Un exemple issu du secteur de la construction d'installations : SAP ECC 6.0, un entrepôt de données sur Azure, alimenté via le connecteur SAP CDC par 45 sources ODP issues d'extracteurs et de vues CDS. À cela s'ajoute un programme dédié qui récupère les statuts des commandes pour le portail de services. Pour chaque source, nous estimons environ deux jours-personne : activer le service OData, réinitialiser le delta, harmoniser les formats de date et de clé avec les processus de chargement en aval, comparer le nombre d’enregistrements et les totaux avec l’ancienne méthode. Avec 46 sources, cela représente environ 90 jours-personne. Une équipe de trois personnes aura donc besoin d’environ six semaines. Si l’on part de fin octobre, il ne reste pratiquement plus de marge de manœuvre pour le mois de décembre, durant lequel de nombreuses entreprises n’autorisent aucune modification des flux de données financières en raison de la clôture de l’exercice.

Nous vous recommandons de ne pas prévoir de prolongation. Commencez par adapter les sources qui alimentent les comptes annuels, les rapports mensuels et les processus opérationnels, puis fixez une date au cours du premier trimestre pour le reste.

Vos options : efforts, coûts et risques

Selon SAP, il reste autorisé de disposer de vues CDS et de services OData propres dans l'espace de noms du client. En revanche, il n'est pas autorisé de créer une « enveloppe » propre autour des modules ODP bloqués. La politique interdit expressément de contourner ses contrôles via du code propre, des proxys ou des passerelles.

Quelle méthode pour quel cas ?

Avec quelques dizaines de sources et un entrepôt de données existant, ODP via OData est la voie la plus courte, car les sources, les deltas et le modèle cible sont conservés. Le goulot d'étranglement est le débit pour les gros volumes de données de mouvement, comme les documents article ou les tickets de caisse.

Les entreprises qui orientent de toute façon leur stratégie de données vers SAP Datasphere ou SAP Business Data Cloud peuvent profiter de l'échéance pour migrer. Selon nous, changer de plateforme uniquement à cause du blocage en vaut rarement la peine, car les coûts de licence dépassent alors généralement l'effort de migration vers OData.

Les programmes internes qui récupèrent des données SAP pour des portails, des salles de contrôle ou des systèmes MES doivent s'appuyer sur des services OData publiés ou des vues CDS. Les agents d'IA ayant accès à SAP constituent un sujet à part. Selon la policy, ils passent par le MCP Gateway de la SAP Integration Suite ou par des serveurs MCP propres à l'entreprise, dont la sécurité relève alors de sa seule responsabilité.

Foire aux questions

Les BAPI et les modules RFC personnalisés sont-ils également concernés ?

En l'état actuel, non. Selon SAP, les BAPI publiées utilisées pour leur usage documenté et les modules propres dans l'espace de noms client restent autorisés. Ils ne doivent toutefois pas servir à contourner la policy, par exemple pour des extractions en masse. SAP annonce qu'il signalera d'autres interfaces via des contrôles ATC.

Cette restriction s'applique-t-elle également à SAP S/4HANA Cloud Public Edition ?

La note SAP 3255746 concerne les systèmes ABAP hébergés dans votre propre centre de données et dans la Private Cloud Edition, c'est-à-dire SAP ECC, S/4HANA et SAP BW en tant que sources de données. Pour la Public Edition, ce sont les règles générales de la politique relative aux API qui s'appliquent.

OData est-il suffisant pour traiter de grands volumes de données ?

Pour la plupart des flux de reporting, oui, à condition d'ajuster les intervalles de chargement et la taille des paquets. Pour les très grandes tables avec de nombreuses modifications par jour, mesurez le débit avec des volumes réels avant la migration.

La prochaine étape

torck développe et exploite des interfaces entre SAP et des logiciels spécifiques destinés à l'industrie et au commerce, allant du transfert de données vers l'entrepôt de données à la connexion avec les systèmes MES et les portails clients. Pour en savoir plus, rendez-vous sur la page Développement de logiciels sur mesure. Pour approfondir, consultez Intégration ERP : connecter SAP et Dynamics à des logiciels personnalisés, Éviter la dépendance vis-à-vis d'un fournisseur et Moderniser ou remplacer les logiciels hérités ? Prendre rendez-vous pour un premier entretien.

Cet article présente les directives des éditeurs et les notes SAP permettant de contextualiser les décisions techniques. Il ne constitue pas un conseil juridique. Pour savoir si votre utilisation est autorisée au titre de votre contrat SAP, veuillez vous renseigner auprès de votre service de gestion des licences, de votre service juridique ou d'un cabinet d'avocats.