Fiori 403 Root-Cause Doctor

Deterministic decision-tree diagnosis across HTTP 403 / unauthorized errors (CSRF, session / browser, ICF, Gateway, authorization, UCON, BTP destination, Cloud Connector) with a missing-data report

Inhalt geprüft am 26. September 2026

Engine: FIORI_403_ROOT_CAUSE_DOCTOR
Domäne: Operations
Version: 2.2.0
Ziel-Releases: S4H_2022, S4H_2023, S4HANA_CLOUD_2402, S4HANA_CLOUD_2408
Akzeptierte Formate: JSON, CSV, TEXT

Eingabevertrag

403 diagnostic telemetry: JSON {'http_response': {status_code, method, url, headers, body}, 'su53': [...], 'iwfnd_error_log': [...], 'icf_services': [...], 'ucon_rules': [...], 'cloud_connector_logs': [...], 'btp_destination': {name, url, proxy_type, authentication, check_status}}, a browser network export (HAR JSON {'log': {'entries': [...]}}), an HTTP request/response text dump or SU53 text export, or SICF/SU53 CSV artifacts.

Erforderliche Eingabe

At least one telemetry source (HTTP trace or HAR, SU53, /IWFND/ERROR_LOG, SICF, UCON, BTP destination, Cloud Connector)

HAR exports are read up to 2000 entries; cookie, authorization and other credential header values are never copied into findings or metrics (only cookie names are compared).

Befundcodes

Befundcodes (9)

FIORI_ICF_INACTIVEStandard-Schweregrad: BlockerKategorie: ICF Configuration
ICF-Serviceknoten inaktiv (SICF)
Behebung: Aktivieren Sie den Serviceknoten und seine übergeordneten Knoten in SICF (oder /IWFND/MAINT_SERVICE > ICF-Knoten > Aktivieren).
FIORI_AUTH_OBJECT_MISSINGStandard-Schweregrad: KritischKategorie: Authorization / Security
Berechtigungsprüfung fehlgeschlagen (SU53)
Behebung: Nehmen Sie die fehlenden Werte des Berechtigungsobjekts (z. B. S_SERVICE für den Service-Hash, S_START) in die PFCG-Rolle des Benutzers auf – in der Cloud über den Fiori-Business-Katalog / die IAM-App – und generieren Sie das Profil neu.
FIORI_BTP_DESTINATION_AUTH_FAILEDStandard-Schweregrad: KritischKategorie: Infrastructure / BTP Destination
BTP-Destination vom Backend abgewiesen oder ohne Authentifizierung
Behebung: Korrigieren Sie im BTP-Cockpit die Authentifizierung der Destination (Typ, technischer Benutzer / Zertifikat, Vertrauensstellung für Principal Propagation mit dem Cloud Connector und CERTRULE-Zuordnung), bis „Check Connection“ erfolgreich ist, und wiederholen Sie dann den Aufruf der App.
FIORI_CLOUD_CONNECTOR_DENIEDStandard-Schweregrad: KritischKategorie: Infrastructure / Cloud Connector
Vom SAP Cloud Connector abgelehnt
Behebung: Geben Sie den Ressourcenpfad des Backends in der Zugriffskontrolle des Cloud Connectors frei und korrigieren Sie die Principal Propagation (Vertrauensstellung / CN-Mapping).
FIORI_CSRF_TOKEN_INVALIDStandard-Schweregrad: KritischKategorie: Security / CSRF
CSRF-Token fehlt oder ist bei ändernder Anfrage ungültig
Behebung: Holen Sie mit „X-CSRF-Token: Fetch“ bei einem GET/HEAD ein Token und senden Sie Token und Sitzungs-Cookies mit dem POST/PUT/PATCH/DELETE; prüfen Sie, dass Proxys / Web Dispatcher das Sitzungs-Cookie erhalten.
FIORI_GATEWAY_SERVICE_NOT_ACTIVATEDStandard-Schweregrad: KritischKategorie: Gateway Service Registration
Gateway-Service nicht registriert / kein Systemalias
Behebung: Registrieren und aktivieren Sie den OData-Service in /IWFND/MAINT_SERVICE (V2) oder /IWFND/V4_ADMIN (V4) und ordnen Sie den korrekten Systemalias zu.
FIORI_UCON_DENIEDStandard-Schweregrad: KritischKategorie: Network / UCON
Durch UCON / RFC-Positivliste blockiert
Behebung: Nehmen Sie den Service bzw. RFC-Funktionsbaustein in die Positivliste der UCON-Kommunikationsbaugruppe (UCONCOCKPIT) auf oder überführen Sie ihn korrekt aus der Protokollierungsphase.
FIORI_SESSION_BROWSER_ISSUEStandard-Schweregrad: HochKategorie: Session / Browser
Sitzung abgelaufen oder Browser hat das Sitzungs-Cookie nicht gesendet
Behebung: Laden Sie das Launchpad neu, um die Anmeldesitzung wiederherzustellen; wird das SAP-Sitzungs- bzw. SSO-Cookie weiterhin nicht gesendet, vereinheitlichen Sie die Hostnamen (Web Dispatcher / Approuter / Backend), erlauben Sie das Cookie im Browser (Drittanbieter-Cookies sowie SameSite=None; Secure) und prüfen Sie das Sitzungs-Timeout.
FIORI_403_INSUFFICIENT_TELEMETRYStandard-Schweregrad: GeringKategorie: Diagnostic Telemetry Gap
Ursache aus der gelieferten Telemetrie nicht bestimmbar
Behebung: Erfassen Sie für die fehlschlagende Anfrage einen SU53-Trace, den Eintrag in /IWFND/ERROR_LOG und den SICF-Status und starten Sie die Analyse erneut; die gelieferten Daten lassen keine Ursache erkennen.

Codes der Eingabeprüfung (5)

FIORI_403_ARCHIVE_REJECTEDStandard-Schweregrad: HochKategorie: INPUT_VALIDATION
Archiv durch Sicherheitsgrenzen der Datenaufnahme abgewiesen
Behebung: Das Archiv hat das Expansionsverhältnis von 100:1, die Gesamtgröße von 500 MB, die Eintragsanzahl oder die Verschachtelungstiefe von 2 Ebenen überschritten oder enthielt Pfadtraversierung bzw. verschlüsselte Einträge. Laden Sie ein flaches, unverschlüsseltes Archiv der Exportdateien hoch. Es wurde kein Ergebnis erzeugt. Exportieren Sie das Artefakt erneut in einem der von Fiori 403 Root-Cause Doctor akzeptierten Formate (JSON, CSV, TEXT) und starten Sie die Analyse erneut.
FIORI_403_INVALID_INPUTStandard-Schweregrad: HochKategorie: INPUT_VALIDATION
Artefakt entspricht nicht dem Eingabevertrag der Engine
Behebung: Liefern Sie den für diese Engine dokumentierten Artefakttyp; fremde oder strukturell ungültige Dokumente werden abgewiesen. Es wurde kein Ergebnis erzeugt. Exportieren Sie das Artefakt erneut in einem der von Fiori 403 Root-Cause Doctor akzeptierten Formate (JSON, CSV, TEXT) und starten Sie die Analyse erneut.
FIORI_403_PARSE_ERRORStandard-Schweregrad: HochKategorie: INPUT_VALIDATION
Artefakt konnte nicht geparst werden
Behebung: Beheben Sie den Syntaxfehler an der gemeldeten Zeile/Spalte (oder exportieren Sie die Datei unverändert erneut aus SAP). Es wurde kein Ergebnis erzeugt. Exportieren Sie das Artefakt erneut in einem der von Fiori 403 Root-Cause Doctor akzeptierten Formate (JSON, CSV, TEXT) und starten Sie die Analyse erneut.
FIORI_403_PAYLOAD_TOO_LARGEStandard-Schweregrad: HochKategorie: INPUT_VALIDATION
Artefakt überschreitet die Größenbegrenzung
Behebung: Teilen Sie den Export auf (z. B. nach Paket, Buchungskreis oder Zeitraum), sodass jeder Upload unter der Nutzlastgrenze des Dienstes bleibt. Es wurde kein Ergebnis erzeugt. Exportieren Sie das Artefakt erneut in einem der von Fiori 403 Root-Cause Doctor akzeptierten Formate (JSON, CSV, TEXT) und starten Sie die Analyse erneut.
FIORI_403_INSUFFICIENT_INPUTStandard-Schweregrad: InfoKategorie: INPUT_VALIDATION
Erforderliche Eingabe fehlt
Behebung: Liefern Sie alle Eingaben, die der Engine-Vertrag als erforderlich kennzeichnet (siehe Eintrag im Engine-Katalog). Es wurde kein Ergebnis erzeugt. Exportieren Sie das Artefakt erneut in einem der von Fiori 403 Root-Cause Doctor akzeptierten Formate (JSON, CSV, TEXT) und starten Sie die Analyse erneut.

Zurück zur Dokumentation