Headless WooCommerce in Spanien: Zahlungsanbieter (Bizum, Redsys) und nationale Logistik
Der spanische E-Commerce ist technisch weit ausgereift. 2026 bewerten Käufer nicht mehr nur Produkt und Preis: Sie erwarten ein sofortiges, sicheres Einkaufserlebnis, das auf lokale Zahlungs- und Versandarten zugeschnitten ist. Monolithische Shopsysteme, bei denen der Server HTML und CSS bei jedem Klick in Echtzeit erzeugt, schaffen kaum die Antwortzeiten, die mobile Nutzer von einem modernen Shop erwarten.
Als Antwort auf diesen Bedarf an Leistung und Flexibilität hat sich Headless WooCommerce in Spanien als passende Wahl für mittlere und große Handelsmarken etabliert. Dieser Artikel zeigt, wo Headless WooCommerce in Spanien heute steht, wie Sie die dominierenden Zahlungsanbieter (Redsys und Bizum) erfolgreich integrieren und was nötig ist, um Rechnungsstellung und Logistik für Festland und Inseln aufeinander abzustimmen.
Vorteile von Headless WooCommerce für Shops in Spanien
Das Headless-Modell trennt Admin-Bereich und Datenbank von WordPress (das Backend) von der öffentlichen Oberfläche, mit der Kunden interagieren (das Frontend). MySQL-Datenbank und WooCommerce-Geschäftslogik laufen auf einem optimierten privaten Server, während das öffentliche Schaufenster des Shops mit modernen statischen Generatoren wie Astro oder Next.js gebaut und über globale Edge-Netzwerke (CDNs) ausgeliefert wird.
Geschwindigkeit von Headless WooCommerce auf Mobilgeräten in Spanien
Spanien gehört zu den EU-Ländern, in denen besonders viel online über Mobilgeräte eingekauft wird. Der mobile Anteil liegt in Shops für Mode und Konsumgüter häufig über 70% aller Besuche. Eine langsame Website auf einem Smartphone mit 4G-Verbindung oder schwachem Empfang führt direkt zu Kaufabbrüchen im Checkout.
Mit einem statischen Frontend auf Basis von Astro sinkt das Seitengewicht deutlich. Bilder werden automatisch ins AVIF-Format optimiert, und interaktives JavaScript beschränkt sich auf dynamische Elemente (etwa den Warenkorb-Button). So lässt sich die Time to First Byte (TTFB) in Spanien auf unter 20ms senken und ein PageSpeed-Wert von 100/100 erreichen.
Sicherheit von Headless WooCommerce im Hinblick auf NIS2
Durch die Entkopplung des statischen Frontends von der WordPress-Installation bleiben der Admin-Bereich (/wp-admin/) und die MySQL-Abfragen vor der Öffentlichkeit verborgen. Verwundbare Backend-Plugins sind im Frontend nicht mehr exponiert, was die Angriffsfläche verkleinert, ein nützliches Argument für Unternehmen, die unter die NIS2-Richtlinie zur Cybersicherheit fallen (Richtlinie (EU) 2022/2555).
So integrieren Sie Redsys und Bizum in Headless WooCommerce
Jeder Onlineshop, der in Spanien erfolgreich sein will, muss Kartenzahlungen über Redsys unterstützen und schnelle Zahlungen per Bizum ermöglichen. Bizum ist auf dem Smartphone bequem, weil der Kunde nur seine Telefonnummer eingibt und die Zahlung in einer Benachrichtigung seiner Banking-App bestätigt (Bizum, Online-Einkauf).
Warum Redsys-Benachrichtigungen bei Headless WooCommerce scheitern
In einer klassischen WooCommerce-Installation leitet das offizielle Redsys-Plugin den Nutzer transparent zum virtuellen Zahlungsterminal der Bank (TPVV) weiter und verarbeitet die Zahlungsbestätigung über eine POST-Anfrage, die der Redsys-Server im Hintergrund an WordPress sendet (die Online-Benachrichtigung bzw. der Callback-Webhook).
In einer Headless-Architektur bringt dieser Ablauf zwei technische Herausforderungen mit sich:
- Weiterleitung und Rückkehr: Der Nutzer muss vom statischen Frontend (z. B.
tienda.com) zum Redsys-TPVV weitergeleitet und nach der Zahlung auf eine Bestätigungsseite im Frontend (tienda.com/pago-confirmado/) zurückgeführt werden, nicht auf die interne WordPress-URL (backend.tienda.com). - Cloudflare-Firewall und blockierte Callbacks: Ist die Backend-Subdomain von WordPress durch Cloudflare WAF geschützt (gängige Praxis gegen Brute-Force-Angriffe), kann die Firewall die Hintergrundbenachrichtigung der Redsys-Server abfangen und als unerwünschten automatisierten Traffic einstufen. Die Folge: Die Bank des Kunden bucht ab, aber der Bestellstatus in WooCommerce bleibt auf “Zahlung ausstehend”, und die Bestätigungsmail wird nie verschickt.
sequenceDiagram
participant Cliente as Browser des Kunden
participant Front as Astro-Frontend (tienda.com)
participant Back as WordPress-Backend (wp.tienda.com)
participant Redsys as Redsys- / Bizum-Server
Cliente->>Front: Startet Zahlung
Front->>Back: Legt Bestellung per REST API an
Back-->>Front: Liefert Redsys-Signatur und Daten
Front->>Redsys: Leitet zum TPVV weiter
Cliente->>Redsys: Gibt Zahlung frei (Bizum/Karte)
Redsys-->>Back: Sendet Online-Benachrichtigung (POST-Callback)
Note over Back: Achtung! Cloudflare WAF kann den Redsys-POST blockieren
Redsys->>Cliente: Rückleitung nach erfolgreicher Zahlung
Cliente->>Front: Landet auf /pago-confirmado/
Front->>Back: Fragt Bestellstatus abSo verhindern Sie, dass Cloudflare Redsys-Callbacks blockiert
Damit Zahlungsbenachrichtigungen in entkoppelten Architekturen in Spanien nicht blockiert werden, setzen Agenturen vor allem auf zwei Strategien:
- WAF-Ausnahmeregeln: Gezielte Regeln in der Cloudflare-Firewall lassen HTTP-POST-Anfragen aus den offiziellen Redsys-Subnetzen zu, die ausschließlich an den Callback-Endpunkt von WooCommerce gerichtet sind.
- Router auf Cloudflare Workers: Eine schlanke Serverless-Funktion (Worker) auf Netzwerkebene fängt die Redsys-Benachrichtigungen auf einer öffentlichen Subdomain ab, prüft die HMAC-Signatur lokal mit dem in
Ds_SignatureVersiongenannten Algorithmus und schickt den Befehl zur Bestellaktualisierung intern und authentifiziert direkt an die WooCommerce REST API.
// Ejemplo conceptual de validación de firma criptográfica de Redsys en un Worker
export default {
async fetch(request, env) {
if (request.method !== "POST") {
return new Response("Método no permitido", { status: 405 });
}
const formData = await request.formData();
const ds_signature = formData.get("Ds_Signature");
const ds_merchantParameters = formData.get("Ds_MerchantParameters");
// Validar la firma HMAC con el algoritmo de Ds_SignatureVersion (HMAC_SHA512_V2 en la documentación actual de Redsys)
const isValid = await checkRedsysSignature(ds_merchantParameters, ds_signature, env.REDSYS_KEY);
if (!isValid) {
return new Response("Firma no válida", { status: 400 });
}
// Comunicar confirmación de pago al backend de WooCommerce de forma segura
const response = await fetch(`${env.WP_API_URL}/wp-json/wppoland/v1/update-order-status`, {
method: "POST",
headers: {
"Content-Type": "application/json",
"Authorization": `Bearer ${env.WP_API_TOKEN}`
},
body: JSON.stringify({ parameters: ds_merchantParameters })
});
return new Response("OK", { status: 200 });
}
};So aktivieren Sie Bizum im virtuellen Redsys-Terminal
Bizum wird nicht bei Redsys beauftragt, sondern bei der Bank des Händlers. Die Bizum-Seite für Onlineshops fasst den Ablauf in drei Schritten zusammen: mit der Bank die Konditionen klären und den Dienst beauftragen, Bizum in das Zahlungsgateway integrieren und den Button im Shop platzieren (Bizum, método de pago online). Dieselbe Seite weist darauf hin, dass immer zuerst eine Vereinbarung mit einer Bizum-Bank nötig ist, auch wenn der Shop ein Modul oder Plugin eines bereits zertifizierten Bank-Gateways verwendet.
Im virtuellen Redsys-Terminal ist die technische Änderung klein. Der Leitfaden der Bank Cajamar, die dieses Terminal anbietet, nennt nach Vertragsabschluss für Terminal und Bizum-Dienst bis zu 48 Stunden Wartezeit für Synchronisierung und Aktivierung. Das Zahlungsformular geht an https://sis.redsys.es/sis/realizarPago, mit dem Wert z im Feld DS_MERCHANT_PAYMETHODS (Cajamar, Configura Bizum en tu TPV virtual). Andere Banken können andere Fristen haben. In einer Headless-Architektur fügt das WordPress-Backend dieses Feld den signierten Parametern hinzu, und das Frontend rendert nur den Button und das Weiterleitungsformular. Ab dann übernimmt das Terminal die Autorisierung.
Für den Kunden ist der Ablauf kurz. Laut Bizum gibt er die mit Bizum verknüpfte Telefonnummer ein, erhält eine Benachrichtigung seiner Banking-App, prüft sie und bestätigt die Zahlung und kehrt dann zur Website des Händlers zurück, um den Kauf abzuschließen (Bizum, compra online). Diese Rückkehr beweist die Zahlung nicht: Die Seite /zahlung-bestaetigt/ im Frontend muss den Bestellstatus aus WooCommerce lesen, und der ändert sich erst, wenn die Redsys-Benachrichtigung eingetroffen ist. Bizum unterstützt außerdem wiederkehrende Zahlungen und Abonnements, die der Kunde beim ersten Mal mit seiner Telefonnummer bestätigt.
So prüfen Sie die Signatur einer Redsys-Benachrichtigung
Die aktuelle Redsys-Dokumentation für Entwickler beschreibt die Signatur mit Ds_SignatureVersion gleich HMAC_SHA512_V2 (Redsys, Firmar una operación). Der geheime Schlüssel des Händlers wird pro Bestellung per AES-CBC-Verschlüsselung mit einem Initialisierungsvektor aus Nullen diversifiziert, mit diesem Schlüssel wird ein HMAC SHA-512 berechnet, und das Ergebnis wird in Base64URL kodiert. Um eine Online-Benachrichtigung zu prüfen, nennt Redsys diese Schritte:
- Die empfangenen Base64-Parameter dekodieren und die Bestellnummer
Ds_Orderauslesen. - Den diversifizierten Schlüssel mit dieser Bestellnummer berechnen.
- Den HMAC SHA-512 über den Base64-Parameter genau so berechnen, wie er angekommen ist, ohne ihn zu dekodieren.
- Das Ergebnis in Base64URL kodieren und mit
Ds_Signaturevergleichen. Nur bei Übereinstimmung wird die Nachricht verarbeitet.
Signiert der Worker das bereits dekodierte JSON, stimmt die berechnete Signatur nicht mit Ds_Signature überein, auch wenn die Benachrichtigung echt ist. Viele bestehende Bibliotheken und Plugins arbeiten noch mit der Vorgängerversion HMAC_SHA256_V1. Der Worker sollte deshalb die Ds_SignatureVersion jeder Benachrichtigung lesen und mit dem passenden Algorithmus prüfen, statt einen im Code festzuschreiben. Nach erfolgreicher Prüfung gleicht der Worker zusätzlich Betrag und Bestellnummer mit der WooCommerce-Bestellung ab, bevor er sie als bezahlt markiert.
So richten Sie den WooCommerce-Versand in Spanien ein
Die Zustellung ist im spanischen E-Commerce ein entscheidender Faktor. Marken in Spanien brauchen automatische Anbindungen an die führenden nationalen Versanddienstleister (etwa Correos Express, SEUR, GLS oder MRW), um die Lagerprozesse zu beschleunigen.
Spanische Postleitzahlen im Checkout prüfen
Um Sortierfehler im Versandlager und Zusatzkosten für umgeleitete Pakete zu vermeiden, muss der Checkout spanische Postleitzahlen streng prüfen:
- Format: 5 Ziffern.
- Regionale Bereiche: Die ersten beiden Ziffern stehen für die Zielprovinz (z. B.
08für Barcelona,28für Madrid,35und38für die Kanarischen Inseln). - Tarifzonen: Die Versandkostenberechnung im Headless-Checkout muss klar zwischen spanischem Festland, Balearen, Kanarischen Inseln sowie Ceuta und Melilla unterscheiden.
Mehrwertsteuer bei Lieferungen auf die Kanaren, nach Ceuta und Melilla
Der Verkauf in Gebiete außerhalb des spanischen Festland-Steuergebiets erfordert eine genaue steuerliche Konfiguration. Sendungen aufs Festland und auf die Balearen unterliegen dem regulären (21%), ermäßigten (10%) oder stark ermäßigten (4%) Mehrwertsteuersatz, Sendungen auf die Kanaren, nach Ceuta und Melilla gelten steuerlich dagegen als Ausfuhren:
- Mehrwertsteuerbefreiung: Der Checkout muss die Mehrwertsteuer entfernen, wenn die Lieferpostleitzahl mit
35,38(Kanaren),51(Ceuta) oder52(Melilla) beginnt. - Lokale Steuern (IGIC und IPSI): Der Zoll am Bestimmungsort erhebt die IGIC (auf den Kanaren) bzw. die IPSI (in Ceuta und Melilla) beim Endkunden oder über eine vereinfachte Zollabfertigung durch den Versanddienstleister.
- Zusätzliche Daten: Im Checkout muss die NIF/CIF oder DNI des Kunden für die Ausfuhrunterlagen (DUA-Anmeldung) abgefragt werden, ein Feld, das bei normalen Sendungen aufs Festland nicht nötig ist.
Checkout an Versand-APIs anbinden
Der Headless-Checkout sollte asynchron mit den APIs des gewählten Logistikdienstleisters kommunizieren, um:
- Tarife dynamisch zu berechnen: Reale Versandpreise anhand des Volumengewichts und der Zielpostleitzahl abrufen.
- Abholstellen anzubieten: Nutzer eine physische Abholstelle (etwa eine Correos-Filiale oder einen GLS-Paketautomaten) auf einer im Checkout eingebetteten Karte wählen lassen.
- Etiketten zu erzeugen: Nach Zahlungseingang den Versanddienstleister benachrichtigen, damit das Abholetikett im Lager automatisch erstellt wird.
So verbinden Sie WooCommerce mit VeriFactu und der E-Rechnung
Damit ein Headless-WooCommerce-Shop in Spanien 2026 betrieblich solide aufgestellt ist, müssen Rechnungsstellung und Steuerabwicklung mit den Werkzeugen der spanischen Steuerbehörde (Agencia Estatal de Administración Tributaria, AEAT) abgestimmt sein:
Was VeriFactu von Onlineshops verlangt
Alle Onlineshops in Spanien müssen sicherstellen, dass ihre Software nicht veränderbare Rechnungen ausstellt und im VERI*FACTU-Modus die zugehörigen Datensätze an die AEAT übermittelt. Das Real Decreto-ley 15/2025 hat die Fristen verschoben: Körperschaftsteuerpflichtige müssen ihre Systeme vor dem 1. Januar 2027 umgestellt haben, alle übrigen Steuerpflichtigen vor dem 1. Juli 2027 (BOE-A-2025-24446).
Umgesetzt wird das, indem der WooCommerce-Bestellprozess über Webhooks oder abgesicherte API-Aufrufe mit in Spanien zugelassenen ERP- und E-Rechnungsplattformen (etwa Holded, Quaderno oder Factura Directa) verbunden wird. Wechselt die Bestellung in den Status “In Bearbeitung” oder “Abgeschlossen”, gehen die Transaktionsdaten an das ERP, das die offizielle Steuerrechnung als PDF (mit vorgeschriebenem QR-Code) zurückliefert, die der Kunde in seinem Kundenbereich im Frontend herunterladen kann.
Wann ein WooCommerce-Shop das OSS-Verfahren braucht
Sitzt Ihr Headless-WooCommerce-Shop in Spanien, verkauft aber grenzüberschreitend an Endverbraucher (B2C) in anderen EU-Mitgliedstaaten, müssen Sie auf den One-Stop-Shop für die Mehrwertsteuer (OSS) vorbereitet sein.
Übersteigen die kumulierten innergemeinschaftlichen Verkäufe die jährliche Schwelle von 10.000 Euro, muss der Shop den Mehrwertsteuersatz des Wohnsitzlandes des Kunden berechnen (z. B. 19% in Deutschland, 23% in Polen). Der Headless-Checkout muss diese Sätze anhand der Rechnungsadresse des Kunden dynamisch berechnen und in der Aufschlüsselung des Gesamtpreises transparent ausweisen.
So gestalten Sie einen Headless-Checkout für WooCommerce
Ein guter Headless-Checkout für WooCommerce soll Reibung für den Nutzer minimieren und Daten sicher mit dem WordPress-Server synchronisieren. Das folgende Schema zeigt konzeptionell das Zusammenspiel von statischer Frontend-Schicht (Astro), Session-Status und Backend-APIs:
graph TD
A[Checkout im Astro-Frontend] --> B[Warenkorbstatus]
A --> C[Prüfung von Postleitzahl & NIF/CIF]
A --> D[Zahlungsanbieter Redsys / Bizum]
C --> C1{Kanaren / Ceuta / Melilla?}
C1 -- Ja --> C2[Mehrwertsteuerbefreiung & NIF/CIF erforderlich]
C1 -- Nein --> C3[Festland-Mehrwertsteuer 21%]
B --> E[Versand-API: Correos Express / SEUR]
E --> E1[Berechnung der realen Versandkosten]
E --> E2[Auswahl der Abholstelle auf der Karte]
D --> F[Transaktionsbestätigung in Redsys]
F --> G[Bestellaktualisierung über Cloudflare Workers]
G --> H[WooCommerce-Backend]
H --> I[Rechnungs-ERP: VeriFactu-PDF]Best Practices für einen Headless-Checkout in Spanien
- Trennung der Zuständigkeiten: Feldprüfung, Adressverarbeitung und das Rendern der Abholstellenkarte sollten clientseitig im statischen Frontend laufen, um wiederholte Aufrufe des WordPress-Servers zu vermeiden.
- Asynchrone Preisaktualisierung: Schlanke
fetch-Anfragen senden die Versanddaten des Warenkorbs an den WooCommerce-Endpunkt, und Steuern sowie Versandkosten werden nur neu berechnet, wenn sich Provinz oder Postleitzahl im Checkout-Formular ändern. - Session-Persistenz: Session-Cookies und JWT-Tokens von WooCommerce müssen über gemeinsame Subdomains (z. B.
tienda.comundwp.tienda.com) synchron bleiben, damit Nutzer ihren Warenkorb nicht verlieren, wenn sie die Seite neu laden oder während der Zahlung das Netz wechseln.
Fazit
Ein Headless-WooCommerce-Shop in Spanien verbindet 2026 technische Spitzenleistung mit der strikten Einhaltung der nationalen regulatorischen und operativen Rahmenbedingungen.
Die Entkopplung der Shopoberfläche sorgt für Ladezeiten, die mehr mobile Besuche in Verkäufe verwandeln, schützt die Sicherheit der Marke und erleichtert die Integration von Bizum, Redsys, VeriFactu-Systemen und nationalen Logistik-APIs. Die Zusammenarbeit mit spezialisierten Entwicklern, die diese Architektur im iberischen Umfeld beherrschen, ist für wachsende Handelsmarken eine strategische Investition mit hoher Rendite.
Bizum, Redsys und PCI-DSS in Headless WooCommerce
E-Commerce auf dem spanischen Markt verlangt eine saubere technische Integration lokaler Zahlungslösungen:
- Weiterleitungs- und REST-API-Architektur für Redsys: In Headless-Architekturen (mit Astro- oder Next.js-Frontend) sollte das Redsys-Gateway über HMAC-Signaturen kommunizieren, die im abgesicherten WordPress-Backend erzeugt werden (
HMAC_SHA512_V2in der aktuellen Redsys-Dokumentation,HMAC_SHA256_V1in vielen bestehenden Integrationen). Der Kunde sendet keine Kartennummern an die eigenen Server des Shops, womit der Shop auf PCI-DSS-Ebene SAQ A bleibt. - Bizum im selben Terminal wie Karten: Bizum wird im virtuellen Redsys-Terminal aktiviert, das bereits die Kartenzahlungen abwickelt. Das Headless-Frontend ergänzt also nur einen Button und nutzt denselben Ablauf aus Weiterleitung und Benachrichtigung. Die Aktivierungsschritte stehen im Abschnitt zur Aktivierung von Bizum im virtuellen Redsys-Terminal.
- Automatisierte Logistiksynchronisation mit SEUR, GLS und Correos Express: Die WooCommerce-API ist über abgesicherte Webhooks mit den Systemen der nationalen Versanddienstleister verbunden. Jede Bestellung erzeugt automatisch Versandetiketten, Sendungsnummern und SMS-Benachrichtigungen an den Endkunden, ohne manuellen Aufwand.
- Geschäftlicher Nutzen: Diese moderne, entkoppelte Infrastruktur bietet sofortige Ladezeiten auf Mobilgeräten, Schutz vor Ausfällen bei großen Kampagnen und ein flüssiges Einkaufserlebnis, das den Umsatz im spanischen E-Commerce maximiert.
So vermeiden Sie WooCommerce-Zahlungsausfälle am Black Friday
Bei großen Verkaufsaktionen wie dem Black Friday oder saisonalen Schlussverkäufen:
- Asynchrone Verarbeitung von Zahlungs-Webhooks: Bestätigungen von Redsys und Bizum sollten über Message Queues (etwa Redis oder RabbitMQ) angenommen werden, damit eine plötzliche Flut gleichzeitiger Bestellungen die PHP-FPM-Prozesse nicht blockiert. Der Kunde sieht sofort eine Bestätigung auf der Zahlungsseite, während die Bestellung im Hintergrund verarbeitet wird.
- Bestandsabgleich mit dem ERP in Echtzeit: Die direkte Anbindung an Unternehmenssysteme (etwa SAP, Navision oder Holded) hält den im entkoppelten Frontend angezeigten Bestand sekundengenau aktuell und verhindert Doppelverkäufe ausverkaufter Produkte.
- E-Rechnung zwischen Unternehmen: Das Gesetz 18/2022 (Crea y Crece) dehnt die Pflicht zur E-Rechnung auf Geschäfte zwischen Unternehmern und Freiberuflern aus. Verkauft der Shop an Firmen, muss das an WooCommerce angebundene ERP für diese Bestellungen strukturierte E-Rechnungen ausstellen können, und die Rechnungsdatensätze sind nach VeriFactu unveränderbar aufzubewahren.
- Fazit: Ein gut strukturierter Headless-WooCommerce-Shop gibt spanischen Unternehmen volle technologische Unabhängigkeit, planbare Betriebskosten und die technische Grundlage, um in ihrer Branche beim Umsatz vorn zu liegen.
So steigern Sie die Conversion eines WooCommerce-Shops in Spanien
Die Geschwindigkeit eines entkoppelten Onlineshops wirkt sich direkt auf das Ergebnis aus:
- Deutlich niedrigere Absprungrate auf Mobilgeräten: Mehr als 70 % des Einzelhandels-Traffics in Spanien kommen von Smartphones. Statisch mit Astro gerenderte Produktseiten laden in unter einer Sekunde, halten das Interesse des Käufers und vervielfachen den Umsatz im Vergleich zu langsamen klassischen Shops.
- Optimierter Checkout und biometrische Zahlungen: Wenn Kunden mit Apple Pay, Google Pay oder Bizum zahlen können, ohne Kartennummern oder komplizierte Banking-Passwörter einzutippen, verschwindet die Reibung im letzten Schritt des Kaufs.
- Automatisierte Rückgewinnung abgebrochener Warenkörbe: Über Webhooks angebundene Marketing-Automation-Tools verschicken personalisierte Erinnerungen per E-Mail oder WhatsApp an Nutzer, die ihre Bestellung nicht abgeschlossen haben.
- Zusammenfassung: Eine Headless-WooCommerce-Architektur für den spanischen Markt verbindet die meistgenutzte E-Commerce-Engine der Welt mit der derzeit fortschrittlichsten Frontend-Technologie und sorgt für profitables, nachhaltiges Wachstum. Moderner digitaler Handel belohnt technische Exzellenz, und sie ist der direkteste Weg zu nachhaltiger Rentabilität.







