Kritische Zoho Plattform-Updates Dezember 2025: Sicherheits- und API-Änderungen, die Sie nicht ignorieren können

Aktuelle Plattform-Updates

Zoho hat mehrere aktuelle Updates eingeführt, die sich darauf auswirken, wie Sie Dateien synchronisieren, auf Support-Tickets reagieren und Systeme von Drittanbietern integrieren. Einige davon sind Funktionserweiterungen; andere sind Änderungen der Sicherheitsrichtlinien, die Ihre Aufmerksamkeit erfordern.

WorkDrive TrueSync: Linux-Desktop-Unterstützung

Die Desktop-App (TrueSync) von Zoho WorkDrive ist jetzt als Beta für Linux verfügbar (angekündigt im Oktober 2025), zusätzlich zu den bestehenden Apps für Windows und macOS.

Was das für Sie bedeutet

• Unterstützte Distributionen: Ubuntu-LTS-basierte Distributionen (22.04, 24.04 und Derivate) sowie die neueste stabile Version von Fedora Workstation
• Entwicklerfreundlich: Entwicklungsteams mit Linux-Workstations können ohne Umwege vom Desktop aus auf WorkDrive-Dateien zugreifen
• Beta-Einschränkungen: Einige Funktionen sind noch nicht verfügbar; beispielsweise unterstützt die Linux-App keine Synchronisierung mehrerer Konten

Technische Details

Der Linux TrueSync-Client unterstützt:

• Zugriff auf WorkDrive-Dateien über ein virtuelles Laufwerk, ohne lokalen Speicher zu belegen
• Automatische Synchronisierung von Änderungen mit der WorkDrive-Web-App
• Selektiver Offline-Zugriff (bestimmte Dateien oder Ordner für die Offline-Nutzung markieren)
• Teilen von Dateien mit Teammitgliedern und externen Mitarbeitern

Zoho Desk: Massenantwort- und KI-Verbesserungen

Zoho Desk bringt mit aktuellen Updates zwei Verbesserungen für Support-Teams: Vorlagen und Snippets in Massenantworten sowie KI-Unterstützung durch Zia in Tickets.

1. Massenantwortvorlagen + Snippets

Agenten können jetzt E-Mail-Vorlagen und Snippets direkt im Massenantwort-Editor einfügen und so einheitlich antworten, wenn sie mehrere Tickets mit ähnlichen Problemen bearbeiten (Professional- und Enterprise-Edition). Dies ist besonders nützlich für:

• Outage Communications: Send consistent updates to all affected customers
• Product Announcements: Reply to inquiries about new features with standardized responses
• Policy Changes: Ensure all customers receive accurate information
• Seasonal Responses: Holiday hours, shipping updates, or promotional information

2. KI-gestützte Unterstützung von Zia

Die KI-Funktionen von Zia in Desk bieten drei zentrale Funktionen in Tickets:

• Ticket-Zusammenfassungen: Automatisch prägnante Zusammenfassungen langer Ticket-Verläufe erstellen
• Antworthilfe: Antwortentwürfe, die den Ticket-Verlauf mit Ihren Wissensdatenbank-Artikeln kombinieren
• Einblicke: Stimmungsanalyse (positiv, neutral oder negativ) und Kennzeichnung zentraler Themen

Plattform- und Automatisierungsgrundlagen

Einige zentrale Plattformverhaltensweisen sollten Sie für Ihre Integrationen und Automatisierungen kennen:

Asynchrone Massenschreibaufträge in CRM

Bulk-Write-Aufträge in Zoho CRM sind asynchron: Die Antwort ist nicht sofort verfügbar. Das sollten Sie wissen:

• Legen Sie eine Callback-URL fest, um bei Abschluss eines Auftrags benachrichtigt zu werden
• Oder prüfen Sie regelmäßig den Auftragsstatus, um lang laufende Aufträge zu überwachen

Webhook-HMAC-Signierung

Zoho Projects und Zoho Sign können Webhooks mit HMAC-SHA256 signieren. Projects sendet die Signatur im Header X-ZP-WEBHOOK-SIGNATURE, Sign im Header X-ZS-WEBHOOK-SIGNATURE; beide sind Base64-kodiert und werden über den unveränderten Payload-String berechnet. Wichtig: Validieren Sie diese Header in Ihren Webhook-Empfängern immer.

// Example webhook validation (Node.js) - Zoho Projects / Zoho Sign
const crypto = require('crypto');

function validateWebhook(rawBody, signature, secret) {
    // Hash the raw payload string, not re-serialized JSON
    const expected = Buffer.from(crypto
        .createHmac('sha256', secret)
        .update(rawBody)
        .digest('base64'));
    const received = Buffer.from(signature || '');

    return expected.length === received.length &&
        crypto.timingSafeEqual(expected, received);
}

// In your webhook handler
// Projects: x-zp-webhook-signature | Sign: x-zs-webhook-signature
if (!validateWebhook(rawBody, req.headers['x-zp-webhook-signature'], SECRET)) {
    return res.status(401).send('Invalid signature');
}

Zeichnet die Upsert-Semantik auf

Die Records-Upsert-API prüft Felder zur Duplikatprüfung: Existiert ein passender Datensatz, wird er aktualisiert; andernfalls wird ein neuer Datensatz eingefügt. Mit duplicate_check_fields steuern Sie, welche Felder geprüft werden; ohne diesen Parameter werden zuerst systemdefinierte Felder und dann benutzerdefinierte eindeutige Felder geprüft.

Sicherheitskritische Richtlinienänderungen (Maßnahmen erforderlich)

Hier müssen Sie besonders aufpassen. Zoho nimmt zwei wichtige sicherheitsrelevante Änderungen vor, die sich darauf auswirken, wie Sie API-Aufrufe authentifizieren und OAuth-Verbindungen verwalten.

Einstellung des OAuth-Connectors: 31. Januar 2026

Neues Datum: 31. Januar 2026 (ursprünglich 31. Dezember 2025)

Zoho stellt den standardmäßigen Zoho OAuth-Connector in allen Zoho-Diensten ein, die Deluge-Verbindungen unterstützen – mit Ausnahme von Zoho Creator. Am 31. Januar 2026 wird das Erstellen neuer Zoho OAuth-Verbindungen deaktiviert und der Connector aus der Liste der Standarddienste entfernt. Verwenden Sie stattdessen dienstspezifische Connectors oder einen benutzerdefinierten Connector.

Was sich ändert

• Standard-OAuth-Connector entfernt: Der generische „Zoho OAuth“-Connector wird aus der Liste der Standarddienste entfernt, und neue Verbindungen können nicht mehr erstellt werden
• Dienstspezifische Verbindungen: Verwenden Sie den integrierten Connector des jeweiligen Zoho-Dienstes (CRM, Books, Projects usw.)
• Benutzerdefinierte Connectors für mehrere Dienste: Wenn eine Verbindung Scopes mehrerer Zoho-Dienste benötigt, erstellen Sie einen benutzerdefinierten Connector
• Bestehende Verbindungen funktionieren (vorerst) weiter: Bestehende Zoho OAuth-Verbindungen bleiben vorübergehend funktionsfähig; Zoho wird sie später einstellen und Nutzer, die sie noch verwenden, vorab informieren

Warum das wichtig ist

Der standardmäßige OAuth-Connector war praktisch, doch Zoho nennt zunehmende technische Komplexität und Sicherheitsbedenken:

• Breiter Umfang (eine Authentifizierung für mehrere Zoho-Dienste mit Unterstützung aller ihrer Scopes)
• Dienstspezifische Verbindungen folgen dem Prinzip der minimalen Rechtevergabe

So migrieren Sie

1. Verbindungen prüfen: Erfassen Sie alle Integrationen, die den standardmäßigen OAuth-Connector verwenden
2. Dienstspezifische Verbindungen erstellen: Nutzen Sie die Verbindungseinstellungen der jeweiligen Zoho-App (in Zoho CRM: Setup → Developer Hub → Connections)
3. Bei Bedarf benutzerdefinierte Connectors erstellen: Wenn eine Verbindung mehrere Zoho-Dienste abdecken muss, erstellen Sie einen benutzerdefinierten Connector (Ihren eigenen OAuth-Client können Sie in der Zoho API Console registrieren)
4. Integrationen aktualisieren: Ersetzen Sie Verweise auf den Standard-OAuth-Connector durch die neuen dienstspezifischen Verbindungen
5. Gründlich testen: Prüfen Sie vor dem 31. Januar 2026, ob alle Integrationen mit den neuen Verbindungen funktionieren

Sintflut invokeURL-Sicherheitsänderungen

Status: Bereits in Kraft

Die Einstellung von im URL-Feld von invokeURL eingebetteten Anmeldeinformationen in Deluge gilt seit September 2025; betroffene Aufrufe erzeugen jetzt Ausführungsfehler. Das URL-Feld sollte nur die Endpunkt-URL enthalten. Verwenden Sie Connections, um die Authentifizierung sicher abzuwickeln.

Was sich geändert hat

Bisher konnten Sie Benutzername und Passwort wie folgt direkt in das URL-Feld von invokeURL einbetten:

// NO LONGER SUPPORTED - DO NOT USE
response = invokeurl
[
    url: "https://username:password@api.example.com/endpoint"
    type: GET
];

Verwenden Sie stattdessen eine Connection:

// Create a Connection in Zoho first, then reference it
response = invokeurl
[
    url: "https://api.example.com/endpoint"
    type: GET
    connection: "your_connection_name"
];

Warum diese Änderung vorgenommen wurde

• Sicherheit: In URLs eingebettete Anmeldeinformationen können versehentlich in Browserverläufen, Proxyservern oder Serverprotokollen landen oder durch Phishing offengelegt werden
• Kompatibilität: Gängige Browser und API-Tools blockieren URLs mit eingebetteten Anmeldeinformationen
• Rotation: Anmeldeinformationen an einer Stelle (Connection-Einstellungen) aktualisieren, statt Skripte zu durchsuchen

So aktualisieren Sie Ihre Skripte

1. Betroffene Skripte ermitteln: Durchsuchen Sie Ihren Deluge-Code nach invokeURL-Aufrufen mit Anmeldeinformationen in der URL (username:password@host)
2. Connections erstellen: Erstellen Sie für jeden externen Dienst eine Connection in Zoho
3. invokeURL-Aufrufe aktualisieren: Ersetzen Sie eingebettete Anmeldeinformationen durch Verweise auf Connections
4. Gründlich testen: Prüfen Sie, ob alle API-Aufrufe mit dem Connection-basierten Ansatz funktionieren
5. Alte Anmeldeinformationen entfernen: Löschen Sie eingebettete Anmeldeinformationen aus Ihrem Code

Ihre Checkliste für Aktionspunkte

Hier ist Ihr priorisierter Aktionsplan für diese Dezember-Updates:

Benötigen Sie Hilfe bei diesen Updates?

Wenn Sie sich von diesen Sicherheitsänderungen überfordert fühlen oder nicht sicher sind, wo Sie anfangen sollen, können wir Ihnen helfen. ZMCOR ist auf Zoho-Integrationen, API-Entwicklung und Plattformmigrationen spezialisiert.

Dienstleistungen, die wir anbieten

• OAuth Migration: Audit and migrate from default OAuth to service-specific connections
• Deluge Script Updates: Convert embedded credentials to secure Connections
• Integration Testing: Comprehensive testing to ensure nothing breaks
• Documentation: Document your new connection architecture
• Training: Train your team on new security best practices

Bleiben Sie den Zoho-Updates immer einen Schritt voraus

Zoho entwickelt sich weiterhin rasant weiter und es werden regelmäßig neue Funktionen, Sicherheitsverbesserungen und Plattformänderungen angekündigt. Die Aktualisierungen vom Dezember 2025 sind besonders wichtig, da sie Sicherheitsänderungen betreffen, die Maßnahmen erfordern.

The key takeaways:

• WorkDrive TrueSync ist jetzt für Linux verfügbar (Beta) – ideal für Entwicklungsteams
• Die KI-Funktionen von Zoho Desk verbessern weiterhin die Effizienz im Support
• Zoho OAuth-Connector: Nach dem 31. Januar 2026 können keine neuen Verbindungen erstellt werden – migrieren Sie zu dienstspezifischen oder benutzerdefinierten Verbindungen
• In Deluge-invokeURL-URLs eingebettete Anmeldeinformationen werden nicht mehr unterstützt – verwenden Sie Connections

Warten Sie nicht bis zur letzten Minute. Beginnen Sie noch heute mit der Migrationsplanung, testen Sie gründlich und stellen Sie sicher, dass Ihre Integrationen auch im Jahr 2026 reibungslos funktionieren.