Actualizaciones críticas de la plataforma Zoho de diciembre de 2025: cambios de seguridad y API que no puede ignorar

Actualizaciones recientes de la plataforma

Zoho lanzó varias actualizaciones recientes que afectan la forma en que sincroniza archivos, responde a tickets de soporte y se integra con sistemas de terceros. Algunas son mejoras de funciones; otras son cambios en las políticas de seguridad que requieren su atención.

WorkDrive TrueSync: soporte de escritorio Linux

Zoho WorkDrive ya ofrece su aplicación de escritorio (TrueSync) para Linux en versión beta, anunciada en octubre de 2025, junto a las aplicaciones existentes para Windows y macOS.

Lo que esto significa para ti

• Distribuciones compatibles: distribuciones basadas en Ubuntu LTS (22.04, 24.04 y derivadas) y la última versión estable de Fedora Workstation
• Pensado para desarrolladores: los equipos de desarrollo con estaciones de trabajo Linux pueden acceder a los archivos de WorkDrive desde el escritorio sin soluciones alternativas
• Limitaciones de la beta: algunas funciones aún no están disponibles; por ejemplo, la aplicación para Linux no permite sincronizar varias cuentas

Detalles técnicos

El cliente Linux TrueSync admite:

• Acceso a los archivos de WorkDrive mediante una unidad virtual, sin ocupar almacenamiento local
• Sincronización automática de los cambios con la aplicación web de WorkDrive
• Acceso sin conexión selectivo (marque archivos o carpetas concretos para usarlos sin conexión)
• Uso compartido de archivos con miembros del equipo y colaboradores externos

Zoho Desk: mejoras de IA y respuesta masiva

Zoho Desk incorpora en actualizaciones recientes dos mejoras para los equipos de soporte: plantillas y fragmentos en las respuestas masivas, y asistencia de IA de Zia dentro de los tickets.

1. Plantillas de respuesta masiva + fragmentos

Los agentes ahora pueden insertar plantillas de correo electrónico y fragmentos directamente desde el editor de respuesta masiva, para responder de manera uniforme cuando manejan múltiples tickets con problemas similares (ediciones Professional y Enterprise). Esto es particularmente útil para:

• Comunicaciones sobre interrupciones: envíe actualizaciones coherentes a todos los clientes afectados
• Anuncios de productos: responda a las consultas sobre nuevas funciones con respuestas estandarizadas
• Cambios de políticas: asegúrese de que todos los clientes reciban información precisa
• Respuestas de temporada: horarios festivos, novedades de envío o información promocional

2. Asistencia basada en IA de Zia

Las funciones de IA de Zia en Desk ofrecen tres capacidades clave dentro de los tickets:

• Resúmenes de tickets: genere automáticamente resúmenes concisos de hilos de tickets largos
• Ayuda con respuestas: borradores de respuesta que combinan la conversación del ticket con los artículos de su base de conocimientos
• Información: análisis de sentimiento (positivo, neutral o negativo) y etiquetado de temas clave

Conceptos básicos de plataforma y automatización

Conviene comprender algunos comportamientos clave de la plataforma para sus integraciones y automatizaciones:

Escritura masiva de trabajos asincrónicos en CRM

Los trabajos de Bulk Write en Zoho CRM son asincrónicos: la respuesta no está disponible de inmediato. Esto es lo que necesita saber:

• Configure una URL de callback para recibir una notificación cuando termine un trabajo
• O consulte periódicamente el estado del trabajo para supervisar los trabajos de larga duración

Firma de webhook HMAC

Zoho Projects y Zoho Sign pueden firmar los webhooks con HMAC-SHA256. Projects envía la firma en el encabezado X-ZP-WEBHOOK-SIGNATURE y Sign en X-ZS-WEBHOOK-SIGNATURE; ambas están codificadas en base64 y se calculan sobre la cadena sin procesar del payload. Importante: valide siempre estos encabezados en sus receptores de webhooks.

// Example webhook validation (Node.js) - Zoho Projects / Zoho Sign
const crypto = require('crypto');

function validateWebhook(rawBody, signature, secret) {
    // Hash the raw payload string, not re-serialized JSON
    const expected = Buffer.from(crypto
        .createHmac('sha256', secret)
        .update(rawBody)
        .digest('base64'));
    const received = Buffer.from(signature || '');

    return expected.length === received.length &&
        crypto.timingSafeEqual(expected, received);
}

// In your webhook handler
// Projects: x-zp-webhook-signature | Sign: x-zs-webhook-signature
if (!validateWebhook(rawBody, req.headers['x-zp-webhook-signature'], SECRET)) {
    return res.status(401).send('Invalid signature');
}

Semántica de inserción de registros

La API Records Upsert comprueba los campos de verificación de duplicados: si existe un registro coincidente, se actualiza; de lo contrario, se inserta un registro nuevo. Use duplicate_check_fields para controlar qué campos se comprueban; si lo omite, se comprueban primero los campos definidos por el sistema y luego los campos únicos definidos por el usuario.

Cambios de políticas críticas para la seguridad (acción requerida)

Aquí es donde debes prestar mucha atención. Zoho está realizando dos cambios importantes relacionados con la seguridad que afectarán la forma de autenticar las llamadas API y administrar las conexiones OAuth.

Desuso del conector OAuth: 31 de enero de 2026

Fecha revisada: 31 de enero de 2026 (originalmente el 31 de diciembre de 2025)

Zoho está dejando obsoleto el conector predeterminado Zoho OAuth en todos los servicios de Zoho que admiten conexiones de Deluge, excepto Zoho Creator. El 31 de enero de 2026 se deshabilitará la creación de nuevas conexiones Zoho OAuth y el conector se eliminará de la lista de servicios predeterminados. Use en su lugar conectores específicos del servicio o un conector personalizado.

¿Qué está cambiando?

• Se elimina el conector OAuth predeterminado: el conector genérico "Zoho OAuth" se eliminará de la lista de servicios predeterminados y no se podrán crear nuevas conexiones
• Conexiones específicas del servicio: use el conector integrado de cada servicio de Zoho (CRM, Books, Projects, etc.)
• Conectores personalizados para varios servicios: si una conexión necesita ámbitos de varios servicios de Zoho, cree un conector personalizado
• Las conexiones existentes siguen funcionando (por ahora): las conexiones Zoho OAuth existentes seguirán funcionando temporalmente; Zoho las dejará obsoletas más adelante, con aviso previo a los usuarios que aún las utilicen

Por qué esto importa

El conector OAuth predeterminado era conveniente, pero Zoho señala una creciente complejidad técnica y problemas de seguridad:

• Alcance amplio (una sola autenticación para varios servicios de Zoho, con todos sus ámbitos)
• Las conexiones específicas del servicio siguen el principio de mínimo privilegio

Cómo migrar

1. Audite sus conexiones: enumere todas las integraciones que usan el conector OAuth predeterminado
2. Cree conexiones específicas del servicio: use la configuración de Conexiones de cada aplicación de Zoho (en Zoho CRM: Configuración → Developer Hub → Conexiones)
3. Cree conectores personalizados cuando sea necesario: si una conexión debe abarcar varios servicios de Zoho, cree un conector personalizado (puede registrar su propio cliente OAuth en la Zoho API Console)
4. Actualice sus integraciones: sustituya las referencias al OAuth predeterminado por las nuevas conexiones específicas del servicio
5. Pruebe a fondo: verifique que todas las integraciones funcionen con las nuevas conexiones antes del 31 de enero de 2026

Cambios de seguridad de invokeURL de Deluge

Estado: ya en vigor

La obsolescencia de las credenciales incrustadas en el campo URL de invokeURL en Deluge entró en vigor en septiembre de 2025; las llamadas afectadas ahora devuelven errores de ejecución. El campo URL solo debe contener la URL del endpoint. Use Conexiones para gestionar la autenticación de forma segura.

¿Qué cambió?

Anteriormente, podía incrustar un nombre de usuario y una contraseña directamente en el campo URL de invokeURL, así:

// NO LONGER SUPPORTED - DO NOT USE
response = invokeurl
[
    url: "https://username:password@api.example.com/endpoint"
    type: GET
];

Use una Conexión en su lugar:

// Create a Connection in Zoho first, then reference it
response = invokeurl
[
    url: "https://api.example.com/endpoint"
    type: GET
    connection: "your_connection_name"
];

Por qué se hizo este cambio

• Seguridad: las credenciales incrustadas en URL pueden quedar registradas por accidente en historiales del navegador, servidores proxy o registros del servidor, o exponerse mediante phishing
• Compatibilidad: los navegadores y herramientas de API populares bloquean las URL con credenciales incrustadas
• Rotación: actualice las credenciales en un solo lugar (configuración de la Conexión) en lugar de buscarlas en los scripts

Cómo actualizar sus secuencias de comandos

1. Identifique los scripts afectados: busque en su código Deluge llamadas invokeURL con credenciales en la URL (usuario:contraseña@host)
2. Cree Conexiones: para cada servicio externo, cree una Conexión en Zoho
3. Actualice las llamadas invokeURL: reemplace las credenciales incrustadas por referencias a conexiones
4. Pruebe a fondo: verifique que todas las llamadas a la API funcionen con el nuevo enfoque basado en Conexiones
5. Elimine las credenciales antiguas: borre las credenciales incrustadas de su código

Su lista de verificación de elementos de acción

Este es su plan de acción priorizado para estas actualizaciones de diciembre:

¿Necesita ayuda con estas actualizaciones?

Si se siente abrumado por estos cambios de seguridad o no está seguro de por dónde empezar, podemos ayudarle. ZMCOR se especializa en integraciones de Zoho, desarrollo de API y migraciones de plataformas.

Servicios que ofrecemos

• Migración de OAuth: auditoría y migración del OAuth predeterminado a conexiones específicas del servicio
• Actualización de scripts de Deluge: conversión de credenciales incrustadas en Conexiones seguras
• Pruebas de integración: pruebas exhaustivas para garantizar que nada se rompa
• Documentación: documentación de su nueva arquitectura de conexiones
• Capacitación: formación de su equipo en las nuevas buenas prácticas de seguridad

Manténgase a la vanguardia de las actualizaciones de Zoho

Zoho continúa evolucionando rápidamente, con nuevas funciones, mejoras de seguridad y cambios de plataforma que se anuncian periódicamente. Las actualizaciones de diciembre de 2025 son particularmente importantes porque implican cambios de seguridad que requieren acción.

Las conclusiones clave:

• WorkDrive TrueSync ya está disponible para Linux (beta): ideal para equipos de desarrollo
• Las funciones de IA de Zoho Desk siguen mejorando la eficiencia del soporte
• Conector Zoho OAuth: no se pueden crear nuevas conexiones después del 31 de enero de 2026; migre a conexiones específicas del servicio o personalizadas
• Las credenciales incrustadas en las URL de invokeURL de Deluge ya no se admiten: use Conexiones

No esperes hasta el último momento. Comience su planificación de migración hoy, realice pruebas exhaustivas y asegúrese de que sus integraciones continúen funcionando sin problemas hasta 2026.