Mises à jour critiques de la plateforme Zoho décembre 2025 : modifications de sécurité et d'API que vous ne pouvez pas ignorer

Mises à jour récentes de la plateforme

Zoho a déployé plusieurs mises à jour récentes qui influent sur la façon dont vous synchronisez vos fichiers, répondez aux tickets d'assistance et intégrez des systèmes tiers. Certaines sont des améliorations fonctionnelles ; d'autres sont des changements de politique de sécurité qui méritent votre attention.

WorkDrive TrueSync : prise en charge du bureau Linux

L'application de bureau (TrueSync) de Zoho WorkDrive est désormais disponible pour Linux en version bêta (annoncée en octobre 2025), en plus des applications existantes pour Windows et macOS.

Ce que cela signifie pour vous

• Distributions prises en charge : distributions basées sur Ubuntu LTS (22.04, 24.04 et dérivées) et la dernière version stable de Fedora Workstation
• Adapté aux développeurs : les équipes de développement sous Linux peuvent accéder aux fichiers WorkDrive depuis le bureau sans solution de contournement
• Limites de la bêta : certaines fonctionnalités ne sont pas encore disponibles ; par exemple, l'application Linux ne prend pas en charge la synchronisation de plusieurs comptes

Détails techniques

Le client Linux TrueSync prend en charge :

• Accès aux fichiers WorkDrive via un lecteur virtuel, sans utiliser de stockage local
• Synchronisation automatique des modifications avec l'application web WorkDrive
• Accès hors ligne sélectif (marquer des fichiers ou dossiers précis pour une utilisation hors ligne)
• Partage de fichiers avec les membres de l'équipe et des collaborateurs externes

Zoho Desk : améliorations de la réponse en masse et de l'IA

Les récentes mises à jour de Zoho Desk apportent deux améliorations aux équipes d'assistance : les modèles et extraits dans les réponses groupées, et l'assistance IA de Zia dans les tickets.

1. Modèles de réponse en masse + extraits

Les agents peuvent désormais insérer des modèles d'e-mail et des extraits directement depuis l'éditeur de réponse groupée, afin de répondre de manière uniforme lorsqu'ils traitent plusieurs tickets aux problèmes similaires (éditions Professional et Enterprise). C'est particulièrement utile pour :

• Outage Communications: Send consistent updates to all affected customers
• Product Announcements: Reply to inquiries about new features with standardized responses
• Policy Changes: Ensure all customers receive accurate information
• Seasonal Responses: Holiday hours, shipping updates, or promotional information

2. Assistance basée sur l'IA de Zia

Les fonctionnalités d'IA de Zia dans Desk offrent trois capacités clés au sein des tickets :

• Résumés de tickets : générer automatiquement des résumés concis des longs fils de tickets
• Aide à la réponse : des brouillons de réponse qui combinent la conversation du ticket avec les articles de votre base de connaissances
• Analyses : analyse du sentiment (positif, neutre ou négatif) et étiquetage des sujets clés

Essentiels de la plate-forme et de l'automatisation

Quelques comportements essentiels de la plateforme méritent d’être compris pour vos intégrations et automatisations :

Écrire en masse des tâches asynchrones dans CRM

Les tâches Bulk Write dans Zoho CRM sont asynchrones : la réponse n'est pas disponible immédiatement. Voici ce qu'il faut savoir :

• Définissez une URL de rappel (callback) pour être averti lorsqu'une tâche se termine
• Ou vérifiez périodiquement le statut de la tâche pour suivre les tâches de longue durée

Signature Webhook HMAC

Zoho Projects et Zoho Sign peuvent signer les webhooks avec HMAC-SHA256. Projects envoie la signature dans l'en-tête X-ZP-WEBHOOK-SIGNATURE et Sign dans X-ZS-WEBHOOK-SIGNATURE ; les deux sont encodées en base64 et calculées sur la chaîne brute du payload. Important : validez toujours ces en-têtes dans vos récepteurs de webhooks.

// Example webhook validation (Node.js) - Zoho Projects / Zoho Sign
const crypto = require('crypto');

function validateWebhook(rawBody, signature, secret) {
    // Hash the raw payload string, not re-serialized JSON
    const expected = Buffer.from(crypto
        .createHmac('sha256', secret)
        .update(rawBody)
        .digest('base64'));
    const received = Buffer.from(signature || '');

    return expected.length === received.length &&
        crypto.timingSafeEqual(expected, received);
}

// In your webhook handler
// Projects: x-zp-webhook-signature | Sign: x-zs-webhook-signature
if (!validateWebhook(rawBody, req.headers['x-zp-webhook-signature'], SECRET)) {
    return res.status(401).send('Invalid signature');
}

Sémantique d’insertion d’enregistrements

L'API Records Upsert vérifie les champs de contrôle des doublons : si un enregistrement correspondant existe, il est mis à jour ; sinon, un nouvel enregistrement est inséré. Passez duplicate_check_fields pour choisir les champs vérifiés ; si vous l'omettez, les champs définis par le système sont vérifiés en premier, puis les champs uniques définis par l'utilisateur.

Changements de politique critiques pour la sécurité (action requise)

C’est là qu’il faut être très attentif. Zoho apporte deux modifications importantes liées à la sécurité qui auront un impact sur la façon dont vous authentifiez les appels API et gérez les connexions OAuth.

Abandon du connecteur OAuth : 31 janvier 2026

Date révisée : 31 janvier 2026 (initialement 31 décembre 2025)

Zoho abandonne le connecteur Zoho OAuth par défaut dans tous les services Zoho qui prennent en charge les connexions Deluge, à l'exception de Zoho Creator. Le 31 janvier 2026, la création de nouvelles connexions Zoho OAuth sera désactivée et le connecteur sera retiré de la liste des services par défaut. Utilisez plutôt des connecteurs spécifiques au service ou un connecteur personnalisé.

Qu'est-ce qui change

• Connecteur OAuth par défaut retiré : le connecteur générique « Zoho OAuth » sera retiré de la liste des services par défaut, et il ne sera plus possible de créer de nouvelles connexions
• Connexions spécifiques au service : utilisez le connecteur intégré de chaque service Zoho (CRM, Books, Projects, etc.)
• Connecteurs personnalisés pour plusieurs services : si une connexion a besoin de scopes de plusieurs services Zoho, créez un connecteur personnalisé
• Les connexions existantes fonctionnent (pour l'instant) : les connexions Zoho OAuth existantes continuent de fonctionner temporairement ; Zoho les abandonnera plus tard, avec un préavis aux utilisateurs qui en dépendent encore

Pourquoi c'est important

Le connecteur OAuth par défaut était pratique, mais Zoho invoque une complexité technique croissante et des préoccupations de sécurité :

• Portée trop large (une seule authentification pour plusieurs services Zoho, avec tous leurs scopes)
• Les connexions spécifiques au service respectent le principe du moindre privilège

Comment migrer

1. Auditez vos connexions : listez toutes les intégrations qui utilisent le connecteur OAuth par défaut
2. Créez des connexions spécifiques au service : utilisez les paramètres de connexions de chaque application Zoho (dans Zoho CRM : Setup → Developer Hub → Connections)
3. Créez des connecteurs personnalisés si nécessaire : si une connexion doit couvrir plusieurs services Zoho, créez un connecteur personnalisé (vous pouvez enregistrer votre propre client OAuth dans la Zoho API Console)
4. Mettez à jour vos intégrations : remplacez les références au connecteur OAuth par défaut par les nouvelles connexions spécifiques au service
5. Testez minutieusement : vérifiez que toutes les intégrations fonctionnent avec les nouvelles connexions avant le 31 janvier 2026

Modifications de sécurité de Deluge EnsureURL

Statut : Déjà en vigueur

L'abandon des identifiants intégrés dans le champ URL d'invokeURL dans Deluge est en vigueur depuis septembre 2025 ; les appels concernés renvoient désormais des erreurs d'exécution. Le champ URL ne doit contenir que l'URL du point de terminaison. Utilisez les Connections pour gérer l'authentification de façon sécurisée.

Ce qui a changé

Auparavant, vous pouviez intégrer un nom d'utilisateur et un mot de passe directement dans le champ URL d'invokeURL, comme ceci :

// NO LONGER SUPPORTED - DO NOT USE
response = invokeurl
[
    url: "https://username:password@api.example.com/endpoint"
    type: GET
];

Utilisez plutôt une Connection :

// Create a Connection in Zoho first, then reference it
response = invokeurl
[
    url: "https://api.example.com/endpoint"
    type: GET
    connection: "your_connection_name"
];

Pourquoi ce changement a été effectué

• Sécurité : les identifiants intégrés dans les URL peuvent être enregistrés par inadvertance dans l'historique des navigateurs, les serveurs proxy ou les journaux de serveur, ou exposés par hameçonnage
• Compatibilité : les navigateurs et outils d’API courants bloquent les URL contenant des identifiants intégrés
• Rotation : mettez à jour les identifiants à un seul endroit (paramètres de la Connection) plutôt que de fouiller dans les scripts

Comment mettre à jour vos scripts

1. Identifiez les scripts concernés : recherchez dans votre code Deluge les appels invokeURL avec des identifiants dans l'URL (username:password@host)
2. Créez des Connections : pour chaque service externe, créez une Connection dans Zoho
3. Mettez à jour les appels invokeURL : remplacez les identifiants intégrés par des références à des Connections
4. Testez minutieusement : vérifiez que tous les appels d'API fonctionnent avec l'approche basée sur les Connections
5. Supprimez les anciens identifiants : retirez les identifiants intégrés de votre code

Votre liste de contrôle des actions à entreprendre

Voici votre plan d'action prioritaire pour ces mises à jour de décembre :

Besoin d'aide avec ces mises à jour ?

Si vous vous sentez dépassé par ces changements de sécurité ou si vous ne savez pas par où commencer, nous pouvons vous aider. ZMCOR est spécialisé dans les intégrations Zoho, le développement d'API et les migrations de plateformes.

Services que nous offrons

• Migration OAuth : Auditer et migrer d'OAuth par défaut vers des connexions spécifiques au service
• Mises à jour du script Déluge : Convertir les informations d'identification intégrées pour sécuriser les connexions
• Tests d'intégration : Des tests complets pour garantir que rien ne se casse
• Documents : Documentez votre nouvelle architecture de connexion
• Formation : Formez votre équipe aux nouvelles bonnes pratiques de sécurité

Gardez une longueur d'avance sur les mises à jour Zoho

Zoho continue d'évoluer rapidement, avec de nouvelles fonctionnalités, des améliorations de sécurité et des modifications de plate-forme annoncées régulièrement. Les mises à jour de décembre 2025 sont particulièrement importantes car elles impliquent des changements de sécurité qui nécessitent une action.

Les principaux points à retenir :

• WorkDrive TrueSync est désormais disponible pour Linux (bêta) – idéal pour les équipes de développement
• Les fonctionnalités d'IA de Zoho Desk continuent d'améliorer l'efficacité du support
• Connecteur Zoho OAuth : plus aucune nouvelle connexion ne peut être créée après le 31 janvier 2026 – migrez vers des connexions spécifiques au service ou personnalisées
• Les identifiants intégrés dans les URL Deluge invokeURL ne sont plus pris en charge – utilisez les Connections

N'attendez pas la dernière minute. Commencez dès aujourd’hui votre planification de migration, testez minutieusement et assurez-vous que vos intégrations se dérouleront sans problème jusqu’en 2026.