Aggiornamenti critici della piattaforma Zoho dicembre 2025: modifiche alla sicurezza e alle API che non puoi ignorare

Aggiornamenti recenti della piattaforma

Zoho ha rilasciato diversi aggiornamenti recenti che influiscono sul modo in cui sincronizzi i file, rispondi ai ticket di assistenza e integri sistemi di terze parti. Alcuni sono miglioramenti funzionali; altri sono modifiche alle policy di sicurezza che richiedono la tua attenzione.

WorkDrive TrueSync: supporto desktop Linux

L'app desktop (TrueSync) di Zoho WorkDrive è ora disponibile per Linux in versione beta (annunciata a ottobre 2025), oltre alle app esistenti per Windows e macOS.

Cosa significa per te

• Distribuzioni supportate: distribuzioni basate su Ubuntu LTS (22.04, 24.04 e derivate) e l’ultima versione stabile di Fedora Workstation
• Adatto agli sviluppatori: i team di sviluppo con workstation Linux possono accedere ai file di WorkDrive dal desktop senza soluzioni alternative
• Limiti della beta: alcune funzionalità non sono ancora disponibili; ad esempio, l'app Linux non supporta la sincronizzazione di più account

Dettagli tecnici

Il client Linux TrueSync supporta:

• Accesso ai file di WorkDrive tramite un'unità virtuale, senza occupare spazio locale
• Sincronizzazione automatica delle modifiche con l'app web di WorkDrive
• Accesso offline selettivo (contrassegna file o cartelle specifici per l'uso offline)
• Condivisione dei file con i membri del team e collaboratori esterni

Zoho Desk: risposta di massa e miglioramenti dell'intelligenza artificiale

I recenti aggiornamenti di Zoho Desk portano due miglioramenti per i team di assistenza: modelli e snippet nelle risposte multiple e l'assistenza IA di Zia all'interno dei ticket.

1. Modelli di risposta di massa + snippet

Gli agenti possono ora inserire modelli di e-mail e snippet direttamente dall'editor delle risposte multiple, per rispondere in modo uniforme quando gestiscono più ticket con problemi simili (edizioni Professional ed Enterprise). È particolarmente utile per:

• Outage Communications: Send consistent updates to all affected customers
• Product Announcements: Reply to inquiries about new features with standardized responses
• Policy Changes: Ensure all customers receive accurate information
• Seasonal Responses: Holiday hours, shipping updates, or promotional information

2. Assistenza Zia basata sull'intelligenza artificiale

Le funzionalità di IA di Zia in Desk offrono tre capacità chiave all'interno dei ticket:

• Riepiloghi dei ticket: genera automaticamente riepiloghi concisi delle lunghe conversazioni dei ticket
• Aiuto nelle risposte: bozze di risposta che combinano la conversazione del ticket con gli articoli della tua knowledge base
• Approfondimenti: analisi del sentiment (positivo, neutro o negativo) e tagging degli argomenti chiave

Elementi essenziali di piattaforma e automazione

Alcuni comportamenti fondamentali della piattaforma sono importanti da conoscere per le tue integrazioni e automazioni:

Scrivi lavori asincroni in blocco in CRM

I job di Bulk Write in Zoho CRM sono asincroni: la risposta non è disponibile immediatamente. Ecco cosa devi sapere:

• Imposta un URL di callback per ricevere una notifica al completamento di un job
• Oppure controlla periodicamente lo stato del job per monitorare i job di lunga durata

Firma HMAC del webhook

Zoho Projects e Zoho Sign possono firmare i webhook con HMAC-SHA256. Projects invia la firma nell'header X-ZP-WEBHOOK-SIGNATURE e Sign in X-ZS-WEBHOOK-SIGNATURE; entrambe sono codificate in base64 e calcolate sulla stringa grezza del payload. Importante: convalida sempre questi header nei tuoi ricevitori di webhook.

// Example webhook validation (Node.js) - Zoho Projects / Zoho Sign
const crypto = require('crypto');

function validateWebhook(rawBody, signature, secret) {
    // Hash the raw payload string, not re-serialized JSON
    const expected = Buffer.from(crypto
        .createHmac('sha256', secret)
        .update(rawBody)
        .digest('base64'));
    const received = Buffer.from(signature || '');

    return expected.length === received.length &&
        crypto.timingSafeEqual(expected, received);
}

// In your webhook handler
// Projects: x-zp-webhook-signature | Sign: x-zs-webhook-signature
if (!validateWebhook(rawBody, req.headers['x-zp-webhook-signature'], SECRET)) {
    return res.status(401).send('Invalid signature');
}

Registra la semantica Upsert

L'API Records Upsert controlla i campi di verifica dei duplicati: se esiste un record corrispondente, viene aggiornato; altrimenti viene inserito un nuovo record. Passa duplicate_check_fields per scegliere quali campi controllare; se lo ometti, vengono controllati prima i campi definiti dal sistema e poi i campi univoci definiti dall'utente.

Cambiamenti politici critici per la sicurezza (azione richiesta)

È qui che devi prestare molta attenzione. Zoho sta apportando due modifiche significative relative alla sicurezza che influenzeranno il modo in cui autentichi le chiamate API e gestisci le connessioni OAuth.

Deprecazione del connettore OAuth: 31 gennaio 2026

Data rivista: 31 gennaio 2026 (inizialmente 31 dicembre 2025)

Zoho sta deprecando il connettore Zoho OAuth predefinito in tutti i servizi Zoho che supportano le connessioni Deluge, ad eccezione di Zoho Creator. Il 31 gennaio 2026 la creazione di nuove connessioni Zoho OAuth verrà disattivata e il connettore verrà rimosso dall'elenco dei servizi predefiniti. Usa invece connettori specifici per servizio o un connettore personalizzato.

Cosa sta cambiando

• Connettore OAuth predefinito rimosso: il connettore generico "Zoho OAuth" verrà rimosso dall'elenco dei servizi predefiniti e non sarà più possibile creare nuove connessioni
• Connessioni specifiche per servizio: usa il connettore integrato di ciascun servizio Zoho (CRM, Books, Projects, ecc.)
• Connettori personalizzati per più servizi: se una connessione richiede scope di più servizi Zoho, crea un connettore personalizzato
• Le connessioni esistenti funzionano (per ora): le connessioni Zoho OAuth esistenti continuano a funzionare temporaneamente; Zoho le deprecherà in seguito, con preavviso agli utenti che le utilizzano ancora

Perché questo è importante

Il connettore OAuth predefinito era comodo, ma Zoho cita una crescente complessità tecnica e problemi di sicurezza:

• Ambito troppo ampio (una sola autenticazione per più servizi Zoho, con tutti i loro scope)
• Le connessioni specifiche per servizio rispettano il principio del privilegio minimo

Come migrare

1. Verifica le connessioni: elenca tutte le integrazioni che usano il connettore OAuth predefinito
2. Crea connessioni specifiche per servizio: usa le impostazioni delle connessioni di ciascuna app Zoho (in Zoho CRM: Setup → Developer Hub → Connections)
3. Crea connettori personalizzati se necessario: se una connessione deve coprire più servizi Zoho, crea un connettore personalizzato (puoi registrare il tuo client OAuth nella Zoho API Console)
4. Aggiorna le integrazioni: sostituisci i riferimenti al connettore OAuth predefinito con le nuove connessioni specifiche per servizio
5. Testa accuratamente: verifica che tutte le integrazioni funzionino con le nuove connessioni prima del 31 gennaio 2026

Diluvio di modifiche alla sicurezza di invokeURL

Stato: già in vigore

La deprecazione delle credenziali incorporate nel campo URL di invokeURL in Deluge è in vigore da settembre 2025; le chiamate interessate ora restituiscono errori di esecuzione. Il campo URL deve contenere solo l'URL dell'endpoint. Usa le Connections per gestire l'autenticazione in modo sicuro.

Cosa è cambiato

In precedenza era possibile incorporare nome utente e password direttamente nel campo URL di invokeURL, in questo modo:

// NO LONGER SUPPORTED - DO NOT USE
response = invokeurl
[
    url: "https://username:password@api.example.com/endpoint"
    type: GET
];

Usa invece una Connection:

// Create a Connection in Zoho first, then reference it
response = invokeurl
[
    url: "https://api.example.com/endpoint"
    type: GET
    connection: "your_connection_name"
];

Perché è stata apportata questa modifica

• Sicurezza: le credenziali incorporate negli URL possono finire inavvertitamente nella cronologia del browser, nei server proxy o nei log dei server, oppure essere esposte tramite phishing
• Compatibilità: i browser e gli strumenti API più diffusi bloccano gli URL con credenziali incorporate
• Rotazione: aggiorna le credenziali in un unico punto (impostazioni della Connection) invece di cercarle negli script

Come aggiornare i tuoi script

1. Individua gli script interessati: cerca nel codice Deluge le chiamate invokeURL con credenziali nell'URL (username:password@host)
2. Crea le Connections: per ogni servizio esterno, crea una Connection in Zoho
3. Aggiorna le chiamate invokeURL: sostituisci le credenziali incorporate con riferimenti alle Connections
4. Testa accuratamente: verifica che tutte le chiamate API funzionino con l'approccio basato sulle Connections
5. Rimuovi le vecchie credenziali: elimina le credenziali incorporate dal codice

La tua lista di controllo delle azioni da intraprendere

Ecco il tuo piano d'azione prioritario per questi aggiornamenti di dicembre:

Hai bisogno di aiuto con questi aggiornamenti?

Se ti senti sopraffatto da queste modifiche alla sicurezza o non sai da dove iniziare, possiamo aiutarti. ZMCOR è specializzato in integrazioni Zoho, sviluppo API e migrazioni di piattaforme.

Servizi che offriamo

• OAuth Migration: Audit and migrate from default OAuth to service-specific connections
• Deluge Script Updates: Convert embedded credentials to secure Connections
• Integration Testing: Comprehensive testing to ensure nothing breaks
• Documentation: Document your new connection architecture
• Training: Train your team on new security best practices

Rimani al passo con gli aggiornamenti di Zoho

Zoho continua a evolversi rapidamente, con nuove funzionalità, miglioramenti della sicurezza e cambiamenti della piattaforma annunciati regolarmente. Gli aggiornamenti di dicembre 2025 sono particolarmente importanti perché comportano modifiche di sicurezza che richiedono un'azione.

The key takeaways:

• WorkDrive TrueSync è ora disponibile per Linux (beta): ottimo per i team di sviluppo
• Le funzionalità di IA di Zoho Desk continuano a migliorare l'efficienza dell'assistenza
• Connettore Zoho OAuth: dopo il 31 gennaio 2026 non è più possibile creare nuove connessioni – migra a connessioni specifiche per servizio o personalizzate
• Le credenziali incorporate negli URL di Deluge invokeURL non sono più supportate – usa le Connections

Non aspettare fino all'ultimo minuto. Inizia oggi la pianificazione della migrazione, esegui test approfonditi e assicurati che le tue integrazioni continuino a funzionare senza intoppi fino al 2026.