Zoho プラットフォームの重要な更新 2025 年 12 月: 無視できないセキュリティと API の変更

最近のプラットフォーム アップデート

Zoho は最近、ファイルの同期方法、サポート チケットへの対応方法、サードパーティ システムとの統合方法に影響を与えるいくつかのアップデートを公開しました。機能拡張もあれば、注意が必要なセキュリティ ポリシーの変更もあります。

WorkDrive TrueSync: Linux デスクトップのサポート

Zoho WorkDrive のデスクトップ アプリ (TrueSync) が、既存の Windows 版・macOS 版に加えて Linux 向けのベータ版として提供されるようになりました (2025 年 10 月発表)。

これがあなたにとって何を意味するか

• 対応ディストリビューション: Ubuntu LTS ベースのディストリビューション (22.04、24.04 および派生版) と Fedora Workstation の最新安定版
• 開発者に優しい: Linux ワークステーションを使用している開発チームは、回避策なしでデスクトップから WorkDrive のファイルにアクセスできます
• ベータ版の制限: 一部の機能はまだ利用できません。たとえば、Linux アプリは複数アカウントの同期に対応していません

技術的な詳細

Linux TrueSync クライアントは以下をサポートします。

• ローカル ストレージを使わずに、仮想ドライブ経由で WorkDrive のファイルにアクセス
• WorkDrive Web アプリとの変更の自動同期
• 選択的なオフライン アクセス (特定のファイルやフォルダーをオフライン用に指定)
• チーム メンバーや外部の共同作業者とのファイル共有

Zoho Desk: 一括返信と AI の強化

Zoho Desk の最近のアップデートでは、サポート チーム向けに 2 つの改善が加わりました。一括返信でのテンプレートとスニペットの利用と、チケット内での Zia AI による支援です。

1. 一括返信テンプレート + スニペット

エージェントは一括返信エディターからメール テンプレートとスニペットを直接挿入できるようになり、同様の問題を抱えた複数のチケットに統一的に対応できます (Professional および Enterprise エディション)。これは特に次の場合に役立ちます。

• 停電時の通信: 影響を受けるすべての顧客に一貫した更新を送信する
• 製品のお知らせ: 新機能に関する問い合わせには標準化された回答で回答します
• ポリシーの変更: すべての顧客が正確な情報を確実に受け取れるようにする
• 季節的な反応: 休日営業時間、配送に関する最新情報、またはプロモーション情報

2. Zia AI を活用した支援

Desk の Zia の AI 機能は、チケット内で次の 3 つの主要な機能を提供します。

• チケットの概要: 長いチケットスレッドの簡潔な要約を自動的に生成します
• 返信の支援: チケットのやり取りとナレッジベース記事を組み合わせた返信の下書き
• 洞察: 感情分析 (ポジティブ、ニュートラル、ネガティブ) と主要トピックのタグ付け

プラットフォームと自動化の必需品

統合と自動化のために理解しておきたいコア プラットフォームの動作がいくつかあります。

CRM での非同期ジョブの一括書き込み

Zoho CRM の一括書き込み (Bulk Write) ジョブは非同期で、レスポンスはすぐには得られません。知っておくべきことは次のとおりです。

• コールバック URL を設定すると、ジョブ完了時に通知を受け取れます
• または、ジョブのステータスを定期的に確認して長時間実行されるジョブを監視します

Webhook HMAC 署名

Zoho Projects と Zoho Sign は HMAC-SHA256 で Webhook に署名できます。Projects は X-ZP-WEBHOOK-SIGNATURE ヘッダー、Sign は X-ZS-WEBHOOK-SIGNATURE ヘッダーで署名を送信します。どちらも base64 でエンコードされ、生のペイロード文字列に対して計算されます。 重要: Webhook レシーバーでは必ずこれらのヘッダーを検証してください。

// Example webhook validation (Node.js) - Zoho Projects / Zoho Sign
const crypto = require('crypto');

function validateWebhook(rawBody, signature, secret) {
    // Hash the raw payload string, not re-serialized JSON
    const expected = Buffer.from(crypto
        .createHmac('sha256', secret)
        .update(rawBody)
        .digest('base64'));
    const received = Buffer.from(signature || '');

    return expected.length === received.length &&
        crypto.timingSafeEqual(expected, received);
}

// In your webhook handler
// Projects: x-zp-webhook-signature | Sign: x-zs-webhook-signature
if (!validateWebhook(rawBody, req.headers['x-zp-webhook-signature'], SECRET)) {
    return res.status(401).send('Invalid signature');
}

レコードのアップサートのセマンティクス

Records Upsert API は重複チェック フィールドを確認し、一致するレコードがあれば更新し、なければ新しいレコードを挿入します。duplicate_check_fields を指定するとチェックするフィールドを制御できます。省略した場合は、システム定義のフィールドが先に、次にユーザー定義の一意フィールドがチェックされます。

セキュリティ クリティカルなポリシーの変更 (アクションが必要)

ここは細心の注意を払う必要があります。 Zoho では、API 呼び出しの認証方法と OAuth 接続の管理方法に影響するセキュリティ関連の 2 つの重要な変更が加えられています。

OAuth コネクタの廃止: 2026 年 1 月 31 日

変更後の日付: 2026 年 1 月 31 日 (当初は 2025 年 12 月 31 日)

Zoho は、Deluge 接続をサポートするすべての Zoho サービス (Zoho Creator を除く) で、デフォルトの Zoho OAuth コネクタを廃止します。2026 年 1 月 31 日に新しい Zoho OAuth 接続の作成が無効になり、コネクタはデフォルト サービスの一覧から削除されます。代わりにサービス固有のコネクタまたはカスタム コネクタを使用してください。

何が変わっているのか

• デフォルトの OAuth コネクタの削除: 汎用の「Zoho OAuth」コネクタはデフォルト サービスの一覧から削除され、新しい接続を作成できなくなります
• サービス固有の接続: 各 Zoho サービス (CRM、Books、Projects など) の組み込みコネクタを使用します
• 複数サービスにはカスタム コネクタ: 1 つの接続で複数の Zoho サービスのスコープが必要な場合は、カスタム コネクタを作成します
• 既存の接続は当面動作: 既存の Zoho OAuth 接続は一時的に引き続き機能します。Zoho は後日これらを廃止し、まだ利用しているユーザーには事前に通知します

なぜこれが重要なのか

デフォルトの OAuth コネクタは便利でしたが、Zoho は技術的な複雑さの増大とセキュリティ上の懸念を理由に挙げています。

• 範囲が広い (1 回の認証で複数の Zoho サービスに接続でき、それらのすべてのスコープをサポート)
• サービス固有の接続は最小特権の原則に沿っています

移行方法

1. 接続を監査する: デフォルトの OAuth コネクタを使用してすべての統合を一覧表示します
2. サービス固有の接続を作成します。 各 Zoho アプリの接続設定を使用します (Zoho CRM の場合: [設定] → [Developer Hub] → [接続])
3. 必要に応じてカスタム コネクタを作成します。 1 つの接続で複数の Zoho サービスにまたがる必要がある場合は、カスタム コネクタを作成します (Zoho API コンソール で独自の OAuth クライアントを登録できます)
4. 統合を更新します。 デフォルトの OAuth 参照を新しいサービス固有の接続に置き換えます
5. 徹底的にテストする: 2026 年 1 月 31 日までに、すべての統合が新しい接続で機能することを確認してください。

Deluge invokeURL のセキュリティ変更

ステータス: すでに有効です

invokeURL の URL フィールドに埋め込まれた認証情報の Deluge でのサポート終了は、 2025 年 9 月に発効しました。該当する呼び出しは現在、実行エラーを返します。URL フィールドにはエンドポイント URL のみを指定してください。認証を安全に処理するには接続 (Connections) を使用します。

何が変わったのか

以前は、次のように invokeURL の URL フィールドにユーザー名とパスワードを直接埋め込むことができました。

// NO LONGER SUPPORTED - DO NOT USE
response = invokeurl
[
    url: "https://username:password@api.example.com/endpoint"
    type: GET
];

代わりに接続を使用してください。

// Create a Connection in Zoho first, then reference it
response = invokeurl
[
    url: "https://api.example.com/endpoint"
    type: GET
    connection: "your_connection_name"
];

この変更が行われた理由

• セキュリティ: URL に埋め込まれた認証情報は、ブラウザーの履歴、プロキシ サーバー、サーバー ログに意図せず記録されたり、フィッシングによって漏えいしたりする可能性があります
• 互換性: 主要なブラウザーや API ツールは、認証情報が埋め込まれた URL をブロックします
• ローテーション: スクリプトを探し回るのではなく、資格情報を 1 か所 (接続設定) で更新します。

スクリプトを更新する方法

1. 影響を受けるスクリプトを特定します。 Deluge コードから、URL に認証情報 (username:password@host) を含む invokeURL 呼び出しを検索します
2. 接続を作成します。 外部サービスごとに、Zoho に接続を作成します。
3. invokeURL 呼び出しを更新します。 埋め込まれた認証情報を接続参照に置き換えます
4. 徹底的にテストする: すべての API 呼び出しが新しい接続ベースのアプローチで機能することを確認します。
5. 古い認証情報を削除します。 コードから埋め込み認証情報を削除する

アクションアイテムのチェックリスト

これらの 12 月のアップデートに対する優先順位の高いアクション プランは次のとおりです。

これらのアップデートに関するサポートが必要ですか?

これらのセキュリティの変更に圧倒されている場合、またはどこから始めればよいかわからない場合は、私たちがお手伝いいたします。 ZMCOR は、Zoho 統合、API 開発、およびプラットフォーム移行を専門としています。

私たちが提供するサービス

• OAuth の移行: デフォルトの OAuth 接続を監査してサービス固有の接続に移行する
• Deluge スクリプトの更新: 埋め込み認証情報を安全な接続に変換する
• 統合テスト: 何も壊れていないことを確認するための包括的なテスト
• ドキュメント: 新しい接続アーキテクチャを文書化する
• トレーニング: 新しいセキュリティのベスト プラクティスについてチームをトレーニングする

Zoho の更新を先取りする

Zoho は、新機能、セキュリティの改善、プラットフォームの変更が定期的に発表され、急速に進化し続けています。 2025 年 12 月の更新は、対応が必要なセキュリティ関連の変更が含まれるため、特に重要です。

重要なポイント:

• WorkDrive TrueSync が Linux 向けにベータ版で提供開始 - 開発チームに最適
• Zoho Desk AI 機能によりサポート効率が向上し続けます
• Zoho OAuth コネクタ: 2026 年 1 月 31 日以降は新しい接続を作成できません - サービス固有またはカスタムの接続に移行してください
• Deluge の invokeURL の URL に埋め込まれた認証情報はサポートされなくなりました - 接続を使用してください

最後の瞬間まで待ってはいけません。今すぐ移行計画を開始し、徹底的にテストして、統合が 2026 年までスムーズに実行され続けることを確認してください。