Atualizações críticas da plataforma Zoho, dezembro de 2025: alterações de segurança e API que você não pode ignorar

Atualizações recentes da plataforma

A Zoho lançou várias atualizações recentes que afetam a forma como você sincroniza arquivos, responde a tickets de suporte e se integra a sistemas de terceiros. Algumas são melhorias de recursos; outras são mudanças de política de segurança que exigem sua atenção.

WorkDrive TrueSync: suporte a desktop Linux

Zoho WorkDrive agora tem o aplicativo de desktop (TrueSync) disponível para Linux em versão beta, anunciado em outubro de 2025, ao lado dos aplicativos já existentes para Windows e macOS.

O que isso significa para você

• Distribuições suportadas: distribuições baseadas no Ubuntu LTS (22.04, 24.04 e derivadas) e a versão estável mais recente do Fedora Workstation
• Bom para desenvolvedores: equipes de desenvolvimento que usam estações de trabalho Linux podem acessar os arquivos do WorkDrive pelo desktop sem soluções alternativas
• Limitações da versão beta: alguns recursos ainda não estão disponíveis; por exemplo, o aplicativo para Linux não permite sincronizar várias contas

Detalhes técnicos

O cliente TrueSync para Linux oferece suporte a:

• Acesso aos arquivos do WorkDrive por meio de uma unidade virtual, sem ocupar armazenamento local
• Sincronização automática das alterações com o aplicativo web do WorkDrive
• Acesso offline seletivo (marque arquivos ou pastas específicos para uso offline)
• Compartilhamento de arquivos com membros da equipe e colaboradores externos

Zoho Desk: resposta em massa e melhorias de IA

Zoho Desk traz, em atualizações recentes, duas melhorias para as equipes de suporte: modelos e snippets nas respostas em massa e a assistência de IA do Zia dentro dos tickets.

1. Modelos de resposta em massa + snippets

Os agentes agora podem inserir modelos de e-mail e snippets diretamente no editor de resposta em massa, respondendo de forma uniforme ao lidar com vários tickets com problemas semelhantes (edições Professional e Enterprise). Isso é especialmente útil para:

• Comunicação de indisponibilidades: Envie atualizações consistentes a todos os clientes afetados
• Anúncios de produtos: Responda a perguntas sobre novos recursos com respostas padronizadas
• Mudanças de política: Garanta que todos os clientes recebam informações precisas
• Respostas sazonais: Horários de feriados, atualizações de envio ou informações promocionais

2. Assistência com IA do Zia

Os recursos de IA do Zia no Desk oferecem três funcionalidades principais dentro dos tickets:

• Resumos de tickets: Gere automaticamente resumos concisos de longas threads de tickets
• Ajuda nas respostas: rascunhos de resposta que combinam a conversa do ticket com os artigos da sua base de conhecimento
• Insights: análise de sentimento (positivo, neutro ou negativo) e marcação dos principais tópicos

Fundamentos de plataforma e automação

Alguns comportamentos centrais da plataforma merecem atenção nas suas integrações e automações:

Jobs assíncronos de Bulk Write no CRM

Os jobs de Bulk Write no Zoho CRM são assíncronos: a resposta não fica disponível imediatamente. Veja o que você precisa saber:

• Defina uma URL de callback para ser notificado quando um job for concluído
• Ou verifique periodicamente o status do job para acompanhar jobs de longa duração

Assinatura HMAC de webhooks

O Zoho Projects e o Zoho Sign podem assinar webhooks com HMAC-SHA256. O Projects envia a assinatura no cabeçalho X-ZP-WEBHOOK-SIGNATURE e o Sign no X-ZS-WEBHOOK-SIGNATURE; ambas são codificadas em base64 e calculadas sobre o payload bruto (string). Importante: sempre valide esses cabeçalhos nos seus receptores de webhook.

// Example webhook validation (Node.js) - Zoho Projects / Zoho Sign
const crypto = require('crypto');

function validateWebhook(rawBody, signature, secret) {
    // Hash the raw payload string, not re-serialized JSON
    const expected = Buffer.from(crypto
        .createHmac('sha256', secret)
        .update(rawBody)
        .digest('base64'));
    const received = Buffer.from(signature || '');

    return expected.length === received.length &&
        crypto.timingSafeEqual(expected, received);
}

// In your webhook handler
// Projects: x-zp-webhook-signature | Sign: x-zs-webhook-signature
if (!validateWebhook(rawBody, req.headers['x-zp-webhook-signature'], SECRET)) {
    return res.status(401).send('Invalid signature');
}

Semântica de upsert de registros

A API Records Upsert verifica os campos de verificação de duplicidade: se existir um registro correspondente, ele é atualizado; caso contrário, um novo registro é inserido. Use duplicate_check_fields para controlar quais campos são verificados; se você omitir esse parâmetro, os campos definidos pelo sistema são verificados primeiro e depois os campos únicos definidos pelo usuário.

Mudanças de política críticas para a segurança (ação necessária)

É aqui que você precisa prestar muita atenção. O Zoho está fazendo duas mudanças significativas relacionadas à segurança que vão afetar a forma como você autentica chamadas de API e gerencia conexões OAuth.

Descontinuação do conector OAuth: 31 de janeiro de 2026

Data revisada: 31 de janeiro de 2026 (originalmente 31 de dezembro de 2025)

A Zoho está descontinuando o conector padrão Zoho OAuth em todos os serviços Zoho que suportam conexões Deluge, exceto o Zoho Creator. Em 31 de janeiro de 2026, a criação de novas conexões Zoho OAuth será desativada e o conector será removido da lista de serviços padrão. Use conectores específicos de cada serviço ou um conector personalizado.

O que está mudando

• Conector OAuth padrão removido: o conector genérico "Zoho OAuth" será removido da lista de serviços padrão e não será possível criar novas conexões
• Conexões específicas por serviço: use o conector integrado de cada serviço Zoho (CRM, Books, Projects etc.)
• Conectores personalizados para vários serviços: se uma conexão precisar de escopos de vários serviços Zoho, crie um conector personalizado
• Conexões existentes continuam funcionando (por enquanto): as conexões Zoho OAuth existentes continuam funcionando temporariamente; a Zoho vai descontinuá-las mais tarde, com aviso prévio aos usuários que ainda dependem delas

Por que isso importa

O conector OAuth padrão era prático, mas a Zoho cita uma complexidade técnica crescente e preocupações de segurança:

• Escopo amplo (uma única autenticação para vários serviços Zoho, com suporte a todos os seus escopos)
• Conexões específicas por serviço seguem o princípio do menor privilégio

Como migrar

1. Audite suas conexões: Liste todas as integrações que usam o conector OAuth padrão
2. Crie conexões específicas por serviço: use as configurações de Conexões de cada aplicativo Zoho (no Zoho CRM: Setup → Developer Hub → Connections)
3. Crie conectores personalizados quando necessário: se uma conexão precisar abranger vários serviços Zoho, crie um conector personalizado (você pode registrar seu próprio cliente OAuth no Zoho API Console)
4. Atualize suas integrações: Substitua as referências ao OAuth padrão por novas conexões específicas de cada serviço
5. Teste com cuidado: verifique se todas as integrações funcionam com as novas conexões antes de 31 de janeiro de 2026

Mudanças de segurança no invokeURL do Deluge

Status: já em vigor

A descontinuação das credenciais incorporadas no campo de URL do invokeURL no Deluge entrou em vigor em setembro de 2025; as chamadas afetadas agora retornam erros de execução. O campo de URL deve conter apenas a URL do endpoint. Use Conexões para lidar com a autenticação com segurança.

O que mudou

Antes, era possível incorporar um nome de usuário e uma senha diretamente no campo de URL do invokeURL, assim:

// NO LONGER SUPPORTED - DO NOT USE
response = invokeurl
[
    url: "https://username:password@api.example.com/endpoint"
    type: GET
];

Em vez disso, use uma Conexão:

// Create a Connection in Zoho first, then reference it
response = invokeurl
[
    url: "https://api.example.com/endpoint"
    type: GET
    connection: "your_connection_name"
];

Por que essa mudança foi feita

• Segurança: credenciais incorporadas em URLs podem ser registradas inadvertidamente no histórico do navegador, em servidores proxy ou em logs de servidor, ou expostas por phishing
• Compatibilidade: navegadores e ferramentas de API populares bloqueiam URLs com credenciais incorporadas
• Rotação: atualize as credenciais em um só lugar (configurações da Conexão) em vez de procurá-las nos scripts

Como atualizar seus scripts

1. Identifique os scripts afetados: procure no seu código Deluge chamadas invokeURL com credenciais na URL (username:password@host)
2. Crie conexões: Para cada serviço externo, crie uma Connection no Zoho
3. Atualize as chamadas invokeURL: substitua as credenciais incorporadas por referências a conexões
4. Teste minuciosamente: Verifique se todas as chamadas de API funcionam com a nova abordagem baseada em Connections
5. Remova as credenciais antigas: Exclua as credenciais incorporadas do seu código

Checklist dos seus itens de ação

Este é o seu plano de ação priorizado para as atualizações de dezembro:

Precisa de ajuda com essas atualizações?

Se você está se sentindo sobrecarregado com essas mudanças de segurança ou não sabe por onde começar, podemos ajudar. A ZMCOR é especializada em integrações Zoho, desenvolvimento de APIs e migrações de plataforma.

Serviços que oferecemos

• Migração de OAuth: Auditoria e migração do OAuth padrão para conexões específicas de cada serviço
• Atualização de scripts Deluge: Conversão de credenciais incorporadas em Connections seguras
• Testes de integração: Testes abrangentes para garantir que nada quebre
• Documentação: Documentação da sua nova arquitetura de conexões
• Treinamento: Treinamento da sua equipe nas novas boas práticas de segurança

Fique à frente das atualizações do Zoho

Zoho continues to evolve rapidly, with new features, security improvements, and platform changes announced regularly. As atualizações de dezembro de 2025 são particularmente importantes porque envolvem mudanças de segurança que exigem ação.

Os principais pontos:

• O WorkDrive TrueSync agora está disponível para Linux (beta) - ótimo para equipes de desenvolvimento
• Os recursos de IA do Zoho Desk continuam a melhorar a eficiência do suporte
• Conector Zoho OAuth: novas conexões não poderão ser criadas após 31 de janeiro de 2026 - migre para conexões específicas por serviço ou personalizadas
• Credenciais incorporadas em URLs do invokeURL no Deluge não são mais suportadas - use Conexões

Não espere até o último minuto. Comece hoje o planejamento da migração, teste tudo minuciosamente e garanta que suas integrações continuem funcionando bem em 2026.