Критические обновления платформы Zoho, декабрь 2025 г.: изменения в безопасности и API, которые нельзя игнорировать

Последние обновления платформы

Zoho выпустила несколько недавних обновлений, которые влияют на синхронизацию файлов, ответы на обращения в поддержку и интеграцию со сторонними системами. Часть из них — улучшения функций, другие — изменения политики безопасности, требующие вашего внимания.

WorkDrive TrueSync: поддержка Linux на десктопе

Zoho WorkDrive — настольное приложение (TrueSync) теперь доступно для Linux в бета-версии (анонсировано в октябре 2025 г.) наряду с уже существующими приложениями для Windows и macOS.

Что это значит для вас

• Поддерживаемые дистрибутивы: дистрибутивы на базе Ubuntu LTS (22.04, 24.04 и производные) и последняя стабильная версия Fedora Workstation
• Удобно для разработчиков: команды разработчиков на рабочих станциях Linux могут работать с файлами WorkDrive прямо с рабочего стола без обходных путей
• Ограничения бета-версии: некоторые функции пока недоступны; например, приложение для Linux не поддерживает синхронизацию нескольких учетных записей

Технические подробности

Клиент TrueSync для Linux поддерживает:

• Доступ к файлам WorkDrive через виртуальный диск без использования локального хранилища
• Автоматическая синхронизация изменений с веб-приложением WorkDrive
• Выборочный офлайн-доступ (отметьте отдельные файлы или папки для работы офлайн)
• Общий доступ к файлам для участников команды и внешних партнеров

Zoho Desk: массовые ответы и улучшения ИИ

Zoho Desk — в недавних обновлениях появились два улучшения для команд поддержки: шаблоны и фрагменты (snippets) в массовых ответах и помощь ИИ Zia внутри тикетов.

1. Шаблоны массовых ответов + сниппеты

Агенты теперь могут вставлять шаблоны писем и фрагменты прямо в редакторе массового ответа, чтобы единообразно отвечать на несколько тикетов с похожими проблемами (редакции Professional и Enterprise). Это особенно полезно для:

• Сообщения о сбоях: отправляйте единообразные обновления всем затронутым клиентам
• Анонсы продуктов: отвечайте на вопросы о новых функциях стандартизированными ответами
• Изменения политик: обеспечьте, чтобы все клиенты получали точную информацию
• Сезонные ответы: праздничный график работы, новости о доставке или информация об акциях

2. Помощь ИИ Zia

ИИ-функции Zia в Desk предлагают три ключевые возможности внутри тикетов:

• Сводки по обращениям: автоматически создавайте краткие сводки длинных переписок по обращениям
• Помощь с ответами: черновики ответов, объединяющие переписку по тикету со статьями вашей базы знаний
• Аналитика: анализ тональности (позитивная, нейтральная или негативная) и пометка ключевых тем

Основы платформы и автоматизации

Некоторые базовые особенности платформы стоит понимать при построении интеграций и автоматизаций:

Асинхронные задания Bulk Write в CRM

Задания Bulk Write в Zoho CRM асинхронны: ответ доступен не сразу. Вот что нужно знать:

• Укажите URL обратного вызова (callback), чтобы получить уведомление о завершении задания
• Или периодически проверяйте статус задания, чтобы отслеживать длительные задания

Подпись вебхуков HMAC

Zoho Projects и Zoho Sign могут подписывать вебхуки с помощью HMAC-SHA256. Projects передает подпись в заголовке X-ZP-WEBHOOK-SIGNATURE, а Sign — в X-ZS-WEBHOOK-SIGNATURE; обе подписи закодированы в base64 и вычисляются по исходной строке полезной нагрузки. Важно: всегда проверяйте эти заголовки в обработчиках вебхуков.

// Example webhook validation (Node.js) - Zoho Projects / Zoho Sign
const crypto = require('crypto');

function validateWebhook(rawBody, signature, secret) {
    // Hash the raw payload string, not re-serialized JSON
    const expected = Buffer.from(crypto
        .createHmac('sha256', secret)
        .update(rawBody)
        .digest('base64'));
    const received = Buffer.from(signature || '');

    return expected.length === received.length &&
        crypto.timingSafeEqual(expected, received);
}

// In your webhook handler
// Projects: x-zp-webhook-signature | Sign: x-zs-webhook-signature
if (!validateWebhook(rawBody, req.headers['x-zp-webhook-signature'], SECRET)) {
    return res.status(401).send('Invalid signature');
}

Семантика upsert для записей

API Records Upsert проверяет поля проверки дубликатов: если найдена совпадающая запись, она обновляется; иначе вставляется новая запись. Передайте duplicate_check_fields, чтобы управлять тем, какие поля проверяются; если параметр не указан, сначала проверяются системные поля, затем пользовательские уникальные поля.

Критически важные изменения политик безопасности (требуются действия)

Здесь нужно быть особенно внимательным. Zoho вносит два значительных изменения, связанных с безопасностью, которые повлияют на то, как вы аутентифицируете вызовы API и управляете подключениями OAuth.

Прекращение поддержки коннектора OAuth: 31 января 2026 г.

Пересмотренная дата: 31 января 2026 г. (изначально 31 декабря 2025 г.)

Zoho прекращает поддержку стандартного коннектора Zoho OAuth во всех сервисах Zoho, поддерживающих подключения Deluge, кроме Zoho Creator. 31 января 2026 г. создание новых подключений Zoho OAuth будет отключено, а коннектор будет удален из списка стандартных сервисов. Используйте коннекторы конкретных сервисов или пользовательский коннектор.

Что меняется

• Стандартный коннектор OAuth удаляется: универсальный коннектор «Zoho OAuth» будет удален из списка стандартных сервисов, и создавать новые подключения будет нельзя
• Подключения для конкретных сервисов: используйте встроенный коннектор каждого сервиса Zoho (CRM, Books, Projects и т. д.)
• Пользовательские коннекторы для нескольких сервисов: если одному подключению нужны области доступа (scopes) нескольких сервисов Zoho, создайте пользовательский коннектор
• Существующие подключения пока работают: существующие подключения Zoho OAuth временно продолжают функционировать; позже Zoho выведет их из употребления, заранее уведомив пользователей, которые на них полагаются

Почему это важно

Стандартный коннектор OAuth был удобен, но Zoho указывает на растущую техническую сложность и проблемы безопасности:

• Широкая область действия (одна аутентификация для нескольких сервисов Zoho с поддержкой всех их областей доступа)
• Подключения для конкретных сервисов соответствуют принципу минимальных привилегий

Как выполнить миграцию

1. Проведите аудит подключений: составьте список всех интеграций, использующих стандартный коннектор OAuth
2. Создайте подключения для конкретных сервисов: используйте настройки подключений (Connections) каждого приложения Zoho (в Zoho CRM: Setup → Developer Hub → Connections)
3. При необходимости создайте пользовательские коннекторы: если подключение должно охватывать несколько сервисов Zoho, создайте пользовательский коннектор (собственный OAuth-клиент можно зарегистрировать в Zoho API Console)
4. Обновите интеграции: замените ссылки на стандартный OAuth новыми подключениями для конкретных сервисов
5. Тщательно протестируйте: убедитесь, что все интеграции работают с новыми подключениями до 31 января 2026 г.

Изменения безопасности invokeURL в Deluge

Статус: уже действует

Прекращение поддержки учетных данных, встроенных в поле URL вызова invokeURL в Deluge, вступило в силу в сентябре 2025 г.; затронутые вызовы теперь возвращают ошибки выполнения. Поле URL должно содержать только URL конечной точки. Для безопасной аутентификации используйте подключения (Connections).

Что изменилось

Раньше можно было встроить имя пользователя и пароль прямо в поле URL вызова invokeURL, например так:

// NO LONGER SUPPORTED - DO NOT USE
response = invokeurl
[
    url: "https://username:password@api.example.com/endpoint"
    type: GET
];

Вместо этого используйте подключение (Connection):

// Create a Connection in Zoho first, then reference it
response = invokeurl
[
    url: "https://api.example.com/endpoint"
    type: GET
    connection: "your_connection_name"
];

Почему было внесено это изменение

• Безопасность: учетные данные, встроенные в URL, могут случайно попасть в историю браузера, на прокси-серверы или в журналы серверов либо быть раскрыты через фишинг
• Совместимость: популярные браузеры и инструменты для работы с API блокируют URL со встроенными учетными данными
• Ротация: обновляйте учетные данные в одном месте (настройки подключения), а не ищите их по скриптам

Как обновить скрипты

1. Найдите затронутые скрипты: найдите в коде Deluge вызовы invokeURL с учетными данными в URL (username:password@host)
2. Создайте подключения: для каждого внешнего сервиса создайте Connection в Zoho
3. Обновите вызовы invokeURL: замените встроенные учетные данные ссылками на подключения
4. Тщательно протестируйте: убедитесь, что все вызовы API работают с новым подходом на основе Connections
5. Удалите старые учетные данные: удалите встроенные учетные данные из кода

Чек-лист ваших действий

Вот ваш план действий по приоритетам для декабрьских обновлений:

Нужна помощь с этими обновлениями?

Если эти изменения безопасности кажутся вам слишком сложными или вы не знаете, с чего начать, мы можем помочь. ZMCOR специализируется на интеграциях Zoho, разработке API и миграциях платформ.

Наши услуги

• Миграция OAuth: аудит и переход со стандартного OAuth на подключения для конкретных сервисов
• Обновление скриптов Deluge: перевод встроенных учетных данных в защищенные Connections
• Тестирование интеграций: комплексное тестирование, чтобы ничего не сломалось
• Документация: описание вашей новой архитектуры подключений
• Обучение: обучение команды новым лучшим практикам безопасности

Будьте в курсе обновлений Zoho

Zoho continues to evolve rapidly, with new features, security improvements, and platform changes announced regularly. Обновления декабря 2025 г. особенно важны, потому что включают изменения в области безопасности, требующие действий.

Главные выводы:

• WorkDrive TrueSync теперь доступен для Linux (бета) — отлично подходит для команд разработчиков
• функции ИИ в Zoho Desk продолжают повышать эффективность поддержки
• Коннектор Zoho OAuth: после 31 января 2026 г. новые подключения создавать нельзя — переходите на подключения для конкретных сервисов или пользовательские
• Учетные данные, встроенные в URL вызовов invokeURL в Deluge, больше не поддерживаются — используйте подключения

Не откладывайте на последний момент. Начните планировать миграцию уже сегодня, тщательно тестируйте и убедитесь, что ваши интеграции будут бесперебойно работать и в 2026 году.