Data dell'annuncio Data di inizio implementazione Fine dell’implementazione
1 giugno 2026 28 luglio 2026 30 aprile 2027

Zendesk sta rimuovendo i token API come metodo di autenticazione. A partire dal 28 luglio 2026, i token inutilizzati verranno disattivati automaticamente. Entro il 30 aprile 2027, tutti i token API smetteranno di funzionare. Devi migrare le integrazioni a OAuth prima della scadenza finale. Questa modifica riguarda solo le API che attualmente usano token API, tra cui le API di ticketing, del Centro assistenza e Voce. Non si applica ad altri prodotti Zendesk.

Questo annuncio include i seguenti argomenti:

  • Cosa cambia?
  • Perché Zendesk ha deciso di apportare questa modifica?
  • Che cosa devo fare?
  • Domande frequenti

 

Cosa cambia?

Zendesk rimuoverà i token API Support in tre fasi. L’implementazione include la disattivazione automatica per i token inutilizzati, il blocco della creazione di nuovi token e una data finale di disattivazione forzata.

Fase 1 (a partire dal 28 luglio 2026): disattivazione automatica 

Il 28 luglio 2026 entreranno in vigore i seguenti aggiornamenti:

  • Pulizia una tantum: qualsiasi token inutilizzato per 30 giorni o più verrà disattivato. I token disattivati non possono essere usati per effettuare richieste API. I token API disattivati per almeno 60 giorni verranno eliminati definitivamente. 
  • Inizio della disattivazione automatica: a partire dal 28 luglio, i token rimasti inutilizzati per 30 giorni verranno disattivati automaticamente. Se un token API rimane disattivato per altri 60 giorni, verrà eliminato definitivamente. 
  • Nuovi account bloccati: gli account creati a partire dal 28 luglio 2026 non possono creare o usare token API. 

Puoi riattivare i token API disattivati entro il periodo di grazia di 60 giorni prima che vengano eliminati definitivamente. 

Fase 2 (a partire dal 27 ottobre 2026): blocca la creazione di nuovi token 

Gli account non possono più creare nuovi token API tramite l’interfaccia utente o l’API. I token attivi esistenti rimangono utilizzabili fino al 30 aprile 2027, a meno che non vengano disattivati.

Fase 3 (in vigore dal 30 aprile 2027): disattivazione forzata 

Tutti i token API rimanenti saranno disattivati in modo permanente. Gli amministratori non possono riattivare i token e le pagine di gestione dei token API verranno rimosse dal Centro amministrativo.

 

Perché Zendesk apporterà questo cambiamento?

I token API permanenti, tutto o niente, verranno sostituiti con OAuth per offrirti un accesso più sicuro, di breve durata e con un ambito preciso per i workflow basati sulle API. OAuth è lo standard del settore per l’accesso sicuro alle API e fornisce funzionalità di sicurezza che non possono essere integrate nell’architettura dei token API. I token API sono stati progettati per comodità, non per sicurezza, e non dispongono di protezioni fondamentali contro la compromissione delle credenziali.

Le limitazioni di sicurezza dei token API

I token API non dispongono di controlli di sicurezza fondamentali:

  • Nessun meccanismo di rotazione: non è possibile ripetere le credenziali in modo proattivo come pratica di sicurezza. La rotazione di un token API richiede la revoca di quello precedente e l’aggiornamento manuale di ogni integrazione, costringendoti a scegliere tra la protezione della sicurezza e il tempo di attività operativa.
  • Autorizzazioni non dettagliate: un token API può essere usato per impersonare qualsiasi utente nel tuo account, inclusi gli amministratori. Non puoi limitare l’ambito dei token a operazioni specifiche o limitare gli utenti che possono agire: forniscono l’accesso all’account tutto o niente.
  • Nessuna scadenza: i token rimangono validi a tempo indeterminato finché vengono usati. Anche se stiamo introducendo la disattivazione automatica per i token inutilizzati, una credenziale sfruttata attivamente non scade mai, quindi un utente malintenzionato che usa un token rubato ogni pochi giorni può mantenere l'accesso permanente.

Se un token viene compromesso a causa di repository di codice esposti, credenziali trapelate o sistemi compromessi, i malintenzionati ottengono l’accesso permanente all’account. Questi token compromessi spesso rimangono validi per mesi prima del rilevamento.

Perché utilizzare OAuth invece di migliorare i token API

L’autenticazione moderna richiede funzionalità di sicurezza come la scadenza automatica, la rotazione delle credenziali e l’ambito granulare, funzionalità che dipendono da un’architettura di autenticazione fondamentalmente diversa. L’aggiunta di tali protezioni ai token API significherebbe essenzialmente ricostruirli in modo che funzionino come OAuth, con un nome diverso. Ancora più importante, qualsiasi miglioramento ai token API richiederebbe comunque l’aggiornamento dei workflow basati su API. OAuth è il luogo migliore in cui investire: è il protocollo di autenticazione standard del settore, mantenuto attivamente e in continua evoluzione per affrontare le minacce alla sicurezza emergenti, e fornisce le basi giuste su cui basarsi.

 

Che cosa devo fare?

Verifica subito i token API

  1. Nel Centro amministrativo, fai clic su App e integrazioni> API > Token API.
  2. Controlla la data di “Ultimo utilizzo” per ciascun token.
  3. I token inutilizzati per 30 o più giorni saranno disattivati il 28 luglio 2026.
  4. Esamina le descrizioni dei token per identificare i workflow che li usano.

 

Scopri cosa non funzionerà

Se non esegui la migrazione in tempo, qualsiasi integrazione che usa i token API smetterà di funzionare. L’impatto dipende da quanto fai affidamento sui workflow basati su API che usano token API (non OAuth):

  • Webhook che aggiornano i ticket o modificano i dati nel tuo account Zendesk
  • Script personalizzati per l’automazione o la sincronizzazione dei dati
  • Integrazioni di terzi create da appaltatori o sviluppatori esterni
  • Workflow middleware in cui gli agenti non toccano mai direttamente l’interfaccia utente di Zendesk

Le chiamate API che usano token API disattivati restituiranno errori di autenticazione. L’esecuzione dei flussi di lavoro verrà interrotta, i ticket non verranno sincronizzati e i processi automatizzati potrebbero non riuscire automaticamente.

Migra a OAuth

OAuth è il moderno metodo di autenticazione che sostituisce i token API. Dovrai:

  1. Creare un client OAuth nel Centro amministrativo.
  2. Ottenere i token di accesso usando la concessione client_credentials o authorization_code.
  3. Aggiorna le integrazioni per usare OAuth anziché i token API.

Per maggiori informazioni, consulta Migrazione dai token API ai token di accesso OAuth nella nostra documentazione per sviluppatori. 

Monitora i token API

A partire dal 28 luglio, avrai a disposizione nuovi strumenti per gestire questo passaggio:

  • La colonna "Disattiva il" nella pagina dei token API mostra quando i token inutilizzati si disattivano automaticamente
  • Un report sull’utilizzo nella pagina dei token API per mostrare i 7 giorni precedenti di richieste API effettuate con i token API (generazione giornaliera per creare una cronologia continua)
  • Le notifiche email avviseranno tutti gli amministratori:
    • 5 giorni prima del 28 luglio (23 e 27 luglio)
    • Giorno 25 e giorno 29 prima che un token raggiunga 30 giorni di inutilizzo (avviso di disattivazione)
    • Giorno 55 prima dell’eliminazione definitiva di un token disattivato

Usa il periodo di grazia

Tra il 28 luglio 2026 e il 30 aprile 2027, hai tempo per:

  • Provare le implementazioni OAuth
  • Identificare quali token API vengono usati in quali workflow
  • Riattivare i token disattivati (entro 60 giorni prima dell’eliminazione definitiva)
  • Migrare in maniera incrementale: non è necessario eseguire la migrazione tutto in una volta

 

Domande frequenti

Cosa succede in ciascuna data chiave?

Data Cosa succede
23 luglio 2026 Prima notifica email: elenca i token che saranno disattivati/eliminati il 28 luglio
27 luglio 2026 Email di promemoria (1 giorno prima dell’implementazione)
28 luglio 2026

Inizio dell'implementazione:

• Pulizia una tantum: token inutilizzati da oltre 30 giorni → disattivati; token disattivati da oltre 60 giorni → eliminati

• Inizio della disattivazione automatica: 

  • qualsiasi token inutilizzato da 30 giorni → si disattiva automaticamente in futuro
  • qualsiasi token disattivato da 60 giorni → verrà eliminato automaticamente in futuro

• Nuovi account bloccati: gli account creati a partire da questa data non possono creare token API

• Aggiornamenti interfaccia utente: colonna "Disattiva il" e report sull'utilizzo disponibile
In corso (a partire dal 28 luglio)

Notifiche email inviate il giorno 25 e il giorno 29 prima che un token raggiunga 30 giorni di inutilizzo (avviso di disattivazione)

Notifica email inviata il giorno 55 prima che un token raggiunga i 60 giorni di disattivazione (avviso di eliminazione)
21 settembre 2026 Email di avviso prima eliminazione inviate (per i token disattivati il 28 luglio)
26 settembre 2026 Primi token eliminati automaticamente (token disattivati il 28 luglio che non sono mai stati riattivati)
27 ottobre 2026 Nessuno può più creare nuovi token API (i token esistenti funzionano ancora)
30 aprile 2027 Scadenza finale: TUTTI i token API smettono di funzionare in modo permanente, non è possibile riattivarli

Posso impedire la disattivazione dei token il 28 luglio?

Sì, se usi il token tra il 28 giugno e il 28 luglio. Il 28 luglio 2026 viene verificata l’attività di tutti i token. Qualsiasi token con una data di “Ultimo utilizzo” superiore a 30 giorni fa verrà disattivato.

Come si riattiva un token disattivato?

  1. Nel Centro amministrativo, fai clic su App e integrazioni> API > Token API.
  2. Trova il token disattivato (lo stato indica “Disattivato”).
  3. Fai clic sull’icona del menu delle opzioni accanto al token e seleziona “Riattiva”.
  4. Il token può essere riutilizzato immediatamente.

Puoi riattivare qualsiasi token disattivato entro 60 giorni da quando è stato disattivato. Dopo 60 giorni, il token viene eliminato definitivamente e non può essere recuperato. Dopo il 30 aprile 2027, nessun token può essere riattivato.


 

Come faccio a sapere quali token stanno per essere disattivati?

A partire dal 28 luglio, la pagina dei token API mostrerà la colonna “Disattiva il”. Riceverai anche notifiche email inviate a tutti gli amministratori:

  • Cinque giorni prima della disattivazione (ad es., 23 luglio per la pulizia del 28 luglio)
  • Un giorno prima della disattivazione (ad es., 27 luglio per la pulizia del 28 luglio)

Per il monitoraggio continuo dopo il 28 luglio, riceverai email il giorno 25 e il giorno 29 prima che un token raggiunga la soglia di inutilizzo di 30 giorni. Tutte le email vengono inviate in batch ogni giorno e un’email al giorno elenca tutti i token interessati, non un’email per token.

Come posso vedere informazioni dettagliate sull'utilizzo dei miei token API?

A partire dal 28 luglio, puoi generare un report di utilizzo dalla pagina Token API. Il report mostra i sette giorni precedenti di richieste API effettuate con token API o fino a 500 MB di dati, a seconda dell’evento che si verifica per primo. Genera report regolarmente per creare una cronologia continua di 30-60 giorni.

Ogni riga del report mostra una richiesta API con le seguenti informazioni:

  • Data/ora: quando è stata effettuata la richiesta
  • Identificatore token: ID token troncato
  • Descrizione token: la descrizione del token API (se fornito)
  • Indirizzo IP: da dove proviene la richiesta
  • User agent: il client/l’applicazione che ha effettuato la richiesta
  • Metodo: metodo HTTP (GET, POST, PUT, DELETE, ecc.)
  • URL: l’endpoint API a cui è stato effettuato l’accesso
  • Codice di stato: codice di risposta HTTP (200, 404, 401, ecc.)
  • ID utente ed email: l’utente il cui indirizzo email è stato usato con il token per effettuare la richiesta API

Come usarlo:

  • Genera il report ogni pochi giorni per creare una cronologia continua di 30-60 giorni
  • Usa l’indirizzo IP e lo user agent per identificare quali sistemi/script stanno usando ciascun token
  • Usa l’ID utente e l’indirizzo email per identificare chi effettua le richieste API
  • Controlla le colonne URL e metodo per capire quali operazioni sta eseguendo il token
  • Confronta l’identificatore del token con il tuo elenco di token per identificare quale token deve essere migrato

Quali token API vengono rimossi?

Sono interessati solo i token API Support. I token API per la messaggistica, la chat e altri prodotti non fanno parte di questa modifica.

Devo migrare tutti i miei token contemporaneamente?

No. Puoi migrare le integrazioni in modo incrementale. I token esistenti continuano a funzionare fino alla disattivazione forzata il 30 aprile 2027. Dai la priorità alle integrazioni mission-critical.

Che cosa succede se ho un’app di terzi che usa i token API?

Per le app Marketplace: in base alle politiche per gli sviluppatori, non è consentito ad app, integrazioni o bot di terzi (indipendentemente dal fatto che siano elencati o meno in Zendesk Marketplace) usare le credenziali API di un cliente (token API o client OAuth del cliente) per autenticare le chiamate API. Le app di cui viene eseguita la migrazione a OAuth continueranno a funzionare. Le app di cui non viene eseguita la migrazione smetteranno di funzionare quando i token API vengono disattivati.

Per le app personalizzate create da terzi: contatta lo sviluppatore che ha creato l’app e chiedigli di eseguire la migrazione a OAuth. Se lo sviluppatore non è più disponibile, dovrai ricostruirlo o trovare una soluzione alternativa.

Cosa succede se la mia integrazione viene eseguita di rado (mensile/trimestrale)?

Se il token non viene usato da 30 giorni, si disattiverà automaticamente a partire dal 28 luglio. La prossima volta che il workflow verrà eseguito, verrà generato un errore di autenticazione.

Soluzioni alternative:

  • Controlla la pagina dei token oggi stesso e identifica i token che saranno disattivati il 28 luglio (qualsiasi inutilizzato da oltre 30 giorni)
  • Usa il token una volta tra il 28 giugno e il 28 luglio per evitare la disattivazione iniziale
  • Dopo il 28 luglio, usa il report di utilizzo per documentare quali token sono attivi
  • Se un workflow non riesce, riattiva i token disattivati di recente e usa il report di utilizzo per identificare quale era necessario

Come faccio a sapere quale token ha causato una richiesta API non riuscita?

Attualmente, le richieste di autenticazione non riuscite non mostrano quale token specifico è stato usato. Se stai risolvendo i problemi dopo una disattivazione:

  1. Controlla la pagina Token API per i token disattivati di recente.
  2. Riattiva tutti i candidati (hai 60 giorni di tempo).
  3. Genera un report sull’utilizzo dopo l’esecuzione del workflow per identificare quale token è stato usato.

Cosa succede se non eseguo la migrazione in tempo?

A partire dal 30 aprile 2027, tutte le chiamate API che usano i token API avranno esito negativo con errori di autenticazione. L’impatto dipende da come usi i token API:

  • L’esecuzione dei workflow si interrompe
  • I ticket non vengono sincronizzati
  • I report non vengono eseguiti
  • I processi automatizzati hanno esito negativo

Non è prevista alcuna rinuncia o proroga oltre il 30 aprile 2027. Tutte le integrazioni devono essere migrate a OAuth.

Perché non puoi semplicemente migliorare i token API anziché rimuoverli?

I miglioramenti alla sicurezza forniti da OAuth (scadenza automatica, rotazione e ambito) richiedono un modello di autenticazione fondamentalmente diverso. L’aggiunta di queste funzionalità ai token API essenzialmente ricrea OAuth con un nome diverso.

Inoltre, il supporto di due metodi di autenticazione crea rischi per la sicurezza:

  • I clienti scelgono l’opzione più semplice (token API) rispetto a quella più sicura (OAuth)
  • I miglioramenti e il monitoraggio della sicurezza devono essere mantenuti per entrambi i sistemi
  • Gli aggressori possono sfruttare qualsiasi metodo con una sicurezza più debole

Rimuovendo completamente i token API, garantiamo che tutte le integrazioni traggano vantaggio dalla moderna sicurezza dell’autenticazione anziché lasciare disponibile l’opzione meno sicura.

Che dire dei webhook che usano i token API?

L'utilizzo di token API nei webhook che effettuano richiamate verso la tua istanza Zendesk non è più supportato e smetterà di funzionare con la fine del ciclo di vita (EOL). Per molti casi d'uso, il passaggio ai flussi di azioni potrebbe risultare più semplice rispetto all'utilizzo di OAuth. Se il webhook deve eseguire richiamate verso Zendesk e richiede il rinnovo del token OAuth, potrebbe essere necessario utilizzare un middleware o un'implementazione personalizzata in grado di gestire l'autenticazione per conto tuo. Percorsi di migrazione alternativi sono in fase di valutazione.

Cosa sono i flussi di azioni?

I flussi di azioni sono sequenze automatizzate di passaggi definite dall'utente che eseguono azioni in Zendesk e nei sistemi esterni sulla base di un evento definito che avvia o attiva il flusso di lavoro. La pagina dedicata ai flussi di azioni nel Centro amministrativo include un generatore visivo di flussi di lavoro (detto Creazione di azioni) per creare e modificare tali flussi di lavoro. Per saperne di più, consulta Informazioni su Creazione di azioni e flussi di azioni e Creazione di flussi di azioni per automatizzare i processi in Zendesk e nei sistemi esterni.

Vantaggi dei flussi di azioni:

  • Le azioni Zendesk non vengono conteggiate nei limiti API di Zendesk (a differenza delle azioni personalizzate nei flusso di azioni)
  • Possono consolidare più webhook in un unico flusso
  • Sono estensibili: consentono di affiancare le chiamate a terzi alle operazioni interne
  • Il generatore visivo di flussi di lavoro semplifica la creazione e la gestione di flussi di lavoro multisistema

Webhook idonei per la migrazione ai flussi di azioni

  • Operazioni di creazione o aggiornamento dei ticket
  • Operazioni di creazione o aggiornamento degli utenti
  • Operazioni di creazione o aggiornamento delle organizzazioni
  • Oggetti personalizzati, attività, approvazioni e operazioni ITAM
  • Webhook che utilizzano payload JSON per operazioni CRUD standard
  • La maggior parte dei campi ticket, utente e organizzazione standard è supportata
  • Sono supportati anche tutti i campi ticket personalizzati

Le azioni personalizzate nei flussi di azioni possono utilizzare i token API?

No. I flussi di azioni hanno due diversi modelli di autenticazione:
  • Azioni Zendesk. Si tratta di operazioni relative a ticket, utenti e organizzazioni:
    • Non richiedono l'utilizzo di token API o OAuth
    • Non incidono sui limiti API
    • Non sono interessate dalla rimozione dei token API Zendesk
  • Azioni personalizzate e azioni esterne:
    • Richiedono un'autenticazione esplicita (OAuth, chiave API o autenticazione di base)
    • I token API Zendesk utilizzati nelle azioni personalizzate smetteranno di funzionare dopo la fine del ciclo di vita (EOL)
    • È necessario migrare le azioni personalizzate a OAuth se effettuano chiamate agli endpoint Zendesk
    • Se esegui la migrazione ai flussi di azioni e usi azioni personalizzate che richiedono OAuth, i flussi di azioni gestiscono automaticamente l’aggiornamento dei token


 

Per lasciare un feedback o per eventuali domande in merito a questo annuncio, visita il forum della community, dove vengono raccolti e gestiti i feedback dei clienti sui prodotti. Per ricevere assistenza generica con i prodotti Zendesk, contatta l’assistenza clienti Zendesk.

Powered by Zendesk