| 発表日 | ロールアウト開始日 | ロールアウト終了日 |
| 2026年6月1日 | 2026年7月28日 | 2027年4月30日 |
Zendeskは認証方法としてのAPIトークンの提供を終了いたします。2026年7月28日以降、未使用のトークンは自動的に非アクティブになります。2027年4月30日までに、すべてのAPIトークンが機能しなくなります。最終期限までにインテグレーションをOAuthに移行する必要があります。この変更は、チケット管理API、ヘルプセンターAPI、音声APIなど、APIトークンを現在使用しているAPIにのみ影響します。他のZendesk製品には適用されません。
このお知らせの内容は以下のとおりです。
変更内容
Zendeskは3つのフェーズにわたってSupport APIトークンの提供を終了します。このロールアウトには、未使用トークンの自動的な非アクティブ化、新規トークン作成のブロック、最終的な強制無効化を行う日程が含まれます。
フェーズ1（2026年7月28日開始）：自動的な非アクティブ化
2026年7月28日に、次の更新が適用されます。
- 一括クリーンアップ：30日以上使用されていないトークンが非アクティブになります。非アクティブにされたトークンは、APIリクエストの実行には使用できません。60日以上非アクティブになっているAPIトークンは完全に削除されます。
- 自動非アクティブ化の開始：7月28日以降、30日間使用されなかったトークンは自動的に非アクティブになります。APIトークンが非アクティブのまま、さらに60日経過すると完全に削除されます。
- 新規アカウントのブロック：2026年7月28日以降に作成されたアカウントでは、APIトークンを作成または使用できません。
非アクティブにされたAPIトークンは、完全に削除されるまでの60日の猶予期間内に再度アクティブにすることができます。
フェーズ2（2026年10月27日開始）：トークンの新規作成をブロック
アカウントはUIまたはAPIから新しいAPIトークンを作成できなくなります。既存のアクティブなトークンは、非アクティブにならない限り、2027年4月30日まで使用することができます。
フェーズ3（2027年4月30日開始）：強制的な非アクティブ化
残りのすべてのAPIトークンが完全に非アクティブになります。管理者はトークンを再度アクティブにすることができなくなります。APIトークン管理ページが管理センターから削除されます。
Zendeskがこの変更を行う理由
永続的で「すべて許可するか、何も許可しないか」で権限を提供するAPIトークンから、より安全で有効期間が短く、APIを活用したワークフロー内でアクセス範囲を厳密に制限した管理が可能になるOAuthへと移行されつつあります。OAuthは安全なAPIアクセスのための業界標準であり、APIトークンアーキテクチャには後付けできないセキュリティ機能を提供しています。APIトークンは利便性のために設計されており、セキュリティを目的としたものではないため、資格情報の漏洩に対する基本的な保護が欠如しています。
APIトークンのセキュリティ上の制限
APIトークンには、下記のような基本的なセキュリティ対策が欠如しています。
- ローテーションメカニズムがない：セキュリティ対策として資格情報を予防的に循環させる方法がありません。APIトークンを更新するには、古いトークンを無効化し、すべてのインテグレーションを手動で更新する必要があります。そのため、セキュリティ対策と運用のアップタイムのどちらかを選ばざるを得なくなります。
- きめ細かなアクセス権限がない：APIトークンを使用して、管理者を含め、アカウント内のあらゆるユーザーになりすますことができてしまいます。トークンの適用範囲を特定の操作に限定したり、操作できるユーザーを制限したりすることができません。つまり、APIトークンはアカウントへのアクセスを「すべて許可するか、何も許可しないか」のいずれかの形で提供します。
- 有効期限がない：トークンは、使用されている限り、無期限で有効です。未使用のトークンの自動非アクティブ化を導入している一方で、悪用されているアクティブな資格情報は有効期限が切れることはありません。そのため、盗んだトークンを数日おきに使用する攻撃者は、永続的なアクセス権を維持し続けることができてしまいます。
コードリポジトリの公開、資格情報の漏洩、またはシステムの侵害によってトークンが不正利用された場合、攻撃者は永続的なアカウントへのアクセスを得ることになります。このように不正利用されたトークンは、多くの場合、検出されるまで数か月間有効です。
APIトークンを改善する代わりにOAuthを採用する理由
最新の認証には、自動失効、資格情報のローテーション、きめ細やかなスコープ設定などのセキュリティ機能が必要ですが、これらは根本的に異なる認証アーキテクチャに依存する機能です。これらの保護をAPIトークンに追加することは、名称こそ異なるものの、本質的にはOAuthのように機能するように再構築することになります。さらに重要なことに、APIトークンの改善には、API駆動型のワークフローも更新する必要があります。同じ労力を注ぐなら、OAuthの方がより適していると言えます。OAuthは業界標準の認証プロトコルであり、新たなセキュリティ脅威に対応するために絶えずメンテナンスされ、継続的に進化しており、システム構築における適切な基盤を提供します。
必要となる作業
APIトークンを今すぐレビューする
- 管理センターで、「アプリおよびインテグレーション>API>APIトークン」をクリックします。
- 各トークンの「最終使用日時」を確認します。
- 30日以上使用されていないトークンは、2026年7月28日に非アクティブになります。
- トークンの説明を確認して、該当のトークンを使用しているワークフローを特定します。
何に支障をきたすかを理解する
移行が間に合わないと、APIトークンを使用するインテグレーションは動作しなくなります。影響は、APIトークン（OAuthではない）を使用するAPI駆動型のワークフローにどの程度依存しているかによって異なります。
- Zendeskアカウントでチケットの更新やデータの変更を行うWebhook
- 自動化またはデータ同期用のカスタムスクリプト
- 請負業者または外部の開発者が開発したサードパーティインテグレーション
- エージェントがZendesk UIを直接操作しないミドルウェアワークフロー
非アクティブなAPIトークンを使用したAPIコールは、認証エラーを返します。ワークフローの実行が停止してチケットが同期されず、何の前触れもなく、自動化プロセスが失敗する可能性があります。
OAuthへの移行
OAuthはAPIトークンに代わる最新の認証方法です。次の作業が必要です。
- 管理センターでOAuthクライアントを作成します。
- client_credentialsグラント、またはauthorization_codeグラントのいずれかを使用してアクセストークンを取得します。
- APIトークンの代わりにOAuthを使用するようにインテグレーションを更新します。
詳細については、開発者向けドキュメントの「APIトークンからOAuthアクセストークンへの移行」を参照してください。
APIトークンを監視する
7月28日以降、この移行を行うための新しいツールが提供されます。
- 未使用のトークンが自動的に非アクティブになるタイミングを表示する、APIトークンページの「非アクティブ化日時」列
- APIトークンを使用した過去7日間のAPIリクエストを表示する、APIトークンページの使用状況レポート（連続履歴を作成するために毎日生成されます）
- メール通知はすべての管理者にアラートします。
- 7月28日のクリーンアップの5日前（7月23日および7月27日）
- トークンが未使用のまま30日経過した25日目と29日目（非アクティブ化警告）
- 非アクティブなトークンが完全に削除される55日目
猶予期間を活用する
2026年7月28日から2027年4月30日までの間、次のことを行うための猶予期間が設けられます。
- OAuthの実装をテストする
- どのワークフローでどのAPIトークンが使用されているかを特定する
- 非アクティブにしたトークンを再度アクティブにする（完全に削除されるまでの60日間以内）
- 段階的な移行 - すべてを一度に移行する必要はありません
よくある質問（FAQ）
各主要日に起こること
| 日付 | 挙動 |
| 2026年7月23日 | 最初のメール通知：7月28日に非アクティブ化または削除されるトークンのリスト |
| 2026年7月27日 | リマインダーメール（ロールアウトの1日前） |
| 2026年7月28日 |
ロールアウト開始： • 一括クリーンアップ：30日間以上未使用のトークン→非アクティブ、60日間以上非アクティブなトークン→削除 • 自動非アクティブ化の開始：
• 新規アカウントのブロック：この日以降に作成されたアカウントはAPIトークンを作成できません • UIの更新：「非アクティブ化日時」列 + 使用状況レポートが利用可能になります |
| 継続的な対応（7月28日以降） |
トークンが30日間未使用になる前に、25日目と29日目に送信されるメール通知（非アクティブ化警告） トークンが非アクティブになってから60日が経過する55日目に送信されるメール通知（削除警告） |
| 2026年9月1日 | 最初の削除警告メールを送信（7月28日に非アクティブ化されたトークン） |
| 2026年9月26日 | 最初のトークンの自動削除（7月28日に非アクティブ化されてから、一度も再度アクティブ化されなかったトークン） |
| 2026年10月27日 | 誰も新規APIトークンを作成できなくなります（既存のトークンはまだ有効） |
| 2027年4月30日 | 最終期限：すべてのAPIトークンは完全に機能しなくなり、再度アクティブ化は不可能になります |
トークンが7月28日に非アクティブ化されないようにできますか？
はい、6月28日から7月28日までの期間にトークンを使用すれば可能です。2026年7月28日に、すべてのトークンのアクティビティが確認されます。「最終使用日時」が30日以上前のトークンは非アクティブになります。
非アクティブにしたトークンを再度アクティブにするにはどうすればよいですか？
- 管理センターで、「アプリおよびインテグレーション>API>APIトークン」をクリックします。
- 非アクティブにされたトークンを探します（ステータスには「非アクティブ」と表示されます）。
- トークンの右端にあるオプションメニューアイコンをクリックし、「再度アクティブにする」を選択します。
- トークンはすぐに再度使用できるようになります。
非アクティブ化から60日以内であれば、非アクティブ化されたトークンを再度アクティブにすることができます。60日を過ぎると、トークンは完全に削除され、復元できなくなります。2027年4月30日以降は、トークンを再度アクティブにすることはできません。
どのトークンが非アクティブにされるかを知るにはどうすればよいですか？
7月28日以降、APIトークンページに「非アクティブ化日時」列が表示されます。また、すべての管理者にメール通知が送信されます。
- 非アクティブ化の5日前（例：7月28日のクリーンアップの場合は7月23日）
- 非アクティブ化の1日前（例：7月28日のクリーンアップの場合は7月27日）
7月28日以降の継続的な監視については、トークンが30日間の未使用しきい値に達する前の25日目と29日目にメールが届きます。すべてのメールは毎日バッチ処理され、1日1通送られるため、影響を受けるすべてのトークンが1通のメールにリスト表示されます。トークンごとに1通ずつ送信されるわけではありません。
APIトークンの詳細な使用状況を確認するにはどうすればよいですか？
7月28日以降は、APIトークンページから使用状況レポートを生成することができます。このレポートには、APIトークンまたは最大500MBのデータのいずれか早い方の過去7日間のAPIリクエストが表示されます。レポートを定期的に生成して、連続する30～60日の履歴を蓄積してください。
レポートの各行には、次の情報を含むAPIリクエストが1つ表示されます。
- Timestamp：リクエストが行われたとき
- トークン識別子：省略されたトークンID
- トークンの説明：APIトークンの説明（提供されている場合のみ）
- IPアドレス：リクエストの送信元
- ユーザーエージェント：リクエストを作成したクライアントまたはアプリケーション
- 方法：HTTPメソッド（GET、POST、PUT、DELETEなど）
- URL：アクセスされたAPIエンドポイント
- ステータスコード：HTTP応答コード（200、404、401など）
- ユーザーIDとメール：APIリクエストの作成のためにトークンで使用されたメールアドレスを持つユーザー
機能の使用方法：
- レポートを数日ごとに生成して、30～60日間の連続履歴を作成する
- IPアドレスとユーザーエージェントを使用して、各トークンを使用しているシステムまたはスクリプトを特定する
- ユーザーIDとメールアドレスを使用してAPIリクエストの実行者を特定する
- URL列とメソッド列をチェックして、トークンがどのような操作を実行しているかを理解する
- トークンIDをトークンリストと相互参照して、移行が必要なトークンを特定する
どのAPIトークンが削除されますか？
Support APIトークンのみが影響を受けます。メッセージング、Chat、およびその他の製品のAPIトークンはこの変更に含まれません。
すべてのトークンを一度に移行する必要がありますか？
いいえ。インテグレーションは段階的に移行できます。既存のトークンは、2027年4月30日に強制的に非アクティブにされるまで機能します。まず業務に不可欠なインテグレーションを優先しましょう。
APIトークンを使用するサードパーティアプリがある場合はどうすればよいですか？
マーケットプレイスアプリの場合：開発者ポリシーに基づき、サードパーティ製のアプリ、インテグレーション、あるいはボット（Zendeskマーケットプレイスに掲載されているかどうかにかかわらず）が、カスタマーのAPI資格情報（APIトークンまたはカスタマー自身のOAuthクライアント）を使用してAPIコールを認証することは許可されていません。OAuthに移行するアプリケーションは引き続き動作します。APIトークンが非アクティブになると、移行しないアプリは動作しなくなります。
サードパーティが開発したカスタムアプリの場合：アプリを作成した開発者に連絡し、OAuthへの移行を依頼してください。開発者が対応できない場合は、再構築するか、別のソリューションを見つける必要があります。
インテグレーションの実行頻度が低い（月次／四半期ごと）場合はどうなりますか？
トークンが30日間使用されなかった場合、7月28日から自動的に非アクティブになります。次回ワークフローを実行すると、認証エラーで失敗します。
回避策：
- 今すぐトークンページを確認し、7月28日に非アクティブになるトークンを特定します（30日以上使用されていないトークン）
- 最初の非アクティブ化を防ぐために、6月28日から7月28日の間にトークンを1回使用してください
- 7月28日以降は、使用状況レポートを使用してアクティブなトークンを記録します
- ワークフローに失敗した場合は、最近非アクティブになったトークンを再度アクティブにし、使用状況レポートを参照して必要なトークンを特定します。
APIリクエストの失敗の原因となったトークンを特定するにはどうすればよいですか？
現在、失敗した認証リクエストには、どのトークンが使用されたかは表示されません。非アクティブ化以降にトラブルシューティングを行う場合、以下の手順に従ってください。
- APIトークンのページで、最近非アクティブになったトークンを確認してください。
- すべての候補を再度アクティブにします（これで60日間確保できます）。
- ワークフローの実行後に使用状況レポートを生成し、使用されたトークンを特定します。
期間内に移行しなかった場合はどうなりますか？
2027年4月30日以降、APIトークンを使用したすべてのAPIコールは認証エラーで失敗します。影響はAPIトークンの使用方法によって異なります。
- ワークフローの実行停止
- チケットが同期されない
- レポートが実行されない
- 自動化プロセスが失敗する
2027年4月30日以降のオプトアウトや延長はありません。すべてのインテグレーションはOAuthに移行する必要があります。
APIトークンを廃止するのではなく、改良するだけではいけないのですか？
OAuthが提供するセキュリティの向上（自動有効期限、ローテーション、自動スコープ設定）には、根本的に異なる認証モデルが必要です。APIトークンにこれらの機能を追加することは、実質的に別の名称でOAuthを再現することにすぎません。
さらに、次の2つの認証方法をサポートすることにより、独自のセキュリティリスクが生じます。
- カスタマーは、より安全な方法（OAuth）よりも、より簡単な方法（APIトークン）を選択する
- 両方のシステムのセキュリティ改善と監視を維持する必要がある
- 攻撃者によって、セキュリティの弱い方法を悪用できてしまう
APIトークンを完全に削除することで、安全性の低いオプションをそのままにしておくのではなく、すべてのインテグレーションにおいて最新の認証セキュリティの恩恵を受けられることを目指します。
APIトークンを使用するWebhookはどうなりますか？
ご自身のZendeskインスタンスへコールバックするWebhookでAPIトークンを使用することは、今後サポートされず、このEOLの一環として動作しなくなります。多くのユースケースでは、OAuthよりもアクションフローへの移行のほうが簡単な場合があります。WebhookでZendeskへコールバックする必要があり、OAuthトークンの更新動作も必要な場合は、認証を代行できるミドルウェアまたは別のカスタム実装が必要になることがあります。代替となる移行パスは現在検討中です。
アクションフローとは？
アクションフローは、ワークフローを開始またはトリガするよう定義されたイベントに基づいて、Zendeskおよび外部システムでアクションを実行する、ユーザー定義の自動化ステップのシーケンスです。管理センターの「アクションフロー」ページには、「アクションビルダー」と呼ばれるビジュアルワークフロービルダーが用意されており、これらのワークフローの作成と編集に使用できます。詳しくは、「アクションビルダーとアクションフローの概要」と「Zendeskと外部システム間のプロセスを自動化するアクションフローの作成」を参照してください。
アクションフローのメリット：
- ZendeskのアクションはZendeskのAPI制限の対象にはなりませんが、アクションフロー内のカスタムアクションは対象となります
- 複数のWebhookを単独のフローに集約できます
- 拡張性：内部処理に加えてサードパーティへの呼び出しも追加できます
- ビジュアルワークフロービルダーにより、複数システムにまたがるワークフローの作成と管理が容易になります
アクションフローの移行に適したWebhook
- チケットの作成または更新処理
- ユーザーの作成または更新処理
- 組織の作成または更新処理
- カスタムオブジェクト、タスク、承認、ITAMの処理
- 標準的なCRUD操作をJSONペイロードで行うWebhook
- チケット、ユーザー、組織のほとんどの標準フィールドがサポートされています
- カスタムチケットフィールドもすべてサポートされています
アクションフローのカスタムアクションでAPIトークンを使用できますか？
-
Zendeskアクションでは、チケット、ユーザー、組織などの操作を行います。
- APIトークンやOAuthの使用は不要です
- API制限を消費しません
- Zendesk APIトークンの廃止の影響を受けません
-
カスタムアクションと外部アクション：
- 明示的な認証（OAuth、APIキー、またはBasic認証）が必要です
- カスタムアクションで使用されるZendesk APIトークンは、EOL後動作しなくなります
- Zendeskエンドポイントを呼び出す場合、カスタムアクションはOAuthへ移行する必要があります
- アクションフローへ移行し、OAuthが必要なカスタムアクションを使用する場合、アクションフローがトークンの更新を自動的に処理します
この発表に関連するフィードバックや質問がある場合は、コミュニティフォーラムにアクセスしてください。このフォーラムでは、お客様から寄せられた製品フィードバックを収集し管理しています。Zendesk製品に関する一般的なサポートについては、Zendeskお客様サポートにお問い合わせください。
翻訳に関する免責事項：この記事は、お客様の利便性のために自動翻訳ソフ トウェアによって翻訳されたものです。Zendeskでは、翻訳の正確さを期すために相応の努力を払っておりますが、翻訳の正確性につ いては保証いたしません。
翻訳された記事の内容の正確性に関して疑問が生じた場合は、正式版である英語の記事 を参照してください。