Anúncio da remoção de tokens de API como método de autenticação para solicitações de API

Data do anúncio	Início da implementação	Fim da implementação
1º de junho de 2026	28 de julho de 2026	30 de abril de 2027

A Zendesk está removendo tokens de API como um método de autenticação. A partir de 28 de julho de 2026, os tokens não utilizados serão desativados automaticamente. Até 30 de abril de 2027, todos os tokens de API deixarão de funcionar. Você deve migrar suas integrações para o OAuth antes do prazo final. Essa alteração afeta apenas as APIs que atualmente usam tokens da API, incluindo as APIs Trabalho com tickets, Central de Ajuda e Voz. Ela não se aplica a outros produtos Zendesk.

Este anúncio inclui os seguintes tópicos:

• O que está mudando?
• Por que o Zendesk está fazendo essa alteração? 
• O que devo fazer?
• Perguntas frequentes

O que está mudando?

A Zendesk está removendo tokens de API do Support em três fases. A implementação inclui desativação automática para tokens não utilizados, bloqueio da criação de novos tokens e uma data final de desativação forçada.

Fase 1 (a partir de 28 de julho de 2026): Desativação automática 

Em 28 de julho de 2026, as seguintes atualizações entrarão em vigor:

• Limpeza única: qualquer token não utilizado por 30 dias ou mais será desativado. Os tokens desativados não podem ser usados para fazer solicitações de API. Os tokens de API desativados por 60 dias ou mais serão apagados permanentemente. 
• A desativação automática começa: a partir de 28 de julho, qualquer token que ficar sem uso por 30 dias será desativado automaticamente. Se um token da API permanecer desativado por mais 60 dias, ele será apagado permanentemente. 
• Novas contas bloqueadas: contas criadas a partir de 28 de julho de 2026 não podem criar nem usar tokens de API. 

Você pode reativar tokens de API desativados dentro do período de carência de 60 dias antes que sejam excluídos permanentemente. 

Fase 2 (a partir de 27 de outubro de 2026): bloqueio da criação de novo token 

As contas não podem mais criar novos tokens de API por meio da interface do usuário ou da API. Os tokens ativos existentes permanecem em uso até 30 de abril de 2027, a menos que sejam desativados.

Fase 3 (em vigor em 30 de abril de 2027): desativação forçada 

Todos os tokens de API restantes serão desativados permanentemente. Os administradores não podem reativar os tokens e as páginas de gerenciamento de tokens de API serão removidas da Central de administração.

Por que o Zendesk está fazendo essa alteração?

Os tokens de API permanentes e do tipo "tudo ou nada" estão sendo substituídos pelo OAuth para oferecer acesso mais seguro, de curta duração e com escopo preciso para seus fluxos de trabalho baseados em API. O OAuth é o padrão do setor para acesso seguro à API e fornece recursos de segurança que não podem ser adicionados à arquitetura de token da API. Os tokens de API foram projetados para conveniência, não para segurança, e carecem de proteções fundamentais contra a violação de credenciais.

As limitações de segurança dos tokens de API

Os tokens de API não têm controles de segurança básicos:

• Sem mecanismo de rotação: Não é possível alterar as credenciais proativamente como prática de segurança. A rotação de um token de API exige a revogação do token antigo e a atualização manual de cada integração, o que força você a escolher entre higiene de segurança e disponibilidade operacional.
• Sem permissões granulares: um token de API pode ser usado para se passar por qualquer usuário da sua conta, incluindo administradores. Não é possível restringir o uso de tokens a operações específicas ou limitar quais usuários podem utilizá-los, pois eles fornecem acesso total à conta, sem restrições.
• Sem validade: os tokens permanecem válidos indefinidamente enquanto são usados. Embora estejamos implementando a desativação automática para tokens não utilizados, uma credencial que esteja sendo explorada ativamente nunca expira, portanto, um invasor que utilize um token roubado a cada poucos dias poderá manter o acesso permanente.

Se um token for comprometido por meio de repositórios de código expostos, credenciais vazadas ou sistemas comprometidos, os invasores ganham acesso persistente à conta. Esses tokens comprometidos costumam permanecer válidos por meses antes da detecção.

Por que OAuth em vez de melhorar tokens de API

A autenticação moderna exige recursos de segurança como expiração automática, rotação de credenciais e escopo granular, recursos que dependem de uma arquitetura de autenticação fundamentalmente diferente. Adicionar essas proteções aos tokens de API significaria essencialmente reconstruí-los para funcionar como OAuth, apenas sob um nome diferente. Mais importante ainda, quaisquer melhorias nos tokens de API ainda exigiriam que você atualizasse seus fluxos de trabalho orientados por API. O OAuth é o melhor lugar para investir esse esforço: é o protocolo de autenticação padrão do setor, mantido ativamente e em constante evolução para lidar com ameaças de segurança emergentes, e fornece a base certa para construir algo novo.

O que devo fazer?

Revise seus tokens de API agora mesmo

1. Na Central de administração, clique em Aplicativos e integrações > APIs > Tokens de API.
2. Verifique a data da "Última utilização" para cada token.
3. Os tokens não utilizados por 30 dias ou mais serão desativados em 28 de julho de 2026.
4. Analise as descrições dos tokens para identificar quais fluxos de trabalho os utilizam.

Entenda o que vai parar de funcionar

Se você não migrar a tempo, qualquer integração que utilize tokens de API deixará de funcionar. O impacto depende de quanto você depende de fluxos de trabalho orientados por API que usam tokens de API (não OAuth):

• Webhooks que atualizam tickets ou modificam dados em sua conta Zendesk
• Scripts personalizados para automação ou sincronização de dados
• Integrações de terceiros criadas por contratados ou desenvolvedores externos
• Fluxos de trabalho de middleware em que os agentes nunca interagem diretamente com a interface do usuário do Zendesk

As chamadas de API que usam tokens de API desativados retornarão erros de autenticação. Os fluxos de trabalho deixarão de ser executados, os tickets não serão sincronizados e os processos automatizados poderão falhar silenciosamente.

Migrar para OAuth

O OAuth é o método de autenticação moderno que substitui tokens de API. Você precisará:

1. Crie um cliente OAuth na Central de administração.
2. Obter tokens de acesso usando a concessão client_credentials ou authorization_code.
3. Atualizar suas integrações para usar OAuth em vez de tokens de API.

Para obter mais informações, consulte Migração de tokens da API para tokens de acesso OAuth em nossa documentação do desenvolvedor. 

Monitore seus tokens de API

A partir de 28 de julho, você terá novas ferramentas para gerenciar essa transição:

• A coluna "Desativa em" na página de tokens de API mostra quando os tokens não utilizados serão desativados automaticamente.
• Um relatório de utilização na sua página de tokens de API para mostrar os últimos 7 dias de solicitações de API feitas com tokens de API (gerado diariamente para criar um histórico contínuo).
• As notificações por e-mail alertarão todos os administradores:
  • 5 dias antes da limpeza de 28 de julho (23 e 27 de julho)
  • 25º e 29º dia antes de um token completar 30 dias sem uso (aviso de desativação)
  • 55 dias antes da exclusão permanente de um token desativado

Aproveite o período de carência

Entre 28 de julho de 2026 e 30 de abril de 2027, você tem tempo para:

• Testar suas implementações OAuth
• Identificar quais tokens de API são usados em quais fluxos de trabalho
• Reativar tokens desativados (dentro de 60 dias antes da exclusão permanente)
• Migrar gradualmente; você não precisa migrar tudo de uma só vez

Perguntas frequentes

O que acontece em cada data importante?

Data	O que acontece
23 de julho de 2026	Primeira notificação por e-mail: lista quais tokens serão desativados/apagados em 28 de julho
27 de julho de 2026	E-mail de lembrete (1 dia antes da implementação)
28 de julho de 2026	Início da implementação: • Limpeza única: tokens não utilizados há mais de 30 dias → desativados; Tokens desativados há mais de 60 dias → apagados • A desativação automática começa:  qualquer token não utilizado há 30 dias → a desativação ocorre automaticamente Qualquer token desativado há 60 dias → será excluído automaticamente • Novas contas bloqueadas: contas criadas a partir dessa data não podem criar tokens de API • Atualizações da interface do usuário: coluna "Desativa em" + relatório de uso disponível
Em andamento (a partir de 28 de julho)	Notificações por e-mail enviadas no 25º e no 29º dia, antes de um token completar 30 dias de inatividade (aviso de desativação) Notificação por e-mail enviada no 55º dia, antes de o token completar 60 dias de desativação (aviso de exclusão)
21 de setembro de 2026	Primeiros e-mails de aviso de exclusão enviados (para tokens desativados em 28 de julho)
26 de setembro de 2026	Primeiros tokens apagados automaticamente (tokens desativados em 28 de julho que nunca foram reativados)
27 de outubro de 2026	Ninguém mais pode criar novos tokens de API (os tokens existentes ainda funcionam)
30 de abril de 2027	Limite final: TODOS os tokens de API param de funcionar permanentemente, não é possível reativá-los

Posso evitar que meus tokens sejam desativados em 28 de julho?

Sim, se você usar o token entre 28 de junho e 28 de julho. Em 28 de julho de 2026, todos os tokens serão verificados quanto à atividade. Todos os tokens com a data da "Última utilização" há mais de 30 dias serão desativados.

Como reativo um token desativado?

1. Na Central de administração, clique em Aplicativos e integrações > APIs > Tokens de API.
2. Encontre o token desativado (o status mostra "Desativado").
3. Clique no ícone do menu de opções ao lado do token e selecione "Reativar".
4. O token pode ser usado novamente imediatamente.

Você pode reativar qualquer token desativado dentro de 60 dias após a desativação. Após 60 dias, o token é apagado permanentemente e não pode ser recuperado. Após 30 de abril de 2027, nenhum token pode ser reativado.

 

Como saberei quais tokens serão desativados?

A partir de 28 de julho, sua página de tokens de API exibirá a coluna "Desativa em". Você também receberá notificações por e-mail enviadas para todos os administradores:

• Cinco dias antes da desativação (por exemplo, 23 de julho para a limpeza de 28 de julho)
• Um dia antes da desativação (por exemplo, 27 de julho para a limpeza de 28 de julho)

Para monitoramento contínuo após 28 de julho, você receberá e-mails no 25º e no 29º dia, antes que um token atinja o limite de 30 dias de inatividade. Todos os e-mails são enviados em lote diariamente e um e-mail por dia lista todos os tokens afetados, não um e-mail por token.

A coluna "Desativação em" diz que meu token será desativado em 30 dias, mas ainda estou usando-o. Meu token será realmente desativado enquanto eu o estou usando ativamente?

Não. Usar um token redefine o relógio. A data "Desativação em" é sempre 30 dias após a data "Uso mais recente" do token, portanto, sempre que você usa o token, a data "Desativação em" é movida para outro dia. Desde que você use o token pelo menos uma vez a cada 30 dias, ele não será desativado.

• Um token que você usa todos os dias mostrará uma data "Desativação em" que avança diariamente, pois cada uso atualiza a data "Uso mais recente".
• Um token usado uma vez por mês continua funcionando enquanto cada uso acontecer antes da data atual "Desativação em".
• Apenas um token com 30 dias inteiros sem uso chega à data de "Desativação em" e é desativado automaticamente.

Você mesmo evita a desativação usando o token. Nenhuma ação de administrador é necessária para manter um token ativo ativo. Se o token da API for desativado, você terá 60 dias para reativá-lo antes de apagá-lo.

Como posso ver informações detalhadas de uso de meus tokens de API?

A partir de 28 de julho, você pode gerar um relatório de uso na página de tokens de API. O relatório mostra os últimos sete dias de solicitações à API feitas com tokens de API, ou até 500 MB de dados, o que ocorrer primeiro. Gere relatórios regularmente para criar um histórico contínuo de 30 a 60 dias.

Cada linha do relatório mostra uma solicitação de API com as seguintes informações:

• Timestamp: quando a solicitação foi feita
• Identificador do token: ID do token truncado
• Descrição do token: a descrição do token de API (se fornecida)
• Endereço IP: origem da solicitação
• Agente do usuário: o cliente/aplicativo que fez a solicitação
• Método: método HTTP (GET, POST, PUT, DELETE etc.)
• URL: o ponto de extremidade da API que foi acessado
• Código do status: código de resposta HTTP (200, 404, 401 etc.)
• ID do usuário e e-mail: o usuário cujo endereço de e-mail foi usado com o token para fazer a solicitação da API

Como usá-lo:

• Gere o relatório a cada poucos dias para criar um histórico contínuo de 30 a 60 dias
• Use o endereço IP e o agente do usuário para identificar quais sistemas/scripts estão usando cada token
• Use a ID do usuário e o endereço de e-mail para identificar quem está fazendo as solicitações à API
• Verifique as colunas da URL e do método para entender quais operações o token está realizando
• Compare o identificador do token com sua lista de tokens para identificar qual token precisa ser migrado

Quais tokens de API estão sendo removidos?

Apenas os tokens de API do Support são afetados. Os tokens de API para mensagens, Chat e outros produtos não fazem parte dessa alteração.

Preciso migrar todos os meus tokens de uma vez?

Não. Você pode migrar integrações gradualmente. Os tokens existentes continuarão funcionando até a desativação forçada em 30 de abril de 2027. Primeiro, priorize integrações críticas à missão.

E se eu tiver um aplicativo de terceiros que usa tokens de API?

Para aplicativos do Marketplace: De acordo com as políticas para desenvolvedores, não é permitido que nenhum aplicativo, integração ou bot de terceiros (listado no Zendesk Marketplace ou não) use as credenciais da API de um cliente (token da API ou cliente OAuth próprio do cliente) para autenticar chamadas à API. Os aplicativos que migrarem para o OAuth continuarão funcionando. Os aplicativos que não forem migrados deixarão de funcionar quando os tokens de API forem desativados.

Para aplicativos personalizados criados por terceiros: entre em contato com o desenvolvedor que criou o aplicativo e peça que ele migre para o OAuth. Se o desenvolvedor não estiver mais disponível, você precisará recriar ou encontrar uma solução alternativa.

E se minha integração for executada com pouca frequência (mensalmente/trimestralmente)?

Se seu token não tiver sido usado em 30 dias, ele será desativado automaticamente a partir de 28 de julho. Na próxima vez que seu fluxo de trabalho for executado, ele falhará com um erro de autenticação.

Soluções alternativas:

• Verifique sua página de tokens hoje mesmo e identifique os tokens que serão desativados em 28 de julho (qualquer item não utilizado há mais de 30 dias)
• Use o token uma vez entre 28 de junho e 28 de julho para evitar a desativação inicial
• Após 28 de julho, use o relatório de uso para documentar quais tokens estão ativos
• Se um fluxo de trabalho falhar, reative os tokens desativados recentemente e use o relatório de uso para identificar qual foi necessário

Como sei qual token causou uma solicitação de API com falha?

Atualmente, as solicitações de autenticação com falha não mostram qual token específico foi usado. Se você estiver resolvendo problemas após uma desativação:

1. Verifique na página de tokens de API se há tokens desativados recentemente.
2. Reative todos os candidatos (você tem 60 dias).
3. Gere um relatório de uso após a execução do seu fluxo de trabalho para identificar qual token foi usado.

O que acontece se eu não migrar a tempo?

A partir de 30 de abril de 2027, todas as chamadas de API que utilizam tokens de API falharão com erros de autenticação. O impacto depende de como você usa tokens de API:

• Os fluxos de trabalho param de ser executados
• Os tickets não são sincronizados
• Os relatórios não são executados
• Falha nos processos automatizados

Não há recusa ou extensão após 30 de abril de 2027. Todas as integrações devem migrar para o OAuth.

Por que vocês não podem simplesmente melhorar os tokens de API em vez de removê-los?

As melhorias de segurança proporcionadas pelo OAuth (expiração automática, rotação e definição de escopo) exigem um modelo de autenticação fundamentalmente diferente. Adicionar esses recursos aos tokens de API basicamente recriaria o OAuth com um nome diferente.

Além disso, o suporte a dois métodos de autenticação cria seus próprios riscos de segurança:

• Os clientes escolhem a opção mais simples (tokens de API) em vez da opção mais segura (OAuth)
• As melhorias de segurança e o monitoramento devem ser mantidos para os dois sistemas
• Os invasores podem aproveitar o método com menos segurança

Ao remover totalmente os tokens de API, garantimos que todas as integrações se beneficiem da segurança de autenticação moderna em vez de deixar a opção menos segura disponível.

E os webhooks que usam tokens de API?

O uso de tokens da API em webhooks que retornam chamadas para sua própria instância do Zendesk não é mais suportado e deixará de funcionar como parte desse EOL. A migração para fluxos de ação pode ser mais simples do que para o OAuth em muitos casos de uso. Se seu webhook precisar retornar a chamada para o Zendesk e exigir o comportamento de atualização do token OAuth, talvez você precise usar um middleware ou outra implementação personalizada que possa gerenciar a autenticação em seu nome. 

A Zendesk está comprometida em adicionar suporte nativo a OAuth para webhooks antes do prazo de abril de 2027, oferecendo a clientes que utilizam webhooks autorreferenciais um caminho direto de migração. Um cronograma específico será compartilhado quando estiver disponível. Enquanto isso, os fluxos de ação atendem a muitos casos de uso de webhooks sem exigir OAuth.

O que são fluxos de ação?

Os fluxos de ação são sequências automatizadas de etapas definidas pelo usuário que executam ações no Zendesk e em sistemas externos com base em um evento definido que aciona ouinicia por gatilho o fluxo de trabalho. A página de fluxos de ação na Central de administração inclui um criador de fluxo de trabalho visual (chamado de criador de ações) para criar e editar esses fluxos de trabalho. Saiba mais em Compreensão do criador de ações e dos fluxos de ação e Criação de fluxos de ação para automatizar processos do Zendesk e em sistemas externos.

Benefícios dos fluxos de ação:

• As ações do Zendesk não são contabilizadas nos limites de taxa da API do Zendesk, mas as ações personalizadas em fluxos de ações são.
• É possível consolidar vários webhooks em um único fluxo.
• Extensível: adicione chamadas de terceiros ao lado das operações internas.
• O criador de fluxos de trabalho visuais facilita a criação e o gerenciamento de fluxos de trabalho com vários sistemas.

Quais webhooks são bons candidatos à migração de fluxos de ação

• Criação ou atualização de operações de ticket.
• O usuário cria ou atualiza operações.
• Criação ou atualização de operações da organização.
• Objetos personalizados, tarefas, aprovações, operações de ITAM.
• Webhooks que usam cargas JSON com operações CRUD padrão.
• Há suporte para a maioria dos campos padrão de ticket, usuário e organização.
• Também há suporte para todos os campos de ticket personalizados.

As ações personalizadas de fluxos de ação podem usar tokens da API?

Não. Os fluxos de ação têm dois modelos de autenticação diferentes:

• Ações do Zendesk são operações como tickets, usuários e organizações:
  • Não exigem o uso de tokens da API ou OAuth.
  • Não consomem limites de taxa de API.
  • Não são afetadas pela remoção dos tokens da API do Zendesk.
• Ações personalizadas e ações externas:
  • Exigem autenticação explícita (OAuth, chave da API ou autenticação básica).
  • Os tokens da API do Zendesk usados em ações personalizadas deixarão de funcionar após o EOL
  • É necessário migrar as ações personalizadas para OAuth ao fazer chamadas para os pontos de extremidade do Zendesk.
  • Se você migrar para fluxos de ação e usar ações personalizadas que exigem OAuth, os fluxos de ação gerenciam a atualização automática do token.

 

Em caso de dúvidas ou comentários a respeito deste anúncio, visite nosso fórum da comunidade, onde coletamos e gerenciamos o feedback dos clientes sobre os produtos. Para obter assistência geral com seus produtos Zendesk, entre em contato com o Suporte ao cliente Zendesk.