Zendesk har påbegynt en gradvis avvikling av eldre API-tokens til fordel for OAuth 2.0. OAuth gir betydelig bedre sikkerhet gjennom granulær tilgangsstyring, tidsbegrensede tokens og bedre sporbarhet. For å unngå at eksisterende integrasjoner slutter å fungere, må alle API-tokens migreres i god tid før den endelige fristen.
I denne veiledningen går vi gjennom de grunnleggende stegene for å opprette en OAuth-klient i Zendesk Admin Center og hvordan du kommer i gang med migrasjonen.
1. Hvorfor faser Zendesk ut API-tokens?
Statisk API-token-autentisering gir ofte bred administrativ tilgang og kan utgjøre en sikkerhetsrisiko dersom nøkkelen kommer på avveie. OAuth 2.0 tilbyr:
- Prinsippet om minste tilgang (Least Privilege): Begrens tilgangen til kun de API-endepunktene integrasjonen faktisk trenger.
- Unike tilgangstokens: Slipper å dele statiske passord eller globale administrator-tokens i kildekode.
- Full kontroll og sporbarhet: Enkel tilgang til å tilbakekalle enkeltklienter dersom en nøkkel havner på avveie.
2. Steg-for-steg: Slik oppretter du en OAuth-klient
For å erstatte et API-token med OAuth, må du først opprette en OAuth-klient i Zendesk Admin Center:
- Gå til Admin Center i din Zendesk-instans ved å klikke på produktveksleren øverst til venstre:
- I venstremenyen velger du Apper & Integrasjoner > API-er > OAuth-klienter:
-
Klikk på knappen Legg til OAuth-klient øverst til høyre på siden:
- Fyll inn nødvendig informasjon i skjemaet:
- Klientnavn (Client Name): Et beskrivende navn for integrasjonen (f.eks. "PowerBI Integration").
- Beskrivelse: Hva integrasjonen brukes til.
- Bedrift: Firmanavnet brukerne får se når de blir bedt om å autorisere OAuth-klienten.
- Logo: En logo som vises til brukeren når de blir bedt om å autorisere OAuth-klienten.
-
Identifikator: En unik identifikator som brukes til
client_id. Vises ikke til brukeren. -
Klienttype: Klienter deles inn i offentlige og konfidensielle. For klienter som kjører på en sikker server der en klienthemmelighet (
client_secret) kan oppbevares trygt, bruker man en konfidensiell klient.Der hvor hemmeligheter ikke kan holdes skjult – som i mobilapper eller nettleserbaserte apper (SPA) – bruker man en offentlig klient. For disse er det påkrevd å bruke OAuth 2.0-autorisasjonskodeflyt med PKCE for å hindre at uvedkommende kan få tak i og misbruke autorisasjonskoden.
- Omdirigerings-URL (Redirect URL): URL-en hvor autorisasjonskoden skal sendes (påkrevd for konvensjonell OAuth-flyt).
- Tillatte omfang: Du kan velge omfang som klienten kan spørre om – for eksempel kun tilgang til å lese og skrive i hjelpesenteret.
- Hemmelighet: Denne genereres av Zendesk så fort man trykker Lagre.
- Klikk Lagre. Systemet vil nå generere en Hemmelighet som tilsvarer
client_secret.
Viktig: Husk å kopiere og lagre denne nøkkelen på et sikkert sted. Den vises bare én gang, men du kan alltids generere en ny hemmelighet ved behov.
3. Konfigurering av integrasjonene dine
Når OAuth-klienten er opprettet, må autentiseringskoden i skriptene, applikasjonene eller tredjepartssystemene dine oppdateres til å bruke OAuth 2.0-autorisasjonsflyten (f.eks. Authorization Code Flow eller Client Credentials Flow) i stedet for Basic Auth med API-token.
Les også vår opprinnelige oppdateringsartikkel:
Kritisk Zendesk-oppdatering: API-tokens erstattes med OAuth
Trenger du hjelp med å migrere dine Zendesk-integrasjoner?
Å kartlegge hvor API-tokens brukes på tvers av skripter, custom apps og eksterne systemer kan være komplekst. SoftwareOne kan hjelpe deg med audit av eksisterende integrasjoner, oppsett av OAuth-klienter og koding for sømløs overgang uten nedtid.