Développement Zoho

Audit Zoho CRM : la checklist technique en 40 points

API, workflows, Deluge, webhooks, sécurité, données : 40 points à vérifier pour savoir si votre Zoho CRM tient la charge, avec les signaux d'alerte.

31 octobre 2026

L'essentiel

Un audit technique de Zoho CRM répond à une question simple : votre CRM tient-il la charge, et qu'est-ce qui va casser en premier ? Il passe en revue six zones : les API et intégrations, les automatisations, les webhooks, le code Deluge, la sécurité et la qualité des données.

Voici les 40 points que nous contrôlons, où les vérifier dans Zoho, et les seuils qui doivent alerter. Les limites citées sont celles de la documentation officielle de Zoho en octobre 2026.

Comment utiliser cette checklist

Cochez chaque point au fil de la lecture. Un point non coché est à corriger ou à vérifier.
Les points marqués « critique » provoquent des pannes ou des fuites : traitez-les en premier.
Prévoyez une demi-journée si vous administrez le CRM depuis longtemps, davantage si personne ne connaît son historique.

API et intégrations (points 1 à 8)

C'est la zone qui casse le plus souvent, et toujours au pire moment : un quota épuisé bloque toutes les intégrations jusqu'au lendemain. Où regarder : le tableau de bord API (API Dashboard) de l'espace développeur du CRM.

☐ 1. Consommation de crédits API sous 70 % du quota quotidien (critique). En API v8, une organisation Enterprise dispose de 50 000 crédits par 24 heures glissantes, plus 1 000 par licence (Zoho). Au-delà de 70 %, un pic d'activité suffit à tout bloquer.
☐ 2. Consommation par application identifiée. La section des crédits par application et par fonction montre qui consomme. Une intégration inconnue en tête de liste est un signal d'alerte.
☐ 3. Appels Deluge pris en compte. Les fonctions qui appellent zoho.crm.searchRecords ou zoho.crm.createRecord consomment les mêmes crédits que l'API. Beaucoup d'équipes l'ignorent.
☐ 4. Aucune erreur de concurrence dans les journaux (critique). Zoho limite les appels simultanés de 10 à 25 selon l'édition, et à 10 pour les appels lourds comme la recherche ou les requêtes COQL. L'erreur TOO_MANY_REQUESTS révèle une intégration qui tire en rafale.
☐ 5. Clients OAuth inventoriés. Chaque application déclarée dans la console API de Zoho a un propriétaire et un usage connus. Les clients inutilisés sont révoqués.
☐ 6. Jetons rangés en sécurité. Aucun jeton de rafraîchissement en clair dans un script, un fichier partagé ou un dépôt de code.
☐ 7. Bon centre de données. Vos intégrations utilisent le domaine renvoyé par l'authentification, par exemple zohoapis.eu pour un compte européen, et non une adresse en .com écrite en dur.
☐ 8. Gros volumes traités en masse. Les synchronisations de milliers d'enregistrements passent par les API Bulk ou par des écritures groupées par 100, pas par une boucle d'appels unitaires.

Pour aller plus loin : notre guide des limites de l'API Zoho CRM.

Automatisations, workflows et fonctions (points 9 à 16)

Les automatisations s'empilent pendant des années sans que personne n'ait la vue d'ensemble. Elles finissent par se contredire ou par ralentir le CRM.

☐ 9. Inventaire des règles de workflow à jour. Chaque règle a un objectif et un propriétaire connus. Les règles désactivées depuis des mois sont supprimées.
☐ 10. Aucune boucle de mises à jour (critique). Une fonction qui modifie un enregistrement peut redéclencher des workflows, qui relancent la fonction. Vérifiez quels déclencheurs vos mises à jour par API ou par Deluge activent.
☐ 11. Aucun conflit entre règles. Deux règles sur le même événement qui écrivent le même champ donnent un résultat qui dépend de l'ordre d'exécution.
☐ 12. Fonctions de workflow sous 30 secondes (critique). Au-delà, Zoho arrête la fonction en cours de route (Zoho). Une boucle d'appels externes suffit à dépasser la limite.
☐ 13. Boutons, règles de validation et listes associées sous 10 secondes. C'est aussi la limite des fonctions appelées par API REST.
☐ 14. Tâches planifiées sous 15 minutes, avec une gestion d'erreur et une trace de chaque exécution.
☐ 15. Crédits de fonctions sous contrôle. Chaque exécution d'une fonction Deluge consomme un crédit. En Enterprise, l'allocation est de 20 000 crédits plus 500 par licence sur 24 heures glissantes.
☐ 16. Processus guidés et approbations à jour. Pas d'étape orpheline ni de transition que plus personne n'emprunte.

Un mot sur l'édition : les fonctions sont accessibles directement en Enterprise, CRM Plus, Ultimate et Zoho One. En Standard et Professional, elles ne passent que par des extensions. Nos guides sur les limites d'exécution de Deluge détaillent les contournements.

Webhooks et notifications (points 17 à 21)

C'est la panne la plus sournoise : tout fonctionne pendant une semaine, puis les mises à jour cessent d'arriver, sans aucun message d'erreur.

☐ 17. Date d'expiration de chaque abonnement connue (critique). Un abonnement aux notifications de Zoho CRM dure au maximum une semaine (Zoho). Listez vos canaux et leur date de fin.
☐ 18. Renouvellement automatique en place (critique). Une tâche planifiée réactive les abonnements avant leur expiration. Piège documenté par Zoho : une durée demandée de plus d'une semaine est ramenée à une heure.
☐ 19. Origine des appels vérifiée. Le jeton de vérification, 50 caractères maximum, est contrôlé à chaque réception pour s'assurer que l'appel vient bien de Zoho.
☐ 20. Adresses de destination encore vivantes. Les webhooks des workflows ne pointent pas vers un outil abandonné ou un serveur de test.
☐ 21. Traitement fiable des réceptions. Chaque notification reçue est journalisée et peut être rejouée. Recevoir deux fois la même ne crée pas de doublon.

La marche à suivre complète est dans notre guide webhooks Zoho CRM : pourquoi ils s'arrêtent.

Code Deluge (points 22 à 27)

Le code Deluge est souvent écrit vite, par plusieurs personnes successives, et rarement relu. C'est là que se cache la dette technique.

☐ 22. Connexions plutôt que jetons dans le code. Les appels externes passent par les connexions de Zoho, qui gèrent l'authentification. Aucun mot de passe ni jeton n'apparaît dans une fonction.
☐ 23. Erreurs gérées. Les appels sensibles sont protégés par un bloc try/catch, et l'erreur laisse une trace lisible : un champ, une note, un message.
☐ 24. Aucun identifiant écrit en dur. Les identifiants d'enregistrement, d'utilisateur ou de mise en page changent entre l'environnement de test et la production. Écrits en dur, ils cassent au déploiement.
☐ 25. Pas de code dupliqué. Une logique copiée dans cinq fonctions devra être corrigée cinq fois. Regroupez-la dans une fonction réutilisable.
☐ 26. Pas d'appel dans une boucle. Un appel zoho.crm.* ou invokeurl dans une boucle multiplie la durée et les crédits : 70 appels d'une demi-seconde dépassent la limite de 30 secondes d'un workflow. Chaque invocation est aussi plafonnée à 200 000 lignes exécutées.
☐ 27. Code documenté et sauvegardé. Chaque fonction a une description et un propriétaire, et son code est exporté et versionné hors de Zoho.

Le minimum attendu pour un appel externe ressemble à ceci :

// accountId : argument de la fonction
try
{
	response = invokeurl
	[
		url :"https://api.exemple.fr/v1/clients"
		type :GET
		connection:"api_exemple"
	];
	info response;
}
catch (e)
{
	info e;
	// Champ de suivi à créer dans le module Comptes
	zoho.crm.updateRecord("Accounts",accountId,{"Erreur_synchro":"Echec de l'appel à l'API exemple"});
}

La connexion api_exemple porte l'authentification, le bloc catch laisse une trace sur la fiche du compte, et rien de sensible n'est écrit dans le code.

Sécurité et accès (points 28 à 34)

Votre CRM contient vos clients, vos prix et vos pipelines. Ces contrôles relèvent aussi de votre obligation de sécurité au titre du RGPD.

☐ 28. Administrateurs réduits au strict minimum (critique). Deux ou trois personnes nommées, jamais un compte partagé.
☐ 29. Profils et rôles au moindre privilège. Exporter des données, supprimer en masse et modifier la configuration sont réservés à quelques profils.
☐ 30. Double authentification imposée à tous (critique). Zoho permet aux administrateurs de l'imposer à toute l'organisation. Un mot de passe seul ne protège plus une base clients.
☐ 31. Aucun utilisateur fantôme. Les comptes des personnes parties sont désactivés. Sinon, ils gardent un accès, et souvent une licence payée.
☐ 32. Champs sensibles protégés. Les champs confidentiels, conditions commerciales ou données personnelles, sont masqués aux profils qui n'en ont pas besoin grâce aux droits par champ.
☐ 33. Journal d'audit consulté. Les suppressions et les exports de masse sont surveillés dans le journal d'audit du CRM.
☐ 34. Extensions du Marketplace justifiées. Chaque extension installée est utilisée, maintenue par son éditeur, et ses droits d'accès sont compris.

Qualité des données (points 35 à 40)

Une automatisation ne vaut que ce que valent les données qu'elle lit. Avec la facturation électronique, certaines données deviennent obligatoires.

☐ 35. Doublons maîtrisés. Des règles empêchent les doublons sur l'e-mail, le téléphone ou le SIREN, et les doublons existants ont été fusionnés.
☐ 36. Champs clés réellement remplis. Mesurez le taux de remplissage des champs dont dépendent vos rapports et vos automatisations.
☐ 37. Listes de choix cohérentes. Pas de valeurs historiques, de fautes ou de synonymes qui faussent les rapports.
☐ 38. SIREN renseigné sur les comptes clients. Il devient indispensable pour émettre des factures électroniques en septembre 2027. L'API publique Recherche d'entreprises permet de l'ajouter en masse.
☐ 39. Aucun enregistrement orphelin. Contacts sans compte, affaires sans contact ni montant : ils faussent les prévisions et les relances.
☐ 40. Stockage sous contrôle. Le volume de données et de fichiers reste sous la limite de votre édition, et les pièces jointes inutiles sont archivées.

Comment prioriser les résultats

Un audit qui livre 40 constats sans ordre ne sert à rien. Classez chaque point non coché dans l'une de ces trois catégories.

Priorité	Ce que cela veut dire	Points concernés	Délai conseillé
Critique	Risque de panne, de blocage ou de fuite de données	1, 4, 10, 12, 17, 18, 28, 30	Sous une semaine
Importante	Coût ou dette technique qui grossit chaque mois	2, 3, 5, 6, 7, 8, 11, 13, 15, 19, 21, 22, 23, 24, 26, 29, 31, 38	Dans le trimestre
Hygiène	Lisibilité, confort, maintenance future	9, 14, 16, 20, 25, 27, 32, 33, 34, 35, 36, 37, 39, 40	Au fil de l'eau

Pour chaque point critique, chiffrez le coût d'une panne : une journée d'intégrations bloquées, une semaine de notifications perdues, une fuite de données. Ce chiffre justifie souvent à lui seul le budget de correction.

Faire l'audit soi-même ou le confier ?

Faites-le vous-même si vous administrez le CRM depuis le début, avec une ou deux intégrations simples. La checklist suffit, et l'exercice vous apprendra beaucoup sur votre propre outil.

Confiez-le si l'un de ces cas vous parle :

plusieurs intégrations écrites par des prestataires différents ;
du code Deluge dont plus personne ne connaît l'auteur ;
des incidents inexpliqués : données qui n'arrivent plus, quotas atteints, lenteurs ;
un projet structurant en vue, comme la facturation électronique ou un agent IA.

Chez les partenaires Zoho, un audit CRM se facture à partir de 1 800 € HT (Z-Solutions).

Audit technique Zoho par SquadNovia : au forfait, sur devis

Les 40 points de cette checklist contrôlés dans votre compte, un rapport classé par priorité avec le temps de correction estimé pour chaque point, et une heure de restitution en visio. Nous travaillons avec un accès administrateur temporaire, retiré à la fin de l'audit.

Demander un audit

Questions fréquentes

Combien de temps dure un audit technique de Zoho CRM ?

Une demi-journée à une journée pour un administrateur qui connaît son CRM. Comptez plusieurs jours quand plusieurs intégrations et beaucoup de code sont en jeu.

Faut-il donner un accès administrateur à l'auditeur ?

Oui pour les points sur l'API, les fonctions et la sécurité, qui ne sont visibles que d'un administrateur. Créez un utilisateur nominatif dédié et désactivez-le à la fin de l'audit.

À quelle fréquence faut-il auditer son CRM ?

Une fois par an, et après chaque intégration importante ou changement de prestataire.

La checklist s'applique-t-elle à Zoho One ?

Oui. Le CRM reste le cœur de Zoho One, et les points sur l'API, les fonctions et la sécurité valent pour les autres applications connectées.

Que se passe-t-il si mon quota d'API est épuisé ?

Les appels sont refusés jusqu'à ce que des crédits se libèrent sur la fenêtre glissante de 24 heures. Toutes les intégrations sont touchées en même temps, d'où le point 1 classé critique.

Mes abonnements aux notifications peuvent-ils durer plus d'une semaine ?

Non. Une semaine est le maximum, et une durée demandée plus longue est ramenée à une heure. Seul un renouvellement automatique garantit la continuité.

Sources

Pages consultées le 20 octobre 2026.