AFAS stapt over op OAuth: wat verandert er in uw Talend-jobs?

AFAS vervangt de Classic tokens van zijn App Connectors door OAuth 2.0. Alle bestaande Classic tokens krijgen in september 2026 een einddatum: 15 februari 2027. Op 31 augustus 2027 stopt de Classic-authenticatie definitief. Elke koppeling die nu met een Classic token op de Profit REST Services praat, ook uw Talend-jobs, moet vóór die datum zijn omgebouwd.

Het raakt elke App Connector die u zelf beheert, dus ook de Talend-jobs die AFAS-data ophalen of wegschrijven.

Waarom AFAS overstapt

Een Classic token is in de praktijk onbeperkt geldig. Wie het token eenmaal heeft, kan er jarenlang mee bij de gekoppelde Get- en UpdateConnectors. Raakt zo’n token buiten de organisatie, dan blijft het lek open tot iemand het opmerkt en intrekt. AFAS zegt zelf dat Classic tokens technisch niet minder veilig zijn; het probleem zit in de manier waarop ze gebruikt worden: lang levend, handmatig beheerd, en vaak gekopieerd naar meerdere plekken.

OAuth 2.0 lost dat op met kortlopende access tokens. Een token is een uur geldig en wordt daarna door de koppeling automatisch opnieuw aangevraagd. Een gelekt token is na maximaal een uur waardeloos. Daarnaast krijgt u met een client id en client secret per koppeling meer grip op wie toegang heeft en op welke connectoren.

Wat er verandert

De App Connector blijft de plek in Profit waar u bepaalt welke Get- en UpdateConnectors een koppeling mag gebruiken. Wat verandert, is de manier waarop de koppeling zich identificeert.

	Classic token	OAuth 2.0
Credential	Eén token, gekoppeld aan een gebruiker	Client id + client secret per App Connector
Geldigheid	Praktisch onbeperkt	Access token: 1 uur
Header naar de connector	Authorization: AfasToken <base64 van het token-XML>	Authorization: Bearer <access_token>
Extra stap	Geen	Vooraf een token ophalen bij het token-endpoint
Vernieuwen	Handmatig, zelden	Automatisch door de koppeling

AFAS ondersteunt twee OAuth-flows. De client credentials flow is bedoeld voor systeem-naar-systeem koppelingen zonder ingelogde gebruiker; dat is de flow voor ETL en dus voor Talend. De authorization code flow is voor toepassingen waarin een eindgebruiker zelf inlogt bij AFAS Online en toestemming geeft. In de client credentials flow geeft AFAS geen refresh tokens uit: na een uur vraagt u met client id en secret gewoon een nieuw access token aan.

Het token-endpoint volgt het patroon van uw omgeving:

POST https://<omgevingsnummer>.rest.afas.online/profitrestservices/oauth/token

De exacte parameters (grant type, client id, client secret) staan in de technische documentatie van AFAS. Het antwoord bevat een access_token dat u in de Authorization-header van elke connector-aanroep meestuurt.

Twee praktische punten uit de AFAS-documentatie. Het client secret is na het genereren niet meer op te vragen, alleen opnieuw te genereren (waarmee het oude secret ongeldig wordt). En vanaf Profit 9 kunt u in een bestaande App Connector de authenticatiemethode wijzigen van Classic token naar Hybrid of OAuth, zonder een nieuwe connector aan te maken; gekoppelde connectoren en IP-restricties blijven behouden. Hybrid accepteert beide methoden tegelijk en is daarmee de natuurlijke overgangsvorm.

De tijdlijn

• September 2026: AFAS geeft alle bestaande Classic tokens een einddatum.
• 15 februari 2027: bestaande Classic tokens stoppen met werken. Tokens die u daarna nog aanmaakt, werken uiterlijk tot 31 augustus 2027.
• 31 augustus 2027: einde van de Classic-authenticatie. App Connectors die dan nog op een Classic token draaien, werken niet meer.

Standaardkoppelingen die AFAS zelf levert (Payment Service, Remote Tool en dergelijke) migreert AFAS zelf. Actie is nodig voor elke App Connector van het type “Onderhoud door klant” met authenticatie Classic of Hybrid. Talend-jobs vallen daar in de regel onder.

Wat dit betekent voor uw Talend-jobs

Een Talend-job die AFAS aanroept, doet dat meestal met een tRESTClient of tHttpRequest naar https://<omgevingsnummer>.rest.afas.online/profitrestservices/connectors/<connectornaam>, met het Classic token als vaste header, vaak uit een context-variabele. Dat patroon moet op vijf punten worden aangepast.

1. Inventariseer. Zoek alle jobs, joblets en contextgroepen waarin een AfasToken voorkomt. In de praktijk staat hetzelfde token in meerdere jobs, contextbestanden en soms in de Talend Management Console (of TAC). Leg per job vast welke Get- en UpdateConnectors hij gebruikt; die lijst heeft u nodig bij het inrichten van de OAuth App Connector.

2. Voeg een tokenstap toe. Vóór de eerste connector-aanroep haalt de job een access token op: een tRESTClient (POST) naar het token-endpoint met client id en client secret, een tExtractJSONFields die het access_token uit het antwoord haalt, en een tSetGlobalVar die het in de globalMap zet. Bouw dit als joblet, zodat elke AFAS-job dezelfde tokenstap hergebruikt.

3. Pas de header aan. De connector-aanroep stuurt niet langer AfasToken <base64> maar Bearer <access_token>. In tRESTClient kunt u de authenticatie op OAuth2 Bearer zetten en het token uit de globalMap meegeven; in tHttpRequest zet u de Authorization-header zelf op.

4. Houd rekening met de geldigheid van een uur. Voor de meeste batch-jobs is één token per run voldoende. Jobs die langer dan een uur lopen of die duizenden aanroepen in een loop doen, hebben een controle nodig: sla het tijdstip van uitgifte op en vraag een nieuw token aan zodra het bijna verloopt, of vang een HTTP 401 af en probeer één keer opnieuw met een vers token.

5. Beheer de secrets als secrets. Client id en client secret horen niet als platte tekst in een context-bestand of in de job zelf. Gebruik versleutelde contextparameters, de Talend Management Console (of TAC) of de secret store van uw platform. Roteer het secret als u vermoedt dat het gelekt is; oude tokens vervallen dan binnen een uur vanzelf.

Test de omgebouwde job tegen een App Connector die op Hybrid staat. De bestaande productiekoppeling blijft dan werken op het Classic token, terwijl de nieuwe versie met OAuth dezelfde connectoren aanspreekt. Zijn beide jobs in de testomgeving gelijkwaardig, dan promoot u de OAuth-variant en verwijdert u het Classic token uit de App Connector.

Stappenplan tot augustus 2027

1. Inventariseer alle AFAS-koppelingen en de Talend-jobs erachter (september tot oktober 2026).
2. Zet de App Connectors in Profit op Hybrid en genereer per koppeling een client id en secret.
3. Bouw de tokenstap als joblet en pas de jobs aan.
4. Test in Hybrid-modus naast de bestaande koppeling; vergelijk de output.
5. Promoot naar productie ruim vóór 15 februari 2027 en verwijder de Classic tokens.
6. Zet de App Connectors na de laatste migratie op OAuth-only.

Wacht niet op de laatste deadline. De datum van 15 februari 2027 raakt elk bestaand token, en de aanpassing vraagt afstemming tussen applicatiebeheer (Profit) en de ETL-ontwikkelaars (Talend). Wie in het najaar van 2026 begint, heeft ruimte om te testen zonder productiedruk.

Hoe cimt kan ondersteunen

cimt werkt sinds 2009 met Talend (destijds als Talend Platinum Partner, nu als Qlik Elite Partner), bouwt en beheert Talend-omgevingen en heeft ervaring met koppelingen op AFAS Profit. Voor de overstap naar OAuth kunnen wij:

• de bestaande AFAS-koppelingen en Talend-jobs inventariseren en de impact per job vaststellen;
• de App Connectors in Profit samen met uw applicatiebeheerder op Hybrid en later OAuth inrichten;
• de tokenstap als herbruikbare joblet bouwen en de jobs aanpassen, inclusief secret-beheer en foutafhandeling;
• de omgebouwde jobs testen tegen de Hybrid-connector en de overgang naar productie begeleiden.

Voor klanten met een managed-services-contract nemen we de migratie mee in het reguliere beheer. Voor anderen is het een afgebakende opdracht binnen onze data-integratiepraktijk.

Wilt u weten wat de overstap voor uw Talend-jobs betekent? Neem contact op, dan kijken we samen naar uw AFAS-koppelingen en plannen we de aanpassing in vóór de eerste deadline.

Bronnen

• AFAS Klantportaal, themapagina OAuth: aanleiding, tijdlijn en wat klanten en leveranciers moeten doen.
• AFAS Help Center, Overstappen van classic tokens op OAuth: stappenplan per App Connector, Hybrid en de omzetting vanaf Profit 9.
• AFAS Help Center, Eigen app connector inrichten in vogelvlucht (OAuth-token): client credentials flow, token-endpoint en geldigheid van het access token.
• AFAS, technische documentatie authenticatie: parameters van het token-verzoek.
• Qlik Talend Help, tRESTClient: authenticatie-opties, waaronder OAuth2 Bearer.