AFAS stapt over op OAuth: welke koppelingen moet jij nog omzetten?

Gepubliceerd op 19 oktober 2026

Bijna elke AFAS-omgeving praat met andere systemen. Een webshop die orders wegschrijft, een planningstool die medewerkers ophaalt, een dashboard dat elke nacht cijfers ververst. Veel van die koppelingen draaien al jaren op een klassiek token: een vaste sleutel die ooit is aangemaakt en sindsdien gewoon werkt. Die tijd loopt af.

AFAS stapt over op OAuth. Bestaande klassieke tokens verlopen op 1 mei 2027, en uiterlijk 31 augustus 2027 moet elke eigen koppeling OAuth gebruiken. Wat je niet op tijd omzet, stopt. Vaak zonder dat iemand het meteen merkt, omdat een koppeling op de achtergrond draait. In dit artikel lees je wat er verandert, welke koppelingen het raakt en hoe je de overstap rustig plant.

In het kort

• 1 mei 2027: bestaande klassieke tokens verlopen. Koppelingen die erop leunen, stoppen dan.
• 31 augustus 2027: uiterlijk dan moet elke eigen koppeling OAuth gebruiken. Daarna werken app connectoren met een klassiek token niet meer.
• Twee methoden: client credentials voor verkeer tussen systemen onderling, authorization code voor portalen waar een gebruiker zelf inlogt.
• Een toegangstoken is een uur geldig. De applicatie vraagt daarna zelf een nieuw token aan.
• Omzetten wordt makkelijker: met Profit 9 (overstappen kan vanaf 16 november 2026) zet je een bestaande app connector om, met behoud van de gekoppelde connectoren en IP-restricties. Daarvoor betekent overstappen: een nieuwe app connector aanmaken.
• Niet alles is jouw werk: koppelingen van een AFAS-partner past de leverancier aan, en een aantal standaardkoppelingen zet AFAS zelf om. De inventarisatie is wel aan jou.

Wat je in dit artikel leest

Een praktische gids voor iedereen die verantwoordelijk is voor AFAS en de koppelingen eromheen.

• Wat er verandert met OAuth
• De planning tot 31 augustus 2027
• Welke koppelingen het raakt
• Omzetten of opnieuw aanmaken
• Waar het in de praktijk misgaat
• Stappenplan: wat je nu kunt doen
• Veelgestelde vragen

Wat verandert er met OAuth?

Een koppeling met AFAS loopt altijd via een app connector: de toegang voor een externe applicatie, met daarin welke connectoren die applicatie mag aanroepen. Tot nu toe meldde zo'n applicatie zich meestal aan met een klassiek token. Dat token werd per gebruiker uitgegeven en bleef geldig tot iemand het introk.

Met OAuth werkt dat anders. De applicatie krijgt een client id en een client secret, en vraagt daarmee een toegangstoken aan. Dat toegangstoken is een uur geldig. Daarna vraagt de applicatie zelf een nieuw token aan. Een uitgelekt token is dus snel waardeloos, en toegang is beter te beheren dan met een sleutel die jaren meegaat.

AFAS ondersteunt OAuth met twee methoden:

• Client credentials is voor verkeer tussen systemen onderling, zonder dat er een gebruiker inlogt. Denk aan een koppeling die elke nacht mutaties ophaalt. De aanroepen gebeuren namens de gebruiker die je bij de app connector hebt gekozen. De autorisatie van die gebruiker bepaalt wat de applicatie ziet. Deze methode gebruikt geen refresh tokens: met client id en secret kan de applicatie altijd een nieuw toegangstoken aanvragen.
• Authorization code is voor portalen en applicaties waarin een gebruiker zelf inlogt. De aanroepen gebeuren dan onder de identiteit van die gebruiker, en AFAS controleert of hij lid is van de autorisatiegroep van de app connector. Hier zijn wel refresh tokens, en die roteren: bij elke vernieuwing vervalt de vorige.

Let op het client secret. Dat zie je maar een keer, op het laatste scherm bij het aanmaken. Daarna kun je het niet meer bekijken of wijzigen, alleen een nieuw secret genereren, waarna het oude niet meer werkt. Leg het dus meteen veilig vast, bijvoorbeeld in een wachtwoordkluis.

De planning: van nu tot 31 augustus 2027

AFAS heeft de planning in stappen bekendgemaakt. De belangrijkste data op een rij:

• September 2026: bestaande klassieke tokens hebben een einddatum gekregen.
• 16 november 2026: vanaf deze datum kun je overgaan op Profit 9. Daarin zit een nieuwe omzetactie die de inrichting van een bestaande app connector overneemt. Je richt dan alleen de OAuth-authenticatie in.
• 1 mei 2027: bestaande klassieke tokens verlopen. Tot die datum kun je nog een nieuw klassiek token met een beperkte geldigheid aanmaken, als overbrugging.
• 31 augustus 2027: de definitieve einddatum. Daarna werken app connectoren met een klassiek token niet meer.

Kom je ergens 15 februari 2027 tegen? Dat was de eerste datum. AFAS heeft die verschoven naar 1 mei 2027, omdat partners aangaven dat de periode tussen Profit 9 en 15 februari te kort was om koppelingen om te zetten. Oudere artikelen noemen soms nog de oude datum.

Welke koppelingen raakt het?

Niet elke koppeling vraagt actie van jou. Het helpt om ze in vier groepen te verdelen.

• Eigen app connectoren. Dit zijn de app connectoren van het type Onderhoud door klant, met als authenticatietype Classic token of Hybride. Hier ligt het werk. Bij een hybride app connector kijk je op het tabblad Gebruikerstokens welke gebruikers nog een klassiek token hebben; ook die moeten via OAuth gaan werken.
• Koppelingen van een AFAS-partner. Draait de koppeling via de software van een leverancier die AFAS-partner is, dan past die leverancier de koppeling aan. Maak wel samen een planning.
• Koppelingen van een leverancier die geen partner is. Vraag of de software OAuth ondersteunt en stuur zo nodig de technische documentatie van AFAS door. Hoe eerder je dat vraagt, hoe meer tijd de leverancier heeft.
• Standaardkoppelingen van AFAS. AFAS Payment Service, AFAS Remote tool, Profit Communication Center en AOL Connector Token Service zet AFAS zelf om. Daar hoef je niets te doen.

Gebruik je OData voor rapportages in Power BI? AFAS is van plan ook die koppelingen naar OAuth over te zetten, en geeft daar later meer informatie over. Houd er in je planning rekening mee.

Nog een regel die vaak over het hoofd wordt gezien: app connectoren die zes maanden of langer niet zijn gebruikt, worden geblokkeerd. Een koppeling die alleen eens per jaar draait, kan dus ook zonder de overstap ineens stoppen.

Omzetten of opnieuw aanmaken: wat is slim?

Hoe je overstapt, hangt af van je Profit-versie.

• Vanaf Profit 9 zet je een bestaande klassieke app connector om naar Hybride of OAuth. De gekoppelde connectoren en IP-restricties blijven behouden; je richt alleen de OAuth-authenticatie in. AFAS raadt daarom aan om nu nog niet zelf nieuwe app connectoren te maken.
• Wil je eerder overstappen, dan maak je een nieuwe app connector van het type OAuth aan en sluit je de koppeling daarop aan. Noteer eerst de inrichting van de bestaande app connector: de gebruikersgroep, de gebruikers met een token, de Get- en UpdateConnectoren, de IP-restricties en eventuele clientcertificaten. Kies samen met je koppelpartner de juiste methode en test de nieuwe app connector voordat je overschakelt.

In beide gevallen geldt: de omzetting zelf is meestal snel gedaan. De tijd zit in afstemmen met leveranciers, testen en het moment kiezen waarop je overschakelt.

Waar het in de praktijk misgaat

De overstap is overzichtelijk, maar er zijn een paar valkuilen die je makkelijk voorkomt.

• Een koppeling zonder eigenaar. Koppelingen die jaren geleden zijn gebouwd, hebben vaak geen vaste eigenaar meer. Dan weet niemand wie de leverancier moet bellen of wie de test doet.
• Stil stoppen. Een koppeling die 's nachts draait, geeft geen foutmelding op je scherm. Spreek af hoe je merkt dat een koppeling niet meer loopt, bijvoorbeeld met een controle op de laatste succesvolle synchronisatie.
• Een kwijtgeraakt client secret. Je ziet het maar een keer. Leg vast waar het staat en wie erbij kan.
• Te ruime rechten. Bij client credentials ziet de applicatie wat de gekozen gebruiker mag zien. De overstap is een goed moment om te controleren of die rechten nog passen bij wat de koppeling echt nodig heeft.
• Wachten op de laatste maand. Leveranciers krijgen in 2027 veel vragen tegelijk. Wie vroeg plant, heeft keuze in het moment.

Stappenplan: wat je nu kunt doen

Begin met de inventarisatie. Die heb je in elk geval nodig, welke route je ook kiest.

1. Breng je app connectoren in kaart. Ga in Profit naar Algemeen / Beheer / App connector en filter op Onderhoud door klant en Classic token. Noteer per app connector welk systeem het is, de gebruikersgroep, de gebruikers met een token, de gekoppelde connectoren en de IP-restricties.
2. Zet bij elke koppeling een eigenaar en een leverancier. Wie gebruikt de koppeling, wie beheert hem en wie past hem aan?
3. Vraag je leveranciers om een planning. Ondersteunt de software OAuth, welke methode past, en wanneer zetten ze de koppeling om?
4. Plan de omzetting na de overgang naar Profit 9. Test elke koppeling, en spreek af hoe je merkt dat een koppeling na de omzetting niet meer loopt.
5. Ruim op. Verwijder klassieke tokens pas als OAuth goed werkt, en zet ongebruikte app connectoren uit. Zorg dat alles ruim voor 1 mei 2027 klaar is.

Wil je weten hoe een koppeling in AFAS in elkaar zit en welke connectoren er zijn? Lees dan AFAS API en connectoren: zo werkt een koppeling. Voor koppelingen met Microsoft 365 en Entra ID staat er een aparte uitleg in AFAS koppelen met Entra ID, SSO en Microsoft 365. En wil je koppelingen niet zelf onderhouden, dan kan een Flow veel standaardwerk tussen AFAS en andere systemen overnemen.

Weet je welke koppelingen nog op een klassiek token draaien?

Wij helpen je de inventarisatie te maken en de overstap te plannen, samen met je leveranciers. Als onderdeel van functioneel beheer of als losse vraag aan AFAS Support. Zo weet je op tijd waar je staat, en stopt er op 1 mei 2027 niets onverwacht.

Neem contact met ons op en we kijken samen welke koppelingen en processen aandacht vragen.